Комплаенс в области защиты информации

Ключевой менеджер ушел к конкуренту вместе с базой клиентов. Получится ли доказать в суде, что это была коммерческая тайна?

500 млн ₽

Оборотный штраф

максимум за повторную утечку ПД с 30.05.2025, от 1 до 3% выручки (ст.13.11 КоАП)

100+

Утечек баз ПД в 2025 году

по данным Роскомнадзора, десятки миллионов записей. В I полугодии 2026 года выявлено еще 12

большинство

Компаний контролируют персонал

по опросу 2025 года, примерно каждая шестая следит за активностью работников на компьютерах

6

Случаев инсайда

выявил Банк России с начала 2025 года к августу, чаще всего это топ-менеджеры

Тезис: информация защищена ровно настолько, насколько компания смогла оформить режим, выстроить процессы и собрать доказательства

• 1
• Эпизод 1. Разработчик ушел с кодом

перед увольнением выгрузил исходный код и базу клиентов в личное облако и перешел к конкуренту. В трудовом договоре есть пункт о неразглашении, но перечня сведений КТ (коммерческая тайна) и Положения о режиме нет

• 2
• Эпизод 2. Финансовый директор продал облигации

узнал о срыве крупного контракта, до публикации новости продал облигации компании и посоветовал брату поступить так же

• 3
• Эпизод 3. DLP (система предотвращения утечек) читает все мессенджеры

руководство купило систему, которая делает скриншоты каждые 5 минут и читает мессенджеры на рабочих ноутбуках. Сотрудникам решили не сообщать, чтобы поймать нарушителей

Ответим в конце раздела

Четыре вопроса кейса

• 1
• можно ли уволить разработчика и взыскать убытки

• 2
• какой режим выбрать для архитектуры и внутренних регламентов

• 3
• нарушил ли финансовый директор 224-ФЗ

• 4
• законен ли такой мониторинг и как его исправить

или

ст.9 149-ФЗ

В силу федерального закона

только федеральный закон ограничивает доступ, чтобы защитить права других лиц, здоровье, нравственность, оборону и безопасность

соблюдать конфиденциальность обязан каждый, кто получил доступ

например, ПД, банковская и врачебная тайна, инсайд, гостайна

с гостайной работают только по лицензии и с допуском (закон РФ О государственной тайне)

п.1 ч.3 ст.6 149-ФЗ

По решению обладателя

обладатель вправе разрешать или ограничивать доступ и определять его условия, если закон не запрещает

инструменты - режим КТ (коммерческая тайна) по 98-ФЗ или режим информации для внутреннего пользования (ИВП)

нельзя закрыть сведения из ч.4 ст.8 149-ФЗ и ст.5 98-ФЗ

Правило. Тайну образуют три элемента закона: перечень сведений, меры ограничения доступа и ответственность. Самоназвание тайной во внутреннем документе режима не создает

Служебная тайна в строгом смысле есть только у госорганов и подведомственных им организаций, это сведения с пометкой ДСП (Указ Президента РФ № 188, постановление Правительства РФ № 1233). Аналог в коммерческой компании - ИВП

Тайны о человеке

ПД, врачебная тайна, личная и семейная тайна, тайна усыновления, завещания, исповеди, голосования, тайна связи

Профессиональные тайны

адвокатская, нотариальная, аудиторская, банковская и налоговая тайна, тайна страхования, медиации, арбитража, кредитных историй, пенсионная тайна

Бизнес и финансовый рынок

коммерческая тайна и ноу-хау, инсайдерская информация, клиринговая тайна, тайна организованных торгов, тайна корпоративного договора

Государство и правосудие

государственная тайна, служебная тайна (ДСП), тайна следствия, тайна совещания судей, тайна ОРД, таможенная тайна

Безопасность и инфраструктура

безопасность КИИ, тайна обеспечения ИБ (информационная безопасность), сведения о защищаемых лицах, паспорта безопасности объектов ТЭК

ИВП - не тайна по закону

режим, который обладатель вводит сам по ст.6 149-ФЗ, без закона о тайне и без его ответственности

Тайны различаются механизмом: по содержанию сведений (гостайна, КТ (коммерческая тайна)), по сфере деятельности (врачебная, адвокатская, банковская тайна) и особая сфера частной жизни. Поэтому проверяют по перечню, по источнику получения или по характеру сферы

• Режим
• Основание
• Кто вводит и для кого
• Ответственность

• Персональные данные
• 152-ФЗ
• закон, для всех операторов ПД
• ст.13.11 КоАП с оборотными штрафами, ст.137 и 272.1 УК

