Время работы: пн. - пт. 9.00 - 18.00
Почта: abp@abp.legal
Почта: abp@abp.legal
Юристы по персональным данным: соблюдение требований законодательства в 2026
Входим в ведущие рейтинги и объединения страны:
Динамичная специализированная команда с уникальным опытом и признанием, которой доверяют клиенты по всей России
> 50 регионов
где находятся наши клиенты, мы работаем во всех одиннадцати часовых поясах с компаниями от Калининграда до Владивостока, используем современные средства связи и информационные системы, активно выезжаем в командировки
Динамичность
< 3 час.
средний срок ответа на запрос клиента по стандартной задаче. С нами Вы узнаете, что значит оперативность
Специализация
4
основных отраслевых и юридических специализации. Наш фокус - ИТ, E-com, цифровая медицина и интеллектуальная собственность
Команда
11 чел.
мы — действительно сплоченная команда энтузиастов, средний стаж работы в нашей компании — порядка пяти лет
Уникальность
> 90 %
законов в ИТ-сфере было принято после создания фирмы. Мы запускали телемедицинские сервисы до 2018 и токенизировали активы до 2020
Заслуживаем доверие
6 лет
подряд нашу фирму и специалистов отмечают рейтинги Право-300 и ИД Коммерсантъ в числе лучших юристов по нескольким направлениям
Признание
> 12
образовательных, научных и общественных объединений в деятельности которых мы участвуем, включая РАН, ТПП, МГЮА, Moscow Digital School
Опыт
9 лет
средний юридический стаж наших экспертов, мы молодая, но уже зрелая команда экспертов с прочной позицией на юридическом рынке
клиенты из Forbes, RAEX
> 10
крупнейших компаний доверяют нам свои проекты, в их числе компании группы Сбера, Яндекса, Технониколь, LG, 1С и Самолет
Цены на услуги юриста по персональным данным
Как проходит работа по защите персональных данных?
Первичная консультация юриста, анализ ситуации
Клиент направляет удобным способом (электронная почта, мессенджеры, устное
сообщение) запрос с описанием возникшей ситуации. Например, это может быть
проверка Роскомнадзора или необходимость провести аудит системы обработки персональных данных по запросