152-ФЗ для ритуального агентства: что проверяет Роскомнадзор и как не получить штраф

Ритуальный бизнес — одна из отраслей, где 152-ФЗ «О персональных данных» применяется максимально строго. Агентство обрабатывает данные родственников, покойных, поставщиков, сотрудников — причём часто это чувствительная информация: паспорта, свидетельства о смерти, медицинские заключения. Штрафы за нарушение с 2024 года выросли в разы, а проверки Роскомнадзора по жалобам родственников стали регулярными. Разберёмся, как защитить бизнес.

Важно: статья носит справочный характер и не является юридической консультацией. Проверяйте свою ситуацию с собственным юристом.

Что такое 152-ФЗ простыми словами

Федеральный закон №152-ФЗ от 27.07.2006 «О персональных данных» регулирует правила сбора, хранения и использования любой информации о физических лицах. Для ритуального агентства это означает: каждый раз, когда вы записываете имя клиента, скан его паспорта или просто номер телефона — вы становитесь «оператором персональных данных» и обязаны выполнять ряд требований.

Кто субъекты персональных данных в вашем бизнесе

В ритуальном агентстве обрабатываются данные как минимум 5 категорий субъектов:

1. Покойные. Да, это парадокс, но 152-ФЗ защищает данные даже умерших. Согласие даёт наследник или близкий родственник.
2. Заявители и заказчики. Те, кто оплачивает похороны и подписывает договор.
3. Другие родственники. Жена, дети, братья-сестры — их контакты для уведомлений, координация встреч.
4. Сотрудники агентства. Менеджеры, агенты, водители, мастера.
5. Контрагенты. Поставщики гробов, венков, услуг перевозки, священники, музыканты.

Каждая категория требует отдельного подхода к сбору согласия и хранению данных.

Особенности ритуальной отрасли

Специальные и биометрические данные

В обычном бизнесе это редкость. В ритуальном — норма:

• Медицинская справка о смерти — специальная категория данных. Требует особого согласия и условий хранения.
• Фото покойного (для гравировки на памятнике) — биометрические данные. Требуют отдельного письменного согласия.
• Религиозная принадлежность (для отпевания, кремации, типа гроба) — специальная категория.

«Тяжёлые» состояния клиентов

Заявитель, потерявший близкого, находится в шоке. Формальные требования «подпишите согласие» кажутся кощунственными. Приходится балансировать: с одной стороны, закон требует письменного согласия, с другой — нужно проявить человечность. Решение — заранее подготовленные упрощённые формы и электронная подпись.

Долгий цикл взаимодействия

С одним и тем же родственником вы можете работать годами: похороны → памятник через 2 года → благоустройство через 5 лет → годовщина через 10 лет. Данные нужно хранить долго — но корректно.

Чек-лист из 18 пунктов

Чтобы не получить штраф и спокойно работать, проверьте у себя:

Документы (6 пунктов)

1. Приказ о назначении ответственного за обработку ПДн. Чаще всего — директор или его заместитель.
2. Положение об обработке персональных данных. Внутренний документ, описывающий процессы, цели, сроки хранения.
3. Политика обработки персональных данных. Должна быть опубликована на сайте и доступна в офисе.
4. Форма согласия клиента на обработку ПДн. Отдельная от договора или включённая в него явным блоком.
5. Форма согласия на обработку биометрических данных (если делаете фото-гравировку).
6. Список сотрудников, имеющих доступ к ПДн + соглашения о неразглашении.

Технические меры (7 пунктов)

7. Серверы в РФ. Персональные данные россиян должны храниться на серверах, физически расположенных в России. Зарубежные хостинги — вне закона с 2015 года.
8. Шифрование при передаче. Сайт должен работать по HTTPS (TLS). Почтовая переписка с ПДн — через защищённые каналы.
9. Разграничение доступа. Менеджер видит только своих клиентов, агент — только свои заявки. Директор — всё.
10. Журналирование. Кто, когда, что просматривал и менял в базе. Обязательно для расследования инцидентов.
11. Регулярные бэкапы. Потеря данных — тоже нарушение. Бэкапы должны быть зашифрованы.
12. Антивирус и защита от взлома. На всех компьютерах, где ведётся работа с ПДн.
13. Физическая безопасность. Бумажные документы — в сейфе. Компьютеры — в запираемых помещениях.