• Коммерческая тайна
• 98-ФЗ, ст.1465 ГК
• обладатель, если выполнил меры ст.10 98-ФЗ
• увольнение, полная материальная ответственность, ст.13.14 и 14.33 КоАП, ст.183 УК

• Профессиональные тайны
• законы о банках, медицине, адвокатуре, нотариате, связи
• закон, для профессионалов и их работников
• отраслевая, ст.13.14 КоАП, ст.137, 138, 183 УК

• Инсайдерская информация
• 224-ФЗ
• закон, для эмитентов, профучастников и инсайдеров
• ст.15.21 и 15.35 КоАП, ст.185.6 УК

• Служебная тайна (ДСП)
• постановление Правительства РФ № 1233
• госорганы и подведомственные организации
• дисциплинарная

• Информация для внутреннего пользования
• ч.3 ст.6 149-ФЗ, ЛНА (локальные нормативные акты), договоры
• обладатель по своему решению
• дисциплинарная и договорная

Режимы накладываются: база клиентов бывает одновременно ПД и КТ (коммерческая тайна), а прогноз выручки до раскрытия - КТ и инсайдом. Требования применяют в совокупности, при расхождении - самые строгие

• Точная и конкретная
• определенные сведения, а не слухи и оценки

• Не распространена
• не была распространена или предоставлена, в том числе КТ (коммерческая тайна) и иная тайна

• Влияет на цены
• может существенно повлиять на цены финансовых инструментов, валюты или товаров

• Есть в перечне
• входит в перечень инсайдерской информации по ст.3 224-ФЗ

• Кто инсайдер, ст.4
• эмитенты и управляющие компании
• биржи, клиринг, брокеры, депозитарии, банки

• члены советов директоров, исполнительных органов, ревизоры
• владельцы не менее 25% голосов

• аудиторы, оценщики, консультанты, рейтинговые агентства
• работники и подрядчики с доступом по договору

Важно: инсайд может одновременно быть КТ, банковской или иной тайной, это прямо сказано в определении. После раскрытия сведения перестают быть инсайдом

утвердить и раскрыть перечень инсайдерской информации (ст.3)

вести список инсайдеров, уведомлять о включении и исключении (ст.9)

назначить ответственное должностное лицо или подразделение (ст.11)

утвердить правила доступа к инсайду и внутреннего контроля (ст.11)

раскрывать инсайдерскую информацию в установленные сроки (ст.8)

запрашивать у инсайдеров сведения об их сделках (ст.10)

Запрещено инсайдеру, ст.6

сделки на основе инсайда

передача инсайда без основания

рекомендации и побуждение к сделкам

манипулирование рынком

Ответственность

ст.15.21 КоАП - использование инсайда

ст.15.35 КоАП - нарушения эмитента

ст.185.6 УК - крупный ущерб или доход

законопроект № 1075257-8 (I чтение 11.02.2026, идет ко II): закрытые периоды для сделок инсайдеров

Практика Банка России, 2025: член совета директоров ПАО Ашинский метзавод купил акции в день заседания о дивидендах и продал с прибылью после раскрытия. Итог - административная ответственность и предписание

Начните с инвентаризации. Составьте реестр информационных массивов и для каждого укажите режим, владельца и круг лиц с доступом

Алексей Мунтян, рекомендация эксперта

Выводы

1

ограничить доступ можно в силу закона или по решению обладателя, для каждого массива нужен свой режим

2

режимы пересекаются, одна запись бывает ПД, КТ (коммерческая тайна) и инсайдом сразу, поэтому применяют самые строгие требования

3

инсайд касается не только бирж, если облигации компании торгуются на бирже, 224-ФЗ уже применяется

01

Коммерческая ценность

действительная или потенциальная, в силу неизвестности

02

Неизвестность

сведения неизвестны третьим лицам

03

Нет свободного доступа

на законном основании

04

Введен режим КТ

обладатель принял меры ст.10 98-ФЗ

Практика СИП, 2026

Ноу-хау из шаблонов

лицензиат заплатил 1 млн ₽ за секрет производства, эффективную бизнес-модель агентства недвижимости. Это оказались общедоступные шаблоны и типовые материалы. Суд по интеллектуальным правам (постановление от 30.04.2026 № С01-322/2026) указал, что секретности и ценности нет, значит нет и охраны

Учесть: сведения бывают любого характера, производственные, технические, экономические, организационные, в том числе о результатах интеллектуальной деятельности. Признаки проверяют по каждой позиции перечня отдельно

