Обзор комплаенса ПД

ПД обособляются от иной информации, на одном носителе нет данных с несовместимыми целями

носители по разным целям хранятся раздельно, места хранения и допущенные лица определены

типовые формы документов и журналы пропуска ведутся по пп.7-8 ПП-687

вне ст.1 лишь устное сообщение и несистематизированная бумага, граница спорна

РКН 01.07.2026: ПК, 1С, документы по почте - уже автоматизация, изъятие п.8 ч.2 ст.22 не работает

9 ААС, А40-12676/2024: сбор через форму на сайте сам по себе не автоматизация, если данные обрабатывает человек

АС МО 27.03.2025: вывод назван верным, но акт апелляции отменен

Широкое прочтение РКН не бесспорно, но опора на это дело рискованна

ЦЕНТРАЛЬНАЯ РОЛЬ

Оператор ПД

Соискатели и связанные лица

5 категорий

Персонал, владельцы и связанные лица

16 категорий

Контрагенты и связанные лица

9 категорий

Взаимодействующие лица

9 категорий

Иные категории

8 категорий

Каталог категорий субъектов ПД

privacy-advocates.ru/pd/

katalog_subektov

Актуальность: 15.11.2025

Перечень не исчерпывающий и требует адаптации под деятельность оператора

ДВОЙНОЙ СТАТУС ИП

ИП одновременно субъект ПД и оператор ПД как субъект экономической деятельности

Слово регулятора

устные позиции на днях открытых дверей и встречах, предостережения и предписания

Практика

письменные разъяснения РКН и Минцифры, проверочные листы, судебная практика

Нормы

152-ФЗ, 149-ФЗ, ТК, ГК, ПП-1119, ПП-687, ПП-1046, приказы РКН № 18, 140, 178, 179, 180, 187, ФСТЭК № 21 и 117, ФСБ № 378 и 77

Конституционный

ст.23-24: частная жизнь, личная и семейная тайна

Информационный

149-ФЗ: ограничение доступа и конфиденциальность

Специальный

152-ФЗ: режим ПД, права субъектов, обязанности оператора

Гражданско-правовой

гл.8 ГК: частная жизнь, изображение (ст.152.1)

Отраслевой

банковская и врачебная тайна, тайна связи, гл.14 ТК

Роскомнадзор

защита прав субъектов: проверки, профвизиты, дистанционный контроль, дела по ст.13.11 КоАП

ФСТЭК России

техзащита: приказы № 21 и 117, сертификация СЗИ, контроль мер ст.19 в госсистемах (ч.8 ст.19)

ФСБ России

криптозащита (приказ № 378), ГосСОПКА, предписания о доступе к ИС и копиях баз

Прокуратура

общий надзор вне ограничений 248-ФЗ, возбуждает дела по ст.13.11 КоАП

Минцифры России

регулирование: биометрия и ЕБС, обезличивание и НСУД, законопроекты

Банк России

финрынок: инциденты через ФинЦЕРТ, стандарты ИБ, биометрия финрынка

ФАС России

реклама: рассылки и звонки без согласия по ст.18 закона о рекламе

Роспотребнадзор и Роструд

навязанное согласие в договоре с потребителем, кадровые ПД по гл.14 ТК

Оператор

ПД

проверки по 248-ФЗ

мероприятия без взаимодействия

профилактический визит

обращения граждан и запрос по ч.4 ст.20

прокурорский запрос (ст.17.7 КоАП)

Шесть критериев

свободно и в своем интересе плюс пять признаков ч.1 ст.9

ОБЫЧНАЯ ФОРМА

Любой подтверждаемый способ

активная отметка в веб-форме, устно с записью, конклюдентно

доказывание лежит на операторе: журнал событий с датой, временем, текстом и идентификатором

скриншотов с пояснениями оператора для суда мало

отметка в интерфейсе не является электронной подписью

ПИСЬМЕННАЯ ФОРМА, ч.4 ст.9

Только там, где ее прямо требует закон

Специальные категории

ст.10 152-ФЗ

Биометрия

ст.11 152-ФЗ

Общедоступные источники

ст.8 152-ФЗ

Автоматизированные решения

ст.16 152-ФЗ

ПД работника у третьих лиц

п.3 ст.86 ТК

Передача ПД работника

ст.88 ТК

ст.10

152-ФЗ

Перечень закрыт

Имущественное положение и кредитная история остаются обычными ПД, генетика и биометрия живут по своим режимам. Расширить перечень толкованием нельзя, как и занизить режим.

Вывод тоже спецкатегория

Если из покупок, геолокации или поискового профиля выводится здоровье или убеждения, производные сведения обрабатываются по правилам ст.10.

Фото решает цель

Изображение лица становится спецкатегорией, когда обрабатывается специально для определения расы, национальности или убеждений.

КОНТУР ЕБС

572-ФЗ: изображение лица и голос

Идентификация (1 к N, кто это?) только через ЕБС: собственная биометрическая идентификация в системах организаций запрещена (ст.15)

Аутентификация (1 к 1, ты ли это?) по векторам ЕБС через аккредитованную организацию, офису собственная аккредитация не нужна

Первичный сбор только уполномоченные организации (МФЦ, банки) и приложение Госуслуги Биометрия, свой терминал регистрации недопустим

ПП-1912 (с 01.03.2026) сохранило заселение через ЕБС, с 01.04.2026 и по документу из Госуслуг. С 01.01.2027 региональные сегменты только с векторами

КОНТУР СТ.11 152-ФЗ

Все, что вне 572-ФЗ

Отпечатки, рисунок вен, радужка (вне перечня ПП-408) и сверка с участием должностного лица

Письменное согласие отдельным документом, конкретному оператору, обработчики поименно

Отпечатки ради пропуска работодатель снимать не вправе (Роструд), после увольнения биометрия уничтожается

Не биометрия: подсчет посетителей, контроль СИЗ, транскрибация встреч без установления личности

Утечка биометрии - ч.17 ст.13.11 КоАП: 15-20 млн ₽ независимо от объема

Запрет понуждения

нормы и санкции

ч.3 ст.11 152-ФЗ

нельзя отказать в обслуживании из-за отказа дать биометрию

чч.11-13 ст.3 572-ФЗ

нельзя обусловливать услуги и продажу товаров биометрией

ч.2.1 ст.5.63, ч.8 ст.14.8 КоАП

за отказ в госуслуге чиновнику до 25 тыс. ₽, за отказ потребителю юрлицу 200-500 тыс. ₽

Детские сим-карты

С 01.03.2027 абонент вправе сообщить оператору связи, что номером пользуется ребенок (210-ФЗ от 26.06.2026). Проект правил запрещает слать на него коды входа и иные SMS.

Маркетинг и профилирование

Прямой маркетинг ребенку только с предварительного согласия (ч.1 ст.15), профилирование детей - зона повышенного риска.

Оценка вреда

Обработка ПД несовершеннолетних по договору с ними вне случаев закона дает высокую степень вреда (приказ РКН № 178).

ПОРУЧЕНИЕ ОБРАБОТКИ (ч.3 ст.6)

Обработчик действует в чужих целях

перечень действий и цели обработки

конфиденциальность и меры защиты по ст.19, уровень защищенности

локализация по ч.5 ст.18 в редакции с 01.07.2025

сообщение об инциденте заметно раньше 24 часов оператора

подтверждение уничтожения, право на аудит, условия субобработки

ПЕРЕДАЧА ПД (без поручения)

Получатель - самостоятельный оператор

рамочное межоператорское соглашение, взаимное и равноправное

правомерность передачи: согласие или иное основание ч.1 ст.6

конфиденциальность (ст.7) и безопасность (ч.1 ст.19) у каждой стороны

информирование субъектов и порядок реагирования на их запросы

?

есть ли у получателя своя цель

Хостинг и техподдержка сайта

регулятор квалифицирует как поручение (дело А49-14214/2022)

Мощности без доступа к данным

РКН устно относит к поручению (14.08.2026), экспертно - четыре признака обработчика, включая доступ

Обязанность по закону у каждого

поручения нет, каждый обрабатывает в силу своей обязанности (пример - клиринг)

Установлен ли допуск?

Можно достоверно определить перечень лиц, имевших право доступа в конкретный момент или период

Контролируется ли доступ?

Доступ фактически ограничен для всех, кто таким правом не наделен

Предоставление

определенному кругу, согласие по ст.10.1 не нужно, нужно основание по ст.6

Распространение

неопределенному кругу, режим ст.10.1, обычно согласие по приказу РКН № 18

п.11 ст.3 152-ФЗ

Передача на территорию иностранного государства иностранному лицу. Экспертный подход добавляет целенаправленность.