Процессы (5 пунктов)

14. Согласие до сбора. Нельзя сначала записать данные, потом просить согласие. Сначала подпись — потом обработка.
15. Минимизация данных. Собирайте только то, что реально нужно. Номер паспорта для договора — да. Место рождения — зачем?
16. Сроки хранения. По истечении цели обработки — удалять. Срок хранения определите в положении об обработке с учётом требований закона.
17. Реагирование на обращения. Клиент имеет право запросить, что о нём знают. Срок ответа установлен законом (ст. 20 152-ФЗ).
18. Уведомление об инцидентах. Если произошла утечка — уведомить Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.

Штрафы: сколько и за что

В 2024–2025 годах штрафы значительно выросли. Ориентировочные размеры штрафов (точные суммы и условия — в ст. 13.11 КоАП РФ):

За первую утечку персональных данных действуют фиксированные штрафы, а оборотные штрафы (доля годовой выручки) предусмотрены за повторную. Размеры и условия смотрите в ст. 13.11 КоАП РФ.

Как проверяет Роскомнадзор

Типичный сценарий проверки ритуального агентства:

1. Жалоба клиента. Родственник позвонил в агентство через полгода после похорон, а ему предлагают «скидку на памятник». Он не давал согласия на маркетинговые звонки — жалоба.
2. Запрос документов. Роскомнадзор присылает требование: покажите согласие клиента, вашу политику, положение об обработке.
3. Проверка на месте (опционально). Если документы вызвали вопросы — инспектор приезжает, смотрит компьютеры, разграничения доступа, сейф с бумажными договорами.
4. Предписание или штраф. При первом нарушении чаще всего — предписание устранить. При повторном — штраф.

Типовые ошибки ритуальных агентств

Ошибка 1. Отсутствие сайтового блока согласия

На сайте форма заявки без галочки «согласен с обработкой ПДн» и ссылки на политику. Автоматическое нарушение.

Ошибка 2. Бумажные договоры без согласия

Старые шаблоны договоров 2015 года без блока про ПДн. Формально — обработка без согласия.

Ошибка 3. Хранение в личных почтах сотрудников

Менеджер пересылает документы клиентов на свой Gmail. Это нарушение по двум основаниям: сервер не в РФ + передача третьим лицам (Google) без согласия.

Ошибка 4. «Общая» CRM без ролей

Все сотрудники видят всех клиентов. Агент в Воронеже имеет доступ к данным клиентов в Москве. При утечке от одного — отвечает вся компания.

Ошибка 5. Хранение паспортов в иностранных мессенджерах

Популярная практика: агент сфотографировал паспорт, прислал в рабочий чат иностранного мессенджера. Такие сервисы хранят данные на серверах за рубежом. Нарушение.

Как СРМ решает вопросы 152-ФЗ

Правильно выбранная СРМ-система помогает закрыть часть требований 152-ФЗ. В СРМРитуал для этого есть такие инструменты:

• Шифрование. Паспорт и СНИЛС хранятся в зашифрованном виде.
• Разграничение доступа. Роли сотрудников с разными правами доступа.
• Журналирование. Журнал аудита действий пользователей.
• Резервная копия. Ночная резервная копия базы.
• Журнал согласий. Согласия фиксируются в журнале; договор семья подписывает в кабинете по коду из SMS (при подключённом SMS-шлюзе).
• Запрос субъекта данных. Данные карточки клиента можно выгрузить в формате JSON, а саму карточку — стереть по запросу.

Итог

152-ФЗ в 2026 году — это не формальность, а реальный фактор риска для ритуального агентства. Штрафы исчисляются миллионами, проверки ходят по жалобам родственников, оборотная ответственность за утечки введена. Но при правильной организации процессов и использовании СРМ-системы с нужными инструментами эти риски можно держать под контролем.

Остались вопросы по 152-ФЗ? Напишите нам на dimaxeod@gmail.com с пометкой «152-ФЗ».

Или сразу начните работу в СРМРитуал — в нём есть инструменты для работы по 152-ФЗ: роли, журнал действий, журнал согласий, шифрование паспорта и СНИЛС.