Осведомленность персонала

Храните под замком

бумаги и флешки с ПД держите в отдельных шкафах, тумбах, сейфах или на отдельных полках

Чистый стол

не оставляйте документы с ПД на столе и сразу забирайте распечатки из принтера

Гости под присмотром

клиенты, поставщики и посетители находятся в помещениях с ПД только в сопровождении работников Компании

Правила ИБ

работая с ПД на компьютере, следуйте политикам и инструкциям Компании по информационной безопасности

Главное: защита ПД не порождает новых правил: достаточно соблюдать уже действующие правила защиты важной информации

Инцидент с ПД - любое нарушение конфиденциальности, целостности или доступности ПД, требований закона о ПД или соглашений об обработке ПД

Примеры инцидентов

• обработка без основания
• взлом учетной записи

• взлом системы или базы данных
• неправильное уничтожение файла

• неправильное уничтожение документа
• утеря устройства с ПД

• утеря документа с ПД
• письмо с ПД не тому адресату

• доступ к файлам без права
• публикация ПД без права

• передача ПД без права
• социальная инженерия

Что делать

Сообщить незамедлительно

своему руководителю

или любому руководителю отдела

или ответственному за организацию обработки и защиты ПД

подробности на внутреннем портале Компании

Осторожно: звонок "от руководства" о проверке утечки, а затем "от силовиков" - схема мошенников 2026 года по данным МВД. Пароли, коды и ПД по телефону и в мессенджерах не передают

Отвечает компания

отправка работником чужих данных в личную почту, облако или внешний ИИ-сервис не освобождает оператора

Запрет по содержимому

в инструктаже запрещают не саму модель, а вынос сведений из перечня, с которым работник ознакомлен

Адрес сервиса

фактический получатель может не совпасть с известным брендом, адрес проверяют наравне с текстом

Минимум данных

перед вставкой убирают идентификаторы и сведения из перечня тайны, но очистка не снимает режим ПД и тайны

Суд первой инстанции, 26.05.2026

Увольнение за разглашение

пересылка на личный адрес и выгрузка документов в сторонний диалоговый сервис, выгрузка учтена среди обстоятельств без отдельной квалификации

Школы, 31.08.2026

Минпросвещения

рекомендует не загружать ПД учеников в ИИ-сервисы вне закрытого контура ГИС, в общедоступный сервис только с отдельного согласия родителя

Где ищут

Открытые источники и darknet

форумы киберкриминальной тематики, в том числе платные и закрытые

Telegram-каналы и чаты киберкриминальной и ИТ-тематики

блоги и сайты распространителей вредоносного ПО и вымогателей

новостные ресурсы и комментарии пользователей

форумы ИТ-тематики

сервисы обмена текстом и кодом: Pastebin, GitHub

Что собирают

Сообщения об утечках

о продаже ПД и баз ПД

о покупке ПД и баз ПД

любые другие сообщения о фактах утечки

в фокусе - системы органов власти, операторов связи и госкомпаний с ПД граждан РФ

Вывод: срок уведомления Роскомнадзора об утечке идет с момента выявления, и неважно, кто ее нашел первым: Компания, регулятор или журналисты

Ответственный ведет внутренний контроль за соблюдением законодательства о ПД и помогает работникам. Обратитесь к нему незамедлительно, если вы

...видите угрозу своим правам

считаете, что при обработке ваших ПД в Компании нарушаются или могут быть нарушены ваши права и законные интересы

...заметили нарушение

обнаружили факт или угрозу нарушения действующих правил обработки и защиты ПД в Компании

...сомневаетесь

не уверены, правильно и законно ли поступаете вы или ваши коллеги при работе с ПД

Контакт: ФИО и e-mail ответственного лица Компании, а также ссылка на внутренний портал с правилами обработки ПД

• Вредный совет
• Как на самом деле

• Собирайте как можно больше данных, вдруг пригодятся
• лишние данные - лишний риск: не становитесь складом данных и удаляйте ненужное. Утечка - вопрос не "если", а "когда"

• Молчание - знак согласия
• согласие дают активным действием так, чтобы его можно было подтвердить, например электронной подписью. Бездействие согласием не считается