зарубежные метрики и облака, резервные копии за рубежом

документооборот с иностранной материнской компанией

бронирование и билеты у иностранных компаний

удаленный доступ иностранного подрядчика из-за рубежа

передача гражданину РФ за рубежом

распространение неопределенному кругу

сервис без доступа к данным

собственный филиал без статуса юрлица (спорно, позиция РКН менялась)

БАЗОВЫЙ РИСК

например, Армения, Азербайджан, Сербия, Турция, Аргентина, Мексика

старт сразу после уведомления

ПОВЫШЕННЫЙ

государства ЕС, Великобритания, Швейцария, Япония, Республика Корея

старт после уведомления, выше шанс межведомственного запрета

ПОВЫШЕННЫЙ

например, ОАЭ

старт по истечении 10 рабочих дней, нужен обзор права страны

МАКСИМАЛЬНЫЙ

например, США

старт по истечении 10 рабочих дней, запасной маршрут заранее

Подбор персонала

поиск и оценка соискателей, резерв

Управление персоналом

прием, адаптация, учет, увольнение

Вознаграждение персонала

зарплата, удержания, мотивация

Обеспечение продуктивности, развития и безопасности персонала

обучение, охрана труда, медосмотры

Поддержка и мотивация персонала

ДМС, льготы, корпоративные события

Обеспечение пространственной мобильности персонала

командировки, релокация, транспорт

Обеспечение безопасности деятельности

пропускной режим, защита от посягательств

Информационно-технологическое обеспечение деятельности

коммуникации, оборудование и ПО, ИБ

Обеспечение эффективности и устойчивости деятельности

управление, контроль, защита прав

Сопровождение и поддержка деятельности

договоры, расчеты, закупки

Совершенствование и развитие деятельности

маркетинг, платформы, анализ аудитории

Ведение основной деятельности

профильная деятельность по уставу

Каталог целей обработки ПД

privacy-advocates.ru/pd/

katalog_celej

бумага: перекрестная резка, сжигание, вымарывание

машинные носители: механическое уничтожение, стирание, сдача на утилизацию по описи

SSD не затирают программной перезаписью, криптостирание в праве не закреплено

п.3.1 ч.2 ст.19 152-ФЗ: СЗИ с функцией уничтожения, прошедшие оценку соответствия

форма оценки спорна: ФСТЭК допускает любую (04.10.2024), ФСБ - сертификацию (05.10.2024)

невыполнение - ст.13.12 КоАП, а не ст.13.11

приказ РКН № 179: акт всегда, при автоматизированной обработке плюс выгрузка из журнала событий ИСПД

хранить 3 года, электронный акт допустим

при поручении сначала акт обработчика, затем оператора (РКН, 14.08.2026)

Ловушки

надзор с 2025 г. смотрит процесс, а не разовый факт

Резервные копии

выводятся из использования до ротации, восстановление из копии возвращает уничтоженное

Сохранившиеся данные

акт не спасает: рассылка после уничтожения ведет к штрафу по ч.5 ст.13.11

Забытые носители

ноутбуки, флешки, почта и выгрузки вне плана уничтожения

ЭТАП 1

Обследование

сбор и анализ документов и сведений

интервью, обследование процессов и ИСПД

реестр наблюдений и реестр обработки (RoPA)

ЭТАП 2

Оценка и модели угроз

перечень рекомендаций по итогам обследования

оценка вреда субъектам (приказ РКН № 178)

модели угроз и уровень защищенности (ПП-1119)

ЭТАП 3

Документы и решения

политика, положение, приказы и формы

уведомления РКН об обработке и о ТПД

модель защиты, СЗПД и план мероприятий

Контроль

соблюдения закона и требований к защите

Информирование

доведение требований до работников, обучение

Коммуникации

обращения субъектов, контакт в реестре операторов

Один на оператора

в уведомлении указывается одно лицо, функционал делегируется внутри

Можно внешнего

работник другой организации или юрлицо, но внештатный ответственный дает низкую степень вреда по приказу № 178

Подотчетен исполнительному органу

право на сведения есть, гарантий независимости закон не дает

Не назначили

отдельного состава нет, должностным лицом отвечает руководитель. ИП и граждане назначать не обязаны

На практике шире

RoPA, экспертиза договоров, оценка вреда, инциденты, сопровождение проверок

С 2025 г. формальность дорога

оборотные штрафы, ст.272.1 УК, снижение штрафа через расходы на ИБ

Единица анализа

описать процесс и выбрать масштаб: от маркетинга целиком до отдельного сайта

Виктимность

сумма 9 параметров (статус, цели, чувствительность, источники, субъекты, третьи лица, ТПД, масштаб, сценарии) × заметность от 1 до 4

