152-ФЗ О персональных данных: требования закона простыми словами

Что регулирует 152-ФЗ «О персональных данных»

152-ФЗ определяет, когда и как можно обрабатывать сведения о человеке, кто за это отвечает и какие права есть у самого человека. Закон задает общие правила. Детали защиты, формы уведомлений и порядок проверок закреплены в постановлениях правительства и приказах Роскомнадзора, ФСТЭК и ФСБ.

Что считается персональными данными

Персональные данные - любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу (ст. 3 закона). Решающее значение имеет связь сведений с конкретным человеком. Номер телефона сам по себе похож на набор цифр, но в CRM рядом с именем клиента он становится персональными данными.

Пограничные случаи, например IP-адреса и обезличенные наборы, подробно разберем в отдельной статье «Что такое персональные данные».

Что означает обработка персональных данных

Обработка - любое действие со сведениями о человеке. Закон перечисляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

Возьмем сквозной пример, который будем использовать по всей статье. Посетитель сайта оставил заявку на консультацию. Компания получила имя и телефон, сохранила их в CRM, передала менеджеру, менеджер перезвонил, а через полгода запись удалили. Каждый из этих шагов уже относится к обработке персональных данных, и для каждого действуют требования закона.

Какие данные требуют особого внимания

Закон выделяет три группы с отдельными правилами, и путать их нельзя.

• Специальные категории (ст. 10). Сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Обрабатывать их можно только в прямо перечисленных случаях, например с письменного согласия или для медицинских целей.
• Биометрические данные (ст. 11). Сведения о физиологических и биологических особенностях человека, по которым можно установить личность, если оператор использует их именно для установления личности. Фотография сотрудника на сайте компании обычно не биометрия. Та же фотография в системе распознавания лиц на проходной уже биометрия.
• Данные, разрешенные для распространения (ст. 10.1). Сведения, которые человек разрешил сделать доступными неограниченному кругу лиц. На это нужно отдельное согласие, и молчание человека согласием не считается.

На кого распространяется закон о персональных данных

Закон о персональных данных распространяется на всех, кто обрабатывает сведения о людях в своих целях. Это организации любой формы собственности, госорганы, ИП и физические лица, если обработка выходит за рамки личных нужд.

Кто такой оператор персональных данных

Оператор - тот, кто самостоятельно или совместно с другими определяет цели обработки, состав данных и действия с ними (ст. 3). Статус определяется решениями компании, и запись в реестре Роскомнадзора на него не влияет. Работодатель решает, какие сведения о сотрудниках хранить. Интернет-магазин решает, что спрашивать при оформлении заказа. Медицинская организация определяет состав медицинской карты. Предприниматель с клиентской базой решает, кому и зачем звонить. Все они операторы, даже если ни разу не подавали уведомление.

Нужно ли соблюдать 152-ФЗ ИП и самозанятым

Да, если они собирают и используют данные клиентов для работы. Мастер маникюра, который ведет запись клиентов в мессенджере и напоминает о визите, обрабатывает имена и телефоны. Курьерская служба ИП передает адреса водителям. Репетитор делает рассылку о расписании. Небольшое число клиентов само по себе не освобождает от обязанностей, закон не устанавливает порога по объему базы. Объем влияет на другое, например на уровень защищенности и размер штрафа при утечке.

Когда обработка относится к личным и семейным нуждам

152-ФЗ не применяется к обработке физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права других людей (п. 1 ч. 2 ст. 1). Контакты друзей в личной записной книжке под исключение попадают. Те же контакты, использованные для продажи услуг или продвижения бизнеса, уже нет.

На каких условиях можно обрабатывать персональные данные

Обработка законна, если у нее есть определенная цель, правовое основание из статьи 6 закона и состав данных соответствует цели. Документы и уведомления вторичны, сначала нужно разобраться с этими тремя условиями.

Цель обработки и минимально необходимый состав данных

Цель определяется заранее и должна быть конкретной (ст. 5). Формулировка «для улучшения качества обслуживания» слишком размыта, чтобы проверить, какие данные для нее нужны. Формулировка «для обратного звонка по заявке» проверяема. Для обратного звонка достаточно имени и телефона. Запрос паспортных данных в такой форме потребует отдельного обоснования, и в большинстве случаев его не найдется. Сведения, собранные на всякий случай, увеличивают и риск утечки, и штрафы при проверке.