• Впишите рекламу в договор, клиенты потерпят
• рекламные рассылки и звонки допустимы только с отдельного согласия (ст.15 152-ФЗ, письмо Банка России и ФАС от 06.09.2021 № ИН-06-59/70, АК/75514/21)

• Для биометрии хватит согласия
• с 01.06.2023 идентификация по лицу и голосу идет только через ЕБС, аутентификация через ЕБС или по ее векторам (572-ФЗ). Подумайте, нужна ли биометрия вообще

• Иностранный сервис - не трансграничная передача
• почти любая работа с ПД через иностранный сервис или с зарубежным партнером - ТПД. С 01.03.2023 о ней заранее уведомляют Роскомнадзор, и он вправе ее запретить

Данные принадлежат людям

вам их доверили на время, и ваши права на данные заканчиваются там, где начинаются права их владельцев

Берегите чужие ПД как свои

у всех есть секреты, и раз люди поделились ими с вами, храните их надежно

Говорите понятным языком

без "например, но не ограничиваясь" и без пустых целей вроде "для улучшения пользовательского опыта"

Новая цель - новое решение человека

хотите использовать данные иначе, дайте людям решить самим и заслужите их доверие или согласие

Не просите лишнего

если данные не нужны для услуги, не собирайте их

Предупредите о беде

если с данными что-то случилось и это может навредить людям, сообщите им раньше, чем они столкнутся с последствиями

Суть: это те же принципы законности, минимизации, прозрачности и честности, только без юридического языка

• ?
• Можно ли потребовать удалить любые свои данные?

Нет. Уточнения, блокирования или уничтожения требуют, если данные неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели (ч.1 ст.14)

• ?
• Прекратят ли обработку после отзыва согласия?

Не всегда: если есть иное основание из пп.2-11 ч.1 ст.6, например закон или договор, обработка продолжается (ч.2 ст.9)

• ?
• Всегда ли откроют доступ к данным?

Доступ ограничивают, например, если он нарушает права других людей или обработка нужна для обороны, безопасности и правопорядка (ч.8 ст.14)

• ?
• Исполнят ли требование прекратить обработку?

Да, за 10 рабочих дней с продлением на 5, кроме случаев пп.2-11 ч.1 ст.6 (ч.5.1 ст.21)

Помните: как в интерфейсе с надписью "Вы не можете удалить сами себя": право работает в границах закона, а отказ оператор обязан мотивировать со ссылкой на норму

• 1
• Войдите в профиль

на Госуслугах откройте личный профиль

• 2
• Раздел "Биометрия"

видно, какая биометрия действует, кем и когда зарегистрирована

• 3
• Удалите ненужное

если биометрия чужая или не нужна, нажмите "Удалить"

• 4
• Проверьте согласия

в разделе "Согласия и доверенности" отзовите лишние согласия на биометрию

Три уровня биометрии в ЕБС

• Уровень
• Как появляется
• Что дает

• Упрощенная
• приложение "Госуслуги Биометрия" или перенос из банка
• ограниченный перечень услуг

• Стандартная
• приложение, загранпаспорт с чипом и телефон с NFC
• ограниченный перечень услуг

• Подтвержденная
• очно в банке или центре обслуживания
• все услуги, 5 лет

Право: отзыв по биометрии в ЕБС направляют оператору ЕБС через Госуслуги, а отказаться от сбора биометрии можно и через МФЦ (чч.14-16 ст.3 572-ФЗ)

• Что утекло
• Что делать

• ФИО, почта или телефон
• риск кражи денег низкий, главное - никому не называть коды из SMS и другие данные

• логины и пароли
• сразу сменить пароль, а если он повторялся на других сайтах, сменить его везде

• данные карт и счетов
• обратиться в банк: обычно он узнает об утечке первым, а карту перевыпускают бесплатно

• сканы документов
• быть бдительнее к правдоподобным письмам и звонкам "из налоговой" о "долгах" и "штрафах"

Компенсация

Только через суд и небольшая

отдельного механизма компенсаций за утечку нет

в суде нужно доказать утечку у компании и свой вред

по искам к Яндекс Еде суды снизили заявленные суммы до 5 000 ₽, кассация оставила это в силе (88-27523/2023)

можно договориться с компанией напрямую о бонусах или скидках

Совет: проверить, есть ли ваша почта или телефон в известных утечках, можно в сервисе НКЦКИ chk.safe-surf.ru