⟶
Часть I — Что такое персональные данные
01 · Определение и суть
=персональные данные (ПД) — любая информация, прямо или косвенно идентифицирующая физическое лицо
*закон: Федеральный закон № 152-ФЗ «О персональных данных», 2006
*ключевое слово: «любая» — закон намеренно широк
=субъект ПД — физическое лицо, которого касаются данные
=оператор ПД — любое лицо, обрабатывающее ПД самостоятельно
*у вас есть форма обратной связи → вы оператор
*вы храните резюме кандидатов → вы оператор
*у вас есть CRM или бухгалтерия → вы оператор
Тест «Являюсь ли я оператором ПД?» 1. Есть база данных с именами / телефонами / email людей? → ДА 2. Есть форма на сайте, куда люди вводят данные? → ДА 3. Есть CRM, HR-система, бухгалтерия? → ДА Если хотя бы один ответ ДА — вы оператор, 152-ФЗ обязателен.
02 · Категории персональных данных
| Категория | Примеры | Режим защиты |
|---|---|---|
| Общие ПД | ФИО, адрес, email, телефон, дата рождения | Стандартный |
| Специальные ПД | Здоровье, биометрия, раса, религия, судимость | ! Усиленный — отдельное согласие |
| Общедоступные ПД | Данные из открытых источников | Сниженный, но не нулевой |
| ПД детей | Данные лиц до 18 лет | ! Согласие родителей |
| Биометрические ПД | Фото лица, отпечатки, голос, ДНК | ! Отдельный класс — ст.11 152-ФЗ |
!специальные и биометрические ПД — только явное письменное согласие; общее «на все данные» не работает
?является ли IP-адрес персональными данными? да — если можно связать с человеком; РКН признаёт IP персональными данными
⟶Часть II — Права и обязанности
03 · Права субъекта персональных данных
=субъект имеет право:
.получить информацию — какие данные, для чего, где хранятся
@срок ответа оператора: 30 дней
.потребовать исправления неточных данных
@срок: 7 рабочих дней
.потребовать удаления («право на забвение»)
@срок: 30 дней
!нельзя удалить если данные нужны для исполнения договора или по закону
.отозвать согласие — без объяснения причин, в любой момент
→оператор прекращает обработку в течение 30 дней
~но: если обработка нужна для договора — отзыв её не останавливает
.подать жалобу в Роскомнадзор или суд
04 · Обязанности оператора
=шесть правовых оснований обработки — нужно одно из:
1. Согласие субъекта
*самое частое для коммерческих сайтов
!должно быть свободным, конкретным, информированным
2. Исполнение договора
*CRM клиента, трудовой договор
3. Законная обязанность
*налоговая отчётность, бухгалтерия
6. Законный интерес
!РКН трактует узко — высок риск претензий
.назначить ответственного за обработку ПД
@оформить приказом или должностной инструкцией
!отсутствие ответственного = нарушение ст.18.1 152-ФЗ
.опубликовать Политику обработки ПД на сайте
.уведомить Роскомнадзор о начале обработки — pd.rkn.gov.ru
!без уведомления — штраф до 5 000 ₽ (ст.19.7 КоАП)
.уведомить РКН об утечке данных
@24 часа: первичное уведомление об инциденте
@72 часа: итоги внутреннего расследования
!с 2024 года за нарушение сроков — до 3 млн ₽
⟶Часть III — Согласие: как правильно
05 · Семь обязательных элементов согласия (ст.9 152-ФЗ)
| Элемент | Что указать | Ошибка-ловушка |
|---|---|---|
| ФИО субъекта | Имя того, кто даёт согласие | «Пользователь сайта» — недостаточно |
| Оператор | Наименование, ИНН, адрес | «Наша компания» — нарушение |
| Цель обработки | «Для отправки рассылки» — конкретно | «В маркетинговых целях» — слишком широко |
| Перечень данных | email, телефон, ФИО — конкретно | «Все предоставленные данные» — оспоримо |
| Действия с данными | Сбор, хранение, передача | Умолчать о передаче партнёрам — нарушение |
| Срок действия | Конкретный срок или «до отзыва» | Бессрочное согласие суды ограничивают |
| Способ отзыва | Как субъект может отозвать | Отсутствие = нарушение права на отзыв |
!галочка по умолчанию — нарушение
!«продолжая пользоваться сайтом, вы соглашаетесь» — не работает для ПД в РФ
Пример текста чекбокса для сайта