Когда нужно согласие на обработку персональных данных

Согласие - одно из правовых оснований обработки (п. 1 ч. 1 ст. 6). Оно должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9).

С 1 сентября 2025 года действует требование, которое внес Федеральный закон от 24.06.2025 № 156-ФЗ. Согласие должно быть оформлено отдельно от иных информации и документов, которые человек подтверждает или подписывает. Согласие внутри пользовательского соглашения или договора оферты этому требованию не соответствует.

Письменное согласие, например для специальных категорий или биометрии, содержит обязательные реквизиты (ч. 4 ст. 9):

• ФИО, адрес и паспортные данные субъекта (и представителя, если согласие дает он);
• наименование и адрес оператора и того, кому поручена обработка, если такое лицо есть;
• цель обработки и перечень данных;
• перечень действий и способы обработки;
• срок действия согласия и порядок его отзыва;
• подпись субъекта.

Оператор должен уметь доказать, что согласие получено (ч. 3 ст. 9). На сайте для этого нужны журналы отправки форм с датой, временем и версией текста согласия.

Когда обработка возможна без согласия

Статья 6 закона перечисляет и другие основания. Самые распространенные в бизнесе:

• исполнение договора с субъектом (п. 5 ч. 1 ст. 6). Магазину для доставки заказа нужны адрес и телефон покупателя, отдельное согласие на это не требуется;
• обязанности по закону (п. 2 ч. 1 ст. 6). Работодатель ведет кадровый учет и сдает отчетность в СФР и ФНС на основании трудового и налогового законодательства.

Наличие основания ограничивает обработку его рамками. Договор доставки позволяет использовать адрес для доставки, но не для рекламной рассылки через год.

Для конкретного процесса основание определяют с учетом всех его обстоятельств.

Почему согласие не заменяет остальные обязанности

Даже при подписанном согласии оператор обязан соблюдать заявленные цели и сроки, защищать данные, отвечать на запросы человека и прекратить обработку, когда цель достигнута. Кроме того, человек вправе отозвать согласие в любой момент.

Что обязан делать оператор персональных данных

Оператор должен знать свои процессы, закрепить правила в документах, уведомить Роскомнадзор и контролировать сроки хранения. Защиту данных разберем отдельным разделом.

Определить процессы обработки и ответственных

Первый шаг - карта данных. Для каждого процесса фиксируют, какие сведения поступают, где они хранятся, у кого есть доступ, кому передаются и когда удаляются. В сквозном примере это форма на сайте, почта и CRM, отдел продаж, подрядчик по колл-центру и срок хранения заявки.

Оператор-организация назначает лицо, ответственное за организацию обработки персональных данных (ст. 22.1). В нашей практике задачи обычно распределяются так. Руководство утверждает цели и бюджет. Юристы отвечают за основания и документы. Кадровая служба ведет данные сотрудников. ИТ настраивает системы и доступы. ИБ отвечает за защиту и расследование инцидентов. Когда эти роли не закреплены, каждая служба считает, что вопросом занимается соседняя.

Подготовить документы и правила работы

Документы делятся на публичные и внутренние. Публичная политика обработки персональных данных размещается на сайте, если данные собираются через интернет (ч. 2 ст. 18.1). Внутренние документы описывают, как все работает на практике:

• положение об обработке и защите персональных данных;
• перечень обрабатываемых данных и информационных систем;
• порядок доступа сотрудников и правила работы с носителями;
• формы согласий и уведомлений;
• договоры и поручения обработки с подрядчиками;
• порядок реагирования на запросы субъектов и инциденты.

Набор зависит от деятельности компании. Скачанный шаблон часто описывает процессы, которых в компании нет, и пропускает реальные.

Уведомить Роскомнадзор в предусмотренных случаях

До начала обработки оператор направляет уведомление о намерении обрабатывать персональные данные (ст. 22). После изменений 2022 года исключений осталось мало. Без уведомления можно обойтись, например, если данные обрабатываются исключительно без средств автоматизации или в ряде случаев, связанных с обеспечением безопасности государства и транспортной безопасности. Большинству компаний, у которых есть сайт с формой или CRM, уведомление нужно.

Формы уведомлений доступны на портале персональных данных Роскомнадзора pd.rkn.gov.ru. Об изменении сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем изменений, о прекращении обработки - в течение 10 рабочих дней. Запись в реестре операторов не является лицензией и не подтверждает, что компания соблюдает закон.

Соблюдать сроки хранения и уничтожения

Срок хранения зависит от цели и основания. Когда цель достигнута, данные нужно уничтожить или обезличить в течение 30 дней, если другой срок не установлен договором или законом (ч. 4 ст. 21). Кадровые документы хранятся по срокам архивного законодательства, заявка с сайта после завершения переговоров обычно не нужна.

Закон различает несколько действий:

• прекращение использования - данные остаются, но с ними ничего не делают;
• блокирование - временный запрет на обработку, например на время проверки спорных сведений;
• удаление - данные убирают из рабочей системы, при этом они могут оставаться в резервных копиях;
• уничтожение - сведения невозможно восстановить. Факт уничтожения подтверждается актом и выгрузкой из журнала по требованиям Приказа Роскомнадзора от 28.10.2022 № 179.

Как соблюдать 152-ФЗ на сайте

Соблюдение 152-ФЗ на сайте начинается с каждой формы и продолжается по всему пути, который проходит заявка после нажатия кнопки «Отправить». Сайт - самая заметная точка сбора данных и частый повод для проверок.

Формы заявок, регистрация и оформление заказа

Для каждой формы определите цель, состав полей и основание. Форма обратного звонка, регистрация в личном кабинете и оформление заказа решают разные задачи, и наборы полей у них разные.

Учитывайте, куда уходят данные после отправки. Заявка может одновременно попасть в CRM, на корпоративную почту, в мессенджер дежурного менеджера и в сервис сквозной аналитики. Каждый из этих получателей нужно отразить в документах, а внешние сервисы оформить договором поручения.

Политика обработки и согласие

Политика обработки персональных данных объясняет, какие данные компания собирает, зачем, на каком основании, кому передает и как человек может реализовать свои права. Она должна быть доступна на страницах, где собираются данные.

Согласие решает другую задачу, оно фиксирует волю конкретного человека по конкретной цели. Если согласие нужно, пользователь должен видеть его текст до отправки формы, а компания должна хранить подтверждение. Один универсальный чекбокс «Согласен со всем» под формой не подходит, особенно после требования об отдельном оформлении согласия.

Схема формы заявки может выглядеть так:

• поля «Имя» и «Телефон», других обязательных полей нет;
• ссылка на политику обработки рядом с кнопкой;
• отдельный чекбокс согласия на обработку со ссылкой на полный текст согласия;
• отдельный необязательный чекбокс согласия на получение рекламных материалов;
• в журнале формы сохраняются дата, время, версия текстов и отметки чекбоксов.

Рассылки, аналитика, cookies и виджеты

Обработка заявки и последующий маркетинг - разные цели. Согласие на обработку персональных данных не заменяет согласия на получение рекламы, которое требует статья 18 Федерального закона «О рекламе». Если пользователь не отметил второй чекбокс, рекламную рассылку ему отправлять нельзя.

Для систем аналитики, cookies и виджетов оцените, какие сведения они собирают, зачем и кто получает данные. Технические cookies, без которых сайт не работает, и cookies рекламных систем, которые передают данные третьим лицам, находятся в разном положении. Виджет онлайн-чата или карты может передавать данные посетителя внешнему сервису, и это нужно учитывать в политике и в оценке трансграничной передачи.

Почему документов на сайте недостаточно

Вернемся к сквозному примеру. Заявку выгрузили из CRM в таблицу, таблицу переслали подрядчику колл-центра, а менеджер сохранил копию в личном облачном аккаунте. Политика и согласие на сайте в порядке, но данные уже вышли за пределы контролируемых систем. Соответствие закону оценивается по всему процессу. Проверяющий или злоумышленник найдет слабое место скорее в переписке менеджера, чем в тексте политики.

Где хранить персональные данные и как передавать их другим

Закон различает несколько видов движения данных, и для каждого свои правила:

• хранение - данные находятся в системах оператора или его подрядчика;
• поручение обработки - подрядчик работает с данными по заданию оператора;
• предоставление - данные раскрываются определенному лицу или кругу лиц;
• распространение - данные раскрываются неопределенному кругу лиц.

Локализация персональных данных

При сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных на территории России (ч. 5 ст. 18). С 1 июля 2025 года, после поправок Федерального закона от 28.02.2025 № 23-ФЗ, норма сформулирована как прямой запрет использовать для этого базы данных за рубежом. Исключения закон связывает с отдельными основаниями из пунктов 2, 3, 4 и 8 части 1 статьи 6.

Российский домен или хостинг сайта в России соответствия не гарантируют. Нужно проследить весь маршрут данных. Форма может работать на российском сервере, но отправлять заявки в иностранную CRM или в зарубежный сервис почтовых рассылок.

Передача подрядчикам и обработка по поручению

Бухгалтерский аутсорсинг, облачная CRM, подрядчик по обслуживанию серверов - типичные случаи обработки по поручению (ч. 3 ст. 6). В договоре поручения указываются цели и перечень действий, обязанность соблюдать конфиденциальность и требования к защите, включая статью 19 закона.

Роли сторон определяются фактическими действиями и договором. Если подрядчик сам решает, как использовать данные, он может оказаться самостоятельным оператором. Передача данных подрядчику не снимает ответственности с оператора, за действия исполнителя перед человеком отвечает оператор (ч. 5 ст. 6).

Трансграничная передача

Трансграничная передача - передача персональных данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу. Это отдельная процедура, которая не отменяет требования о локализации.

С 1 марта 2023 года оператор до начала такой передачи уведомляет Роскомнадзор (ст. 12), предварительно собрав сведения о получателе и принятых им мерах защиты. Роскомнадзор может запретить или ограничить передачу. В страны без адекватной защиты данных до решения ведомства передавать данные нельзя. Федеральный закон от 26.07.2026 № 265-ФЗ уточнил критерий адекватности. Теперь в перечень включают страны, чье регулирование соответствует положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а участия в ней недостаточно.

Закон не запрещает все иностранные сервисы. Согласие человека тоже не делает законной любую передачу, процедуру по статье 12 нужно пройти в любом случае.

Публикация данных в открытом доступе

Отзывы клиентов с именами и фотографиями, страницы сотрудников на сайте, списки участников мероприятия - это распространение данных неопределенному кругу лиц. Для него нужно отдельное согласие на распространение по статье 10.1, в котором человек может установить условия и запреты. Передача списка участников организатору площадки относится к предоставлению определенному лицу и требует своего основания.

Как защищать персональные данные по 152-ФЗ

Оператор обязан принимать правовые, организационные и технические меры для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения (ст. 19). Состав мер зависит от угроз и уровня защищенности информационной системы.

Организационные меры

Организационные меры определяют, кто и как работает с данными:

• допуск только тех сотрудников, которым данные нужны для работы;
• назначение ответственного и закрепление ролей;
• обучение сотрудников и ознакомление с правилами под подпись;
• правила передачи данных подрядчикам и по каналам связи;
• контроль действий с данными и регулярные внутренние проверки.

Технические меры

Технические меры реализуют правила в системах. Управление доступом ограничивает права учетных записей, регистрация событий показывает, кто и когда выгружал базу клиентов, резервное копирование защищает от шифровальщиков и сбоев. Средства обнаружения вторжений сокращают время между атакой и ее выявлением, и от этого зависит, успеет ли компания уведомить Роскомнадзор в срок.

От чего зависит состав защиты

Требования к защите определяют подзаконные акты:

• Постановление Правительства РФ от 01.11.2012 № 1119 устанавливает четыре уровня защищенности информационных систем персональных данных;
• Приказ ФСТЭК России от 18.02.2013 № 21 определяет состав и содержание мер для каждого уровня. В июле 2026 года ФСТЭК опубликовала проект нового приказа на замену, до его вступления в силу применяется действующий документ;
• Приказ ФСБ России от 10.07.2014 № 378 регулирует применение средств криптографической защиты.

Уровень защищенности зависит от категории данных, их объема, типа актуальных угроз и того, чьи это данные, сотрудников или других лиц. Размер компании, наличие согласия или условная «секретность» сведений уровень не определяют. Небольшая клиника с базой пациентов может оказаться в более строгом режиме, чем крупный интернет-магазин.

Как оценить соответствие требованиям

Аудит соответствия 152-ФЗ отвечает на вопрос, соблюдает ли компания закон на практике. При аудите рассматривают основания и цели обработки, комплект документов, фактическое движение данных, права доступа, настройки систем и выполнение процедур. Результат - перечень несоответствий с приоритетами и план их устранения.

Универсального «сертификата соответствия 152-ФЗ» не существует. Если нужно проверить процессы до визита регулятора или после изменений закона, начните с аудита по 152-ФЗ. Уязвимости сайта и личного кабинета выявляет пентест веб-приложений.

Какие права есть у человека по 152-ФЗ

Человек вправе знать, кто и зачем обрабатывает его данные, требовать их исправления или прекращения обработки, отозвать согласие и обжаловать действия оператора.

Узнать, кто и зачем обрабатывает данные

По запросу оператор сообщает, обрабатывает ли он данные человека, на каком основании и с какой целью, какие сведения и из какого источника получены, кому они передаются, в какие сроки хранятся и кто обрабатывает их по поручению (ч. 7 ст. 14). Срок ответа - 10 рабочих дней, его можно продлить еще на 5 рабочих дней с мотивированным уведомлением.

Чтобы подтвердить личность, человек указывает в запросе сведения документа и данные, подтверждающие отношения с оператором, например номер договора. Оператору не нужно требовать копию паспорта, если личность можно подтвердить иначе.

Потребовать уточнения или прекращения неправомерной обработки

Основания и порядок различаются:

• неполные, устаревшие или неточные сведения оператор уточняет в течение 7 рабочих дней после получения подтверждающих документов;
• при неправомерной обработке оператор прекращает ее не позднее 3 рабочих дней, а если это невозможно, уничтожает данные в течение 10 рабочих дней;
• на требование прекратить обработку оператор реагирует в течение 10 рабочих дней с возможностью продления на 5 (ч. 5.1 ст. 21).

Отозвать согласие и обратиться с жалобой

Согласие отзывается письменно, в той форме, которую оператор указал в согласии и политике. После отзыва оператор прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено договором или соглашением (ч. 5 ст. 21). Обработка может продолжаться, если у оператора есть другое законное основание, например обязанность хранить документы.

Если оператор не ответил или отказал без оснований, человек может подать жалобу в Роскомнадзор или обратиться в суд, в том числе с требованием о компенсации морального вреда.

Что делать при утечке персональных данных

При утечке оператор ограничивает последствия, выясняет обстоятельства, уведомляет Роскомнадзор в два этапа и устраняет причины.

Ограничить последствия и установить обстоятельства

Первые действия - прекратить посторонний доступ, сохранить журналы, определить, чьи и какие данные затронуты, и собрать ИБ, ИТ, юристов и руководство. Уничтожение следов в спешке затрудняет расследование и не освобождает от уведомления.

Оценить обязанность уведомления Роскомнадзора

Если произошла неправомерная или случайная передача данных, повлекшая нарушение прав людей, оператор уведомляет Роскомнадзор (ч. 3.1 ст. 21). Отсчет начинается с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом.

Форма сообщения об инциденте размещена на портале pd.rkn.gov.ru. Сведения об инциденте, связанном с компьютерной атакой, передаются также в ГосСОПКА в порядке, утвержденном Приказом ФСБ России от 13.02.2023 № 77.

Устранить причины и пересмотреть защиту

После первичных уведомлений проверьте учетные записи и доступы, каналы передачи данных, настройки систем и действия подрядчиков. Нередко причиной оказывается забытая тестовая база, открытое облачное хранилище или учетная запись уволенного сотрудника. Подробный порядок расследования разберем в отдельной статье об утечках.

Ответственность за нарушение закона о персональных данных

Штрафы за нарушения установлены статьей 13.11 Кодекса РФ об административных правонарушениях, а не самим 152-ФЗ. Санкция зависит от состава нарушения, категории нарушителя, повторности и масштаба утечки. С 30 мая 2025 года действуют повышенные штрафы, введенные Федеральным законом от 30.11.2024 № 420-ФЗ.

Какие нарушения встречаются

Типичные нарушения, которые мы видим при аудитах:

• обработка без правового основания или для целей, несовместимых с заявленными;
• избыточный сбор данных в формах и анкетах;
• согласие внутри других документов или без обязательных реквизитов;
• отсутствие политики на сайте;
• неподанное уведомление о намерении обработки;
• хранение данных в зарубежных сервисах;
• нарушение требований защиты, которое заканчивается утечкой.

От чего зависят штрафы и другие последствия

В таблице указаны штрафы для юридических лиц. Для должностных лиц, ИП и граждан санкции ниже и указаны в тех же частях статьи.

Данные актуальны на 28.09.2026.

Пороги по утечкам считаются по числу субъектов или по числу идентификаторов, для каждой части закон задает свои значения. С 11 декабря 2024 года в Уголовном кодексе действует статья 272.1 о незаконном использовании и передаче компьютерной информации, содержащей персональные данные. Она касается прежде всего тех, кто незаконно собирает, продает или распространяет такие базы.

Что изменилось в требованиях к персональным данным

Раздел обновляется при каждой значимой поправке. В таблице собраны изменения 152-ФЗ, КоАП и подзаконных актов, которые вступили в силу в 2025-2026 годах.

Инициативы, которые пока не приняты, например оборотные штрафы за первую утечку, в таблицу не включены.

Частые вопросы о 152-ФЗ

Нужно ли соблюдать закон, если данные хранятся только на бумаге?

Да. 152-ФЗ распространяется и на обработку без средств автоматизации. Бумажные анкеты и журналы нужно хранить так, чтобы исключить посторонний доступ. Уведомлять Роскомнадзор в этом случае не требуется, если обработка ведется исключительно без средств автоматизации. Подробнее в разделе об обязанностях оператора.

Нужно ли получать согласие у каждого сотрудника?

Для кадрового учета и сдачи отчетности согласие не нужно, основанием служат трудовое и налоговое законодательство. Согласие требуется для целей, которые закон не предусматривает, например для публикации фотографии сотрудника на сайте или передачи данных в банк для зарплатного проекта без иного основания.

Можно ли использовать данные из открытого профиля в интернете?

Открытость профиля не дает права использовать данные для любых целей. Если человек разрешил распространение, условия и запреты указываются в согласии по статье 10.1. Сбор контактов из соцсетей для рекламных рассылок или обзвона обычно не имеет правового основания.

Достаточно ли разместить политику на сайте?

Нет. Политика только описывает правила. Закон требует соблюдать их на практике, иметь основания для каждой обработки, защищать данные, уведомлять Роскомнадзор и отвечать на запросы людей. Подробнее в разделе «Почему документов на сайте недостаточно».

Нужно ли удалять все данные после отзыва согласия?

Не всегда. Данные, обрабатываемые по согласию, уничтожаются в течение 30 дней, а сведения с другим основанием, например бухгалтерские документы, хранятся столько, сколько требует закон. Подробнее в разделе о правах человека.

Как проверить свою компанию

Соблюдение 152-ФЗ начинается с понимания того, какие данные есть в компании и куда они движутся. Проведите инвентаризацию форм на сайте, систем и подрядчиков, сверьте основания и сроки хранения, проверьте согласия на соответствие требованию об отдельном оформлении. Если нужна независимая оценка, специалисты «Сайбер Бизнес Консалтинг» проведут аудит соответствия требованиям 152-ФЗ и подготовят план устранения несоответствий. Для компаний с КИИ пригодится аудит и категорирование объектов КИИ по 187-ФЗ.