Критичность

взвешенная сумма по 10 доменам требований, жизненный цикл и безопасность весят до 4 баллов

Дистанционный контроль РКН

Мониторинг сайтов, политик, форм согласий и cookie, сверка с реестром операторов без запросов и визитов

Жалобы субъектов

Обращения в РКН, прокуратуру и суд из-за непрошеных рассылок, навязанных согласий и запросов без ответа

Утечки ПД

Инциденты у оператора и его обработчиков. Уведомление РКН за 24 и 72 часа, оборотные штрафы за повторную утечку

ДЛЯ ОПЕРАТОРА

Общие выводы

Все три источника срабатывают извне, и момент выбирает не оператор

Front-end compliance (сайт, политика, согласия, cookie) снимает претензии и РКН, и субъектов

Ответ на запрос субъекта в течение 10 рабочих дней гасит жалобу до ее подачи

План реагирования на инциденты и контроль обработчиков снижают цену утечки

С 01.09.2022 ИСКЛЮЧЕНИЙ ТРИ

ч.2 ст.22 152-ФЗ

ч.10 ст.13.11 КоАП с 2025 г.

юрлица 100-300 тыс. ₽, должностные лица госорганов и НКО 30-50 тыс. ₽, срок давности год

Индикатор риска

три и более расхождений уведомлений с политикой на сайте - основание внепланового мероприятия

ТПД отдельно

о трансграничной передаче подается самостоятельное уведомление по ст.12, в форме ст.22 только факт

Группа компаний

каждое юрлицо подает отдельно (РКН, 14.08.2026), старые уведомления актуализируют по форме № 180

ПД вышли за периметр?

стали доступны внешним лицам: публикация, личная почта работника, копирование посторонним

Причина - компьютерная атака?

или иное нарушение безопасности объекта информационной инфраструктуры

Роскомнадзор

ч.3.1 ст.21 152-ФЗ, приказ РКН № 187, Портал ПД

ФСБ через ГосСОПКА

приказ ФСБ № 77: подключенные - в НКЦКИ, остальные - той же формой через РКН

Банк России

ФинЦЕРТ: 24 часа, 3 часа при усиленном и стандартном уровне, отчет за 30 дней

выявление

отсчет с момента выявления оператором, РКН или иным лицом, возможно и обработчиком. Часы календарные

первичное уведомление

что произошло, предполагаемые причины и вред, принятые меры, контакт представителя

дополнительное уведомление

результаты расследования: причины, вред, меры, лица, по вине которых произошел инцидент

если 72 часа пропущены

РКН требует результаты расследования, ответ за один рабочий день

Акт: пять обязательных реквизитов, форма не утверждена, из нескольких степеней выбирается наивысшая. Порядок оценки оператор закрепляет локальным актом.

В деле об утечке акт подкрепляет довод о принятых мерах (экспертный вывод): ВС 21.01.2026 оставил штраф по ч.1 ст.13.11 министерству, не принявшему всех мер, включая внутренний контроль.

Обстоятельства инцидента

масштаб, категории данных, длительность экспозиции, круг получателей

Статус и поведение

впервые, признание, нет жалоб, устранение до протокола. Льгота МСП к чч.11-18 не применяется

Меры до и во время

документы по ст.18.1 и 19, оценка вреда, внутренний контроль, работа защиты

Действия после

уведомления в срок, оповещение субъектов, мониторинг копий, компенсации

1-3%

годовой выручки

не менее и не более

20-500 млн ₽

1-3%

годовой выручки

не менее и не более

25-500 млн ₽

Компьютерная информация

сведения в форме электрических сигналов (прим. к ст.272)

Содержит ПД

отнесение к ПД по п.1 ст.3 152-ФЗ

Получена незаконно

неправомерный доступ, вмешательство или иной незаконный путь

923 случая применения

за 10 месяцев 2025 г. (МВД). Типичные фигуранты - низовые звенья с доступом к базам, служебное положение вменяют и рядовым работникам продаж.

базовый состав: использование, передача, сбор, хранение

штраф до 300 тыс. ₽

данные детей, спецкатегории, биометрия

штраф до 700 тыс. ₽

корысть, крупный ущерб, группа, служебное положение

штраф до 1 млн ₽

сопряжено с трансграничной передачей или перемещением носителей

штраф до 2 млн ₽

тяжкие последствия или организованная группа

наиболее тяжкий состав

создание ресурса для незаконного оборота

штраф до 700 тыс. ₽