11

ст.5 98-ФЗ

категорий сведений не могут составлять КТ

суд не признает их КТ, даже если на них стоит гриф

О компании

учредительные документы и записи в госреестрах, разрешения на деятельность, лица, действующие без доверенности

О работниках

численность и состав, система оплаты и условия труда, травматизм, вакансии, долги по зарплате

О безопасности

загрязнение среды, пожарная безопасность, санитарно-эпидемиологическая и радиационная обстановка, безопасность продуктов

Прочее

нарушения закона и привлечение к ответственности, имущество госпредприятий и НКО, приватизация, сведения с обязательным раскрытием

Отмененный перечень

постановление Правительства РСФСР от 05.12.1991 № 35 (бухотчетность, налоги, платежеспособность) утратило силу с 26.07.2025, остался перечень ст.5 98-ФЗ

Практический вывод: систему оплаты труда скрыть нельзя, а зарплату конкретного работника защищает режим ПД (152-ФЗ, ст.88 ТК)

1

Перечень сведений

приказ об утверждении перечня сведений, составляющих КТ (коммерческая тайна)

2

Порядок обращения и контроль

Положение о режиме КТ, назначение ответственного

3

Учет лиц с доступом

перечень должностей с доступом, журналы учета лиц и носителей

4

Договоры

обязательство о неразглашении для работников, NDA с контрагентами

5

Гриф на носителях

Коммерческая тайна с наименованием и местом нахождения обладателя, в том числе в шаблонах файлов

Пропуск любой меры означает, что режима нет: ни убытков, ни увольнения за разглашение, ни уголовной защиты. Меры разумно достаточны, если исключают доступ без согласия обладателя (ч.5 ст.10)

Плюс ст.11 98-ФЗ: ознакомьте работника под подпись с перечнем, режимом и мерами ответственности и создайте условия для соблюдения режима. Нет подписи, нет и ответственности. Даты актов, расписок и грифа фиксируйте документально

Включаем в перечень КТ

исходный код ядра платформы и непубличные алгоритмы

архитектура продукта и план развития до анонса

база клиентов с условиями договоров и скидками

себестоимость и маржинальность проектов

стратегия участия в тендерах и переговорах

Не включаем

систему оплаты труда и численность (ст.5 98-ФЗ)

сведения о нарушениях и штрафах

открытый код и публичную документацию API

пароли и ключи, это предмет политики ИБ (информационная безопасность)

внутренние регламенты и оргструктуру, их переносим в режим ИВП (информация для внутреннего пользования)

Пишите конкретно: не вся финансовая информация, а себестоимость услуг по проектам до публикации отчетности. Ориентир - сведения, за которые конкурент готов заплатить, с обоснованием ценности по каждой позиции

• Суд и акт
• Что сделал работник
• Итог
• Довод суда

• Мосгорсуд, апелляционное определение от 08.09.2014 № 33-18661/2014
• отправил сведения КТ (коммерческая тайна) с рабочего места на внешний адрес
• законно
• раскрытие состоялось при отправке, провайдеры почты тоже третьи лица

• Новгородский областной суд, апелляционное определение от 25.07.2018 № 33-1732/2018
• пытался вынести флешку с программой, отнесенной к КТ, носитель изъяли на проходной
• незаконно
• сведения не стали известны третьим лицам, передачи не было

• 3 КСОЮ, определение от 15.06.2026 № 88-10469/2026
• ознакомлен с Положением о КТ, скачал в личное облако и отправил на личную почту сведения о технологиях и контрагентах
• законно
• отправка вопреки запрету - разглашение, даже если третьи лица не видели, ущерб не нужен

• Бабушкинский районный суд г. Москвы, решение от 26.05.2026 № 02-1545/2026
• ставил личный адрес в скрытую копию, часть документов загрузил в DeepSeek
• увольнение законно
• нет производственной необходимости выносить сведения, выгрузку в сервис суд учел. Иск удовлетворен частично: замечание отменено, 10 000 ₽ морального вреда, первая инстанция

КС РФ, постановление от 26.10.2017 № 25-П: пересылка служебной информации на личную почту создает угрозу ее неконтролируемого распространения. Но довод работает, только если обладатель сам принял меры, а без положения, перечня и листов ознакомления он бесполезен

Правовое основание

п.1 ч.3 ст.6 149-ФЗ

обладатель разрешает или ограничивает доступ, задает его порядок и защищает права при незаконном получении информации

