Б-152: защита персональных данных

Тем временем, число уголовных дел по неправомерному обороту персональных данных выросло в 13 раз за полгода. При том, что число зафиксированных утечек баз наоборот снизилось.

64,3% компаний не контролируют трансграничную передачу данных, и почти каждая десятая даже не знает, ведет ли она такую передачу вообще.

➡️ какие системы попадают под требования приказа №117;
➡️ что необходимо проверить до подключения к ГИС и получения информации ограниченного доступа;
➡️ в какой последовательности проводить обследование, проектирование и внедрение;
➡️ какие документы и подтверждающие материалы нужны для аттестационных испытаний;
➡️ где чаще всего возникают разрывы между документами и фактическими мерами;
➡️ что изменится в порядке периодического контроля с 1 сентября;
➡️ какие процессы необходимо поддерживать после получения аттестата.

Отдельно необходимо проверить, соответствуют ли фактические настройки проектным решениям, зафиксированы ли границы объекта и устранены ли недостатки, выявленные во время испытаний.

— Как изменился подход регуляторов к контролю за обработкой ПДн

— Почему наличие документов не означает, что компания готова к проверке

— Какие ошибки чаще всего приводят к претензиям и штрафам

— Реальные кейсы проверок и судебной практики 2026 года

— Как отличать поручение обработки от других форм взаимодействия компаний

— Кто отвечает за нарушения при передаче данных подрядчикам и по цепочке поставщиков

— Практические кейсы: аутсорсинг, облачные сервисы, доступы внешних исполнителей

— Как выстроить договорные отношения так, чтобы не потерять контроль

— Когда согласие остаётся обязательным основанием, а когда его можно заменить

— Практика: клиенты, программы лояльности, подписки, внутренние процессы компании

— Как перейти от формального сбора согласий к корректной модели обработки

— Что делать с уже собранными согласиями при смене основания

купили решения 👉начали внедрение 👉 уточнили архитектуру 👉разработали модель угроз 👉определили класс 👉поняли, что часть решений нужно менять

Кстати, 25 августа на вебинаре по приказу №117 мы отдельно разберем правильную последовательность подготовки и типичные ситуации, из-за которых уже принятые решения приходится пересматривать. Регистрация уже идет полным ходом 😎

Плановых проверок почти нет, мораторий продлен до 2030 года. Но охват мониторинга сайтов вырос вдвое — 160 000 проверенных ресурсов против 80 000 год назад, обращений граждан +20% г/г. При этом у РКН официально нет KPI по числу протоколов или сумме штрафов.

Оборотные штрафы (ч. 15 ст. 13.11 КоАП) за год не применены ни разу, несмотря на то, что именно ими весь бизнес пугали при принятии закона.

Даже в обязательных визитах предписание выдается только в 12% случаев. Остальное закрывается прямо на месте, в формате консультации.

РКН прямо призывает не бояться и пользоваться этим как инструментом диагностики рисков, в том числе МСП может сам инициировать визит.

РКН прямо назвал недобросовестной практику собирать согласие на всякий случай, прикрываясь несуществующими требованиями проверяющих. Согласие должно применяться только там, где закон гарантирует его добровольность и информированность, не как универсальная подстраховка под любую обработку.

Собрали данные россиян в РФ, а храните или обрабатываете за рубежом? Здесь все в порядке - если первичный сбор ПДн осуществлен в РФ, дальнейшая трансграничная передача разрешена, нарушения локализации тут не будет.

Apple ID, Google-аккаунт, LinkedIn, Telegram-логин не соответствуют требованиям к «иной информационной системе» для авторизации пользователей на территории РФ (нужна принадлежность российскому лицу + соответствие ст. 16 закона). Ответственность за это уже действует. Прямая рекомендация РКН — всем проверить свои сайты.

Цель → правовое основание → минимально необходимый состав данных → срок хранения → фиксация в политике → уведомление РКН.

Без фиксации каждой операции с данными невозможно пройти внутренний аудит и ответить субъекту по запросу (ст. 14) что именно с его данными делали.

Изменился только порядок включения страны в перечень «адекватных» — теперь нужен реальный анализ ее законодательства, а не формальный признак. Ранее совершенные передачи это не касается, новых уведомлений подавать не нужно.

🟦какая именно информационная система участвует во взаимодействии;
🟦какую информацию она получает из ГИС;
🟦относится ли эта информация к информации ограниченного доступа;
🟦какие требования к ее защите установил обладатель;
🟦где проходят границы принимающей системы;
🟦какие условия закреплены в договоре, техническом задании или регламенте взаимодействия.