☐ Я даю согласие ООО «Название» (ИНН: XXXXXXXXXX) на обработку персональных данных: фамилии, имени, адреса электронной почты, номера телефона — в целях обратной связи и информирования о продуктах. Данные хранятся 3 года. Отозвать: [email protected] → Политика обработки персональных данных
⟶Часть IV — Передача данных
07 · Передача третьим лицам
=поручение обработки — передача данных подрядчику (облако, CRM)
.заключить договор поручения обработки ПД
!без договора — нарушение, даже если подрядчик надёжный
.указать: какие данные, для каких целей, запрет на самостоятельное использование
!трансграничная передача с 01.03.2023 — уведомительный порядок до передачи
@срок ожидания ответа РКН: 10 рабочих дней (может запретить)
| Страна / регион | Режим передачи | Что нужно |
|---|---|---|
| Страны ЕС / EEA | → Свободная (Конвенция 108) | Договор поручения |
| США | ! Осторожно — оценка per case | Privacy Shield недействителен |
| Беларусь, Казахстан | → Свободная (СНГ) | Стандартный договор |
| Прочие страны | ! Уведомление РКН | Может быть запрещено |
08 · Локализация данных (ст.18.1)
=ПД граждан РФ при первичном сборе — записывать в базы только на серверах в РФ
!сайт на зарубежном хостинге + форма сбора ПД = нарушение
!облачная CRM с серверами вне РФ = нарушение
|Яндекс.Облако, Selectel, VK Cloud, DataLine — допустимые варианты
?нужно ли хранить ВСЕ данные только в РФ? нет — только первичная запись; после этого данные можно копировать куда угодно
⟶Часть V — Штрафы 2024–2025
09 · КоАП ст.13.11
| Нарушение | Физлицо | ИП | Юрлицо |
|---|---|---|---|
| Обработка без согласия / без основания | до 10 000 ₽ | до 20 000 ₽ | ! до 75 000 ₽ |
| Нет публичной политики ПД | до 3 000 ₽ | до 10 000 ₽ | до 30 000 ₽ |
| Отказ субъекту в доступе | до 10 000 ₽ | до 20 000 ₽ | до 40 000 ₽ |
| Трансграничная передача без уведомления | до 50 000 ₽ | до 50 000 ₽ | ! до 500 000 ₽ |
| Утечка 1–10 тыс субъектов | — | — | ! до 3 млн ₽ |
| Утечка >100 тыс субъектов | — | — | ! до 15 млн ₽ |
| Повторное / умышленное | — | — | ! до 3% выручки |
~первое нарушение обычно: предписание, а не штраф
!повторное нарушение: максимальная санкция без предупреждения
10 · Утечка данных — план действий
→ФАЗА 1 · Обнаружение (0–2 ч)
.зафиксировать факт: время, источник, предполагаемый объём
.изолировать скомпрометированную систему
!не удалять логи — они нужны для расследования
→ФАЗА 2 · Уведомление РКН (до 24 ч)
.подать первичное уведомление на pd.rkn.gov.ru
!опоздание = нарушение; суды смотрят на добросовестность
→ФАЗА 3–4 · Расследование + итоговый отчёт (до 72 ч)
.установить вектор атаки, список пострадавших
.подать итоговое уведомление, устранить уязвимость
⟶Часть VI — Чеклисты
11 · Сайт с формами — минимальный комплаенс
12 · Компания — полный комплаенс
⟶Часть VII — Топ-10 ошибок
!
Ошибка 1: Политика ПД скопирована с чужого сайта
→разработать свою под реальные процессы компании
!
Ошибка 2: Одно согласие «на все случаи жизни»
→отдельные согласия для рассылки, CRM, партнёрских программ
!
Ошибка 3: Хранить ПД бессрочно «на всякий случай»
→прописать сроки хранения и реально их соблюдать
!
Ошибка 4: Не уведомлять РКН — «мы маленькая компания»
→одна жалоба субъекта = проверка; уведомление занимает 20 минут
!
Ошибка 5: Облако за рубежом без оценки трансграничности
→проверить и при необходимости уведомить РКН
!
Ошибка 6: Передача данных подрядчику без договора поручения
→договор поручения — не доверие, а требование закона
!
Ошибка 7: Субъект написал — ответа нет 2 месяца
→назначить ответственного, регламент 30 дней
!
Ошибка 8: Email-база «куплена» или «взята от партнёра»
→согласие выдано конкретному оператору — только собственные базы
!
Ошибка 9: Медданные сотрудников без отдельного согласия
→трудовой договор не покрывает специальные категории ПД
!
Ошибка 10: Нет Incident Response Plan до инцидента
→24-часовой дедлайн застанет врасплох — написать план сейчас