ч.1 ст.1465 ГК

разумные меры конфиденциальности шире режима коммерческой тайны

ст.21 и 189 ТК

работник соблюдает локальные акты и трудовой распорядок

Что обычно относят к ИВП

порядок обеспечения физической, экономической и информационной безопасности

структура сети и информационных систем

сведения контрагентов, закрытые договором

ход исследований и пилотных проектов

планы встреч, совещаний, регламенты

• Признаки ИВП
• сведения вне иной охраняемой тайны
• неизвестны третьим лицам

• нет свободного доступа на законном основании
• обладатель ввел режим ограничения

Ответственность: ИВП не охраняемая законом тайна, увольнения по пп.в п.6 ч.1 ст.81 ТК нет. Остаются взыскания по ст.192 ТК, при неоднократности п.5 ч.1 ст.81 ТК, с контрагентами неустойка

• ?
• 1. Доступ ограничен федеральным законом? Например, ПД, банковская тайна, инсайд

Да - действует специальный режим этого закона, КТ (коммерческая тайна) можно добавить сверху, если выполнены признаки, но основания обработки ПД она не заменяет. Нет - к вопросу 2

• ?
• 2. Сведения из ст.5 98-ФЗ или подлежат обязательному раскрытию?

Да - ограничить доступ нельзя, сведения должны оставаться доступными. Нет - к вопросу 3

• ?
• 3. Есть коммерческая ценность и вы готовы выполнить все меры ст.10 98-ФЗ?

Да - режим КТ, сильная защита, включая увольнение, убытки, КоАП и УК. Нет - режим ИВП (информация для внутреннего пользования) с ЛНА (локальные нормативные акты), договорами, дисциплинарной и договорной ответственностью

• Итог
• специальный режим закона
• ограничить нельзя
• режим КТ
• режим ИВП

Комбинируйте: КТ для ядра ценных сведений, ИВП для остальной внутренней информации, специальные режимы по закону

• Ошибка
• Как правильно

• Все является КТ (коммерческая тайна), перечень на 200 пунктов
• оставьте в КТ только ценное, остальное переведите в ИВП (информация для внутреннего пользования)

• Нет ознакомления под подпись
• ознакомьте каждого с перечнем и Положением (ст.11 98-ФЗ) и храните подписи

• В перечне сведения из ст.5 98-ФЗ
• сверьте перечень со ст.5, например уберите систему оплаты труда

• Режим на бумаге, а папки открыты всем
• разграничьте доступ и ведите учет, иначе меры не разумно достаточны (ч.5 ст.10)

• NDA (соглашение о неразглашении) с контрагентом без перечня и срока
• укажите состав сведений, срок конфиденциальности и неустойку

Совет эксперта: проверьте режим на одном отделе. Через месяц докажите, кто и когда получил доступ к сведениям. Не получается, значит режим только на бумаге

• 1
• КТ дает самую сильную защиту

но только после всех пяти мер ст.10 98-ФЗ и ознакомления работников

• 2
• Для остальной внутренней информации

подходит режим ИВП на основе ст.6 149-ФЗ, ЛНА (локальные нормативные акты) и договоров

• 3
• Суды оценивают не названия документов

а реальное ограничение доступа и доказательства нарушения

• 4
• ИВП сохраняет регулирование и экономит ресурсы

действующее локальное регулирование переводится на современный правовой уровень, а набор правовых, организационных и технических мер подбирают без лишних затрат

Рекомендация эксперта

Держите перечень КТ коротким и конкретным

чем меньше сведений в режиме КТ, тем проще его соблюдать и защищать в суде

Практика: в деле 3 КСОЮ 2026 года Положение определяло КТ широко, но работодатель выиграл за счет ознакомления, прямого запрета и доказательств. Узкий перечень снимает и риск спора о составе КТ

Защита информации по ст.16 149-ФЗ - это правовые, организационные и технические меры, которые преследуют три цели

Задача ИБ

Целостность и доступность

защита от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения

Задача правового режима

Кто вправе знать

соблюдение конфиденциальности информации ограниченного доступа

Задача ИБ

Доступность тем, кому положено

реализация права на доступ к информации

Конфиденциальность информации - обязательное требование не передавать ее третьим лицам без согласия обладателя (п.7 ст.2 149-ФЗ)

Вывод: юрист отвечает на вопрос, кто вправе знать, ИБ (информационная безопасность) - как не допустить остальных. Работает только связка

1

Обследование

инвентаризация информации, ИС (информационная система) и потоков данных, привязка массивов к режимам

2

Нормативная база

политика ИБ (информационная безопасность), Положения о КТ (коммерческая тайна) и ИВП (информация для внутреннего пользования), политика обработки ПД, правила доступа

3

Оценка рисков

модель угроз и нарушителя, оценка рисков, план их обработки

4

Внедрение мер

средства защиты, разграничение доступа, DLP (система предотвращения утечек), обучение работников

5

Контроль и улучшение

метрики, внутренний аудит, разбор инцидентов, пересмотр документов

• Стандарты
• ГОСТ Р ИСО/МЭК 27001-2021
• ISO/IEC 27001:2022
• ГОСТ Р ИСО/МЭК 27005 для рисков

• ГОСТ Р 57580.1-2017 для финансовых организаций
• требования ФСТЭК для ИСПД и КИИ

Связь: защита ПД в ИСПД и СЗПД разобраны в разделе 27. Проект ФСТЭК о замене приказа № 21 не принят, срок 01.09.2026 сорван. Для госсистем с 01.03.2026 действует приказ № 117

PDCA

ГОСТ Р ИСО/МЭК 27001

СУИБ

система менеджмента ИБ (информационная безопасность) повторяет цикл, пока работает организация

обеспечение ИБ - это меры

управление ИБ - цикл их проверки и улучшения

результат каждого цикла - план следующего

План

Планирование

область применения, активы и их ценность, угрозы и уязвимости, оценка рисков, план обработки рисков

Делай

Внедрение

выполнение плана, внедрение мер и средств защиты, обучение и информирование работников

Проверяй

Проверка

метрики эффективности, журналы и записи, внутренний аудит, анализ инцидентов

Улучшай

Улучшение

анализ руководства, корректирующие меры, план развития СУИБ (система управления информационной безопасностью) на следующий цикл

• Информация
• ядро, ради которого строят все слои

• Технические меры
• доступ и аутентификация, шифрование, DLP (система предотвращения утечек), журналы и SIEM, резервные копии, антивирус, межсетевые экраны

• Организационные меры
• ответственные и роли, доступ по должностям, учет носителей, обучение, служебные расследования

• Правовые меры
• режимы КТ (коммерческая тайна), ИВП (информация для внутреннего пользования) и ПД, ЛНА (локальные нормативные акты), договоры и NDA (соглашение о неразглашении), ознакомление под подпись, ответственность

• От кого защищаем
• работники и бывшие работники
• владельцы и топ-менеджеры
• контрагенты
• конкуренты

• хакеры
• рейдеры

Порядок: сначала правовой слой, затем техника поверх него. Технические меры исполняют режим, но правового основания конфиденциальности не создают

01

Режим и ИБ (информационная безопасность) - разные вопросы

правовой режим решает, кто вправе знать, ИБ - как не допустить остальных

02

Систему строят по этапам

от обследования и нормативной базы к рискам, внедрению и контролю

03

Управление - это цикл

с метриками и аудитом, а не разовый проект

Рекомендация эксперта: первым шагом всегда идет инвентаризация информации: без карты данных нельзя выбрать режим, оценить риски и настроить DLP (система предотвращения утечек)

vs

Работодатель вправе

требовать исполнения обязанностей и бережного отношения к имуществу (ст.22 ТК)

обрабатывать ПД работника для контроля качества работы и сохранности имущества (ст.86 ТК)

контролировать соблюдение режима КТ (коммерческая тайна) (ст.10 98-ФЗ)

определять порядок доступа к своей информации (ст.6 149-ФЗ)

Работник защищен

частная жизнь и тайна переписки (ст.23 Конституции, ст.138 УК)

запрет собирать сведения о частной жизни и убеждениях (ст.86 ТК)

законная цель, минимизация, биометрия только с согласия (152-ФЗ)

право знать о контроле до его начала (ст.22, 68 ТК)

большинство

контролируют работников

по опросу 2025 года

почти половина

ведут видеонаблюдение

каждая пятая

анализирует рабочие чаты

каждая шестая

мониторит активность на компьютерах

Формула законности: запрет личного использования корпоративных ресурсов, уведомление работников, понятная цель и минимально необходимый объем контроля

Можно, если работники уведомлены

контролировать корпоративную почту и рабочие учетные записи

фиксировать действия в ИС (информационная система), копирование на носители и печать

блокировать отправку конфиденциальных файлов вовне

вести открытое видеонаблюдение в рабочих зонах

использовать данные DLP (система предотвращения утечек) в служебном расследовании

Нельзя или высокий риск

читать личную почту и мессенджеры, даже открытые на рабочем ПК

вести скрытое наблюдение без уведомления

ставить камеры в зонах отдыха, раздевалках, санузлах

идентифицировать по голосу и лицу без отдельного согласия

мониторить личные устройства без отдельного соглашения

Практика: начальник отдела ИБ (информационная безопасность) налогового органа скопировала личные чаты сотрудников со служебных компьютеров. Приговор по ч.3 ст.272 и ч.2 ст.138 УК - 2 года условно, апелляция оставила его в силе (суд ЕАО, 31.10.2023 № 22-541/2023)

• 1
• Цели и объем

зафиксируйте цели контроля, каналы и типы данных, уберите избыточное (ч.5 ст.5 152-ФЗ). Настраивайте систему на события и метаданные, а не на сплошное содержание

• 2
• Запрет личного использования

корпоративные устройства и аккаунты только для работы, закрепите это в ПВТР или ЛНА (локальные нормативные акты)

• 3
• Положение о мониторинге

средства, порядок, доступ к результатам и сроки хранения (ст.8 ТК)

• 4
• Ознакомление

под подпись до начала контроля. Если меняются условия труда, уведомьте за 2 месяца (ст.74 ТК)

• 5
• Документы по ПД

обновите политику и перечни. Для биометрии нужно отдельное согласие (ст.9, 11 152-ФЗ), с 01.09.2025 - отдельным документом

• 6
• Доступ к логам

узкий круг лиц, журнал просмотров, содержание открывают по конкретному поводу, расследование по ст.193 ТК

Результат: данные DLP (система предотвращения утечек) годятся как доказательства, а риски по ст.137 и 138 УК минимальны

Совет эксперта

Сначала режимы и ЛНА (локальные нормативные акты), потом DLP (система предотвращения утечек)

система мониторинга усиливает правовой режим, но не заменяет его. Пересылку ПД на личную почту Роскомнадзор устно (27.08.2025) относит к утечке, поэтому событие оценивают как инцидент

Скрытый мониторинг, чтобы поймать нарушителя

доказательства оспоримы, есть риск ст.137 и 138 УК

Перехват личных мессенджеров и почты

тайна переписки действует и на корпоративном ноутбуке

Тотальные скриншоты и кейлоггер без цели

нарушение минимизации ПД и повод для жалоб в Роскомнадзор

Доступ к логам DLP у всех администраторов

утечка внутри системы защиты от утечек

DLP есть, а режима КТ (коммерческая тайна) нет

передача зафиксирована, но назвать ее разглашением тайны нельзя

Роструд, 26.08.2025: статистика активности ПК основанием увольнения не является: основание и проступок берут из ТК, а отчет системы остается лишь доказательством

Промпт

Действуй как юрист по защите информации с опытом в ИТ-компаниях. На основе описания бизнеса [описание без конфиденциальных деталей] подготовь проект перечня сведений, составляющих коммерческую тайну, по ст.3 и ст.5 98-ФЗ. Сгруппируй позиции по категориям (технологии, клиенты, финансы, стратегия) и для каждой укажи, в чем ее коммерческая ценность. Отдельно перечисли сведения, которые нельзя включать в перечень по ст.5 98-ФЗ, и сведения, которые лучше защищать режимом ИВП (информация для внутреннего пользования). Не выдумывай нормы и помечай, что требует проверки юристом

Где запускать

GigaChat, YandexGPT или локальная модель в контуре компании

ИИ-агент с доступом к актуальной правовой базе, если он есть в компании

Что проверить в ответе

ссылки только на действующие статьи

в перечне нет сведений из ст.5 98-ФЗ

формулировки конкретны и привязаны к бизнесу

Важно: ИИ ошибается, результат остается вашей ответственностью. Не вводите в модель ПД и сведения КТ (коммерческая тайна): суд в 2026 году учел выгрузку документов в DeepSeek при увольнении за разглашение (02-1545/2026), а замена имен не снимает ни режим ПД, ни тайну

• Эпизод
• Правовая оценка
• Что делать

• Разработчик ушел с кодом и базой клиентов
• режим КТ (коммерческая тайна) не установлен: нет перечня, Положения и подписи. Увольнение по пп.в п.6 ч.1 ст.81 ТК и иск о разглашении КТ рискованны
• защищать код как служебное произведение (ст.1295 ГК), базу - через 152-ФЗ и договор. Срочно ввести режим КТ

• Архитектура и внутренние регламенты
• для регламентов подходит ИВП (информация для внутреннего пользования) по ч.3 ст.6 149-ФЗ, для ядра кода и коммерческих условий - КТ
• утвердить перечни КТ и ИВП, развести доступы, ознакомить работников под подпись

• Финансовый директор продал облигации
• использование инсайда и совет брату нарушают п.1 и 3 ч.1 ст.6 224-ФЗ, ответственность по ст.15.21 КоАП или ст.185.6 УК
• проверить перечень, список инсайдеров, правила контроля и ответственное лицо, иначе компании грозит ст.15.35 КоАП

Скрытый DLP (система предотвращения утечек) читает все мессенджеры

нарушены тайна переписки и принципы 152-ФЗ, доказательства из такой системы оспоримы

пройти алгоритм легализации, отключить перехват личных каналов, ограничить скриншоты целями

Нормативные акты

• 1
• Федеральный закон от 27.07.2006 № 149-ФЗ Об информации, информационных технологиях и о защите информации

• 2
• Федеральный закон от 29.07.2004 № 98-ФЗ О коммерческой тайне

• 3
• Федеральный закон от 27.07.2010 № 224-ФЗ о противодействии неправомерному использованию инсайдерской информации

• 4
• Федеральный закон от 27.07.2006 № 152-ФЗ О персональных данных

• 5
• Указ Президента РФ от 06.03.1997 № 188 о перечне сведений конфиденциального характера

• 6
• ГОСТ Р ИСО/МЭК 27001-2021 Системы менеджмента информационной безопасности

Практика и ресурсы

Постановление КС РФ от 26.10.2017 № 25-П

пересылка служебной информации на личную почту

Определение 3 КСОЮ от 15.06.2026 № 88-10469/2026

разглашение КТ (коммерческая тайна) через личные облако и почту

Решение Бабушкинского районного суда г. Москвы от 26.05.2026 № 02-1545/2026

выгрузка документов в сервис модели при увольнении за разглашение

Банк России, противодействие инсайду

cbr.ru/inside

Telegram-канал Privacy Advocates

t.me/prv_adv

Четыре слоя сведений, каждый по своей норме

• 1
• Идентификатор участника

адрес почты РКН устно считает ПД (22.07.2021-27.08.2025), изолированный номер нет (07.08.2025-14.08.2026), оба статуса спорны

• 2
• Метаданные обмена

кто, кому, когда и сколько: ПД и тайна связи, для операторов связи по ст.63 закона о связи и 345-О КС, для прочих по доктринальной позиции

• 3
• Содержание сообщения

тайна переписки (ст.23 Конституции), а ПД в части сведений о лицах, включая подписи и вложения

• 4
• Производные объекты

список участников созвона, запись и стенограмма требуют собственных основания, срока и доступа

Пленум ВС, 25.12.2018 № 46

Нужно согласие корреспондента

даже если личного в сообщении нет. Отсюда по экспертному подходу согласие на обработку ПД доступ к переписке не открывает

Суд и переписка

Истребовать можно, но в объеме дела

почтовые сервисы платили штрафы по ч.9 ст.66 АПК до 100 000 ₽, а доступ к ящикам должника за пять лет суд отклонил (А53-23516/2017)

Риск: подсказки, автоответы и сортировку по содержанию писем оценивают до внедрения: разбор писем ради рекламы Мосгорсуд счел нарушением тайны (33-30344/2015), границы машинного анализа спорны

• Признак
• Ч.8 ст.10 149-ФЗ, с 01.03.2023
• Ст.15 41-ФЗ, с 01.06.2025

• Кого касается
• названных в норме лиц при госуслугах, выполнении задания и продаже товаров, работ и услуг
• шире по кругу: госорганы, Банк России, финансовые организации, операторы связи, агрегаторы, крупные соцсети, сервисы объявлений

• Что запрещено
• передавать платежные документы и сведения с ПД граждан РФ через системы иностранных лиц
• информировать граждан РФ, по письму Минцифры от 25.06.2025 любое прямое взаимодействие, в том числе при аутентификации, кроме оказания услуг

• Как узнать сервис
• по перечню РКН (порядок по приказу от 21.02.2023 № 22), платформы созвонов по экспертному подходу
• по признакам ч.1 ст.15, перечня нет

• Ссылка без ПД
• не нарушает, если информация по ссылке вне иностранной системы (письмо Минцифры 12.01.2024)
• адресное сообщение со ссылкой остается информированием, канал без комментариев допустим

• Пример
• мировой судья 06.05.2026 (05-0478/348/2026): страховщику 100 000 ₽, нижний предел до 700 000 ₽, за одно сообщение в WhatsApp по ч.8 ст.10 и перечню
• практики не найдено

Входящие: по письмам Минцифры 28.06.2023 и РКН 13.09.2023 № 08-80104, а не по норме, ПД из сервиса перечня не принимают и уничтожают, прием заявок РКН счел нарушением ч.5 ст.18

vs

Сбор идет мимо мессенджера

мини-приложение: введенное сразу уходит на сервер разработчика

встроенный просмотр страницы с формой на ресурсе оператора

ссылка на свою форму, сама ссылка без ПД

Сбор идет через мессенджер

программный интерфейс бота: по экспертному подходу данные идут через серверы мессенджера, а боты с передачей за рубеж до записи в РФ нарушают ч.5 ст.18 (письмо РКН по обращению 22.01.2026)

чат-бот, который запрашивает фамилию и телефон в иностранном сервисе: это сбор, а не переписка

Роли платформ

хранение данных оператора у сервиса - поручение (РКН устно, 28.01.2022-31.01.2024), примеры почты, ВКС и рассылок экспертные

правообладатель программы в контуре оператора обработчиком не становится (РКН устно, 22.08.2025 и 27.08.2025)

с Telegram поручения нет (письмо Управления РКН по ПФО от 19.08.2025 № 22002-8/52), по экспертному подходу и с прочими публичными

Национальный сервис

Добровольный канал без нового согласия

информирование по закону или договору без согласия на этот способ (ч.8 ст.1 156-ФЗ), но не реклама. Разработчик приложения и получатель сведений по инициативе пользователя - самостоятельные операторы (письмо Минцифры от 31.08.2026)

• Объект
• Режим
• Что решить заранее

• Голос
• обычные ПД (РКН устно, 27.07.2023, 14.08.2026), при установлении личности спорно
• при проверке по лицу или голосу письменное согласие по ч.1 ст.11 и альтернатива

• Содержание беседы
• частная жизнь (ст.152.2 ГК) и охраняемые тайны поверх режима ПД
• о здоровье надежнее отдельные согласия на запись и передачу, РКН устно (27.08.2025) для обработчика не всегда

• Номер, время, длительность
• тайна связи по ст.63 закона о связи для операторов связи
• для стороны разговора фактор риска по экспертному подходу

• Запись, список и чат созвона
• носитель с голосом и изображением всех участников
• цель, информирование до начала, срок, доступ и уничтожение

• Стенограмма и автопротокол
• спорно
• сервис расшифровки оформить поручением и назвать протокол при информировании

• Основание записи
• договор и интерес надежнее отзываемого согласия (экспертный подход)
• без альтернативы уведомление заменяет согласие плохо, РКН устно (27.07.2023) допускал согласие продолжением разговора

ВС РФ: запрет собирать сведения о частной жизни помимо воли не касается записи участника об обязательствах сторон, если указано, когда, кем и как она сделана (33-КГ15-6, 35-КГ16-18), скрытая запись спорна

1

Ведение

письма с корпоративной почты с ФИО и названием организации идут без согласия на каждое (РКН устно, 22.10.2025), служебный чат вводят по ПВТР или ЛНА в рамках трудовой функции (Роструд, 08.09.2024)

2

Срок

по экспертному подходу срок задают каналу целиком или обосновывают долгое хранение по каждому слою переписки

3

Увольнение

спорно: срока и порядка закон не дает, конкурируют уничтожение, передача преемнику и архив на срок давности, а долго хранить без регламентации нельзя (РКН устно, 22.08.2025)

4

Уничтожение

удаленное письмо живет в резервных копиях, а перезапись журналов с ПД при продолжающейся обработке подпадает под приказ № 179 (РКН устно, 27.08.2025)

Запрос субъекта

Сведения об обработке, а не выгрузка ящика

ответ не включает ПД других лиц, если нет законных оснований их раскрыть (ч.2 ст.14), а письмо у второго участника оператор не удалит

Инциденты канала

Три сценария и три плана реагирования

открытая копия и ошибочная рассылка (уведомлять при выходе ПД наружу, РКН устно, 29.09.2022), захват учетной записи, пересылка на личную почту для работы из дома (утечка, РКН устно, 27.08.2025)

01

Начинайте с карты информации

чтобы понимать, какой массив к какому режиму относится

Рекомендация. Проведите инвентаризацию и ведите реестр информационных активов с режимом и владельцем

02

КТ (коммерческая тайна) сильна только при всех мерах

ст.10 98-ФЗ, для остального подходит ИВП (информация для внутреннего пользования)

Рекомендация. Держите перечень КТ коротким, а ИВП используйте как основной режим внутренней информации

03

Мониторинг законен при уведомлении

цели понятны, а личное отделено от рабочего

Рекомендация. Внедряйте DLP (система предотвращения утечек) после ЛНА (локальные нормативные акты) и ознакомления работников, а не вместо них

Главное: защита информации - это не гриф на документе, а связка правового режима, процессов и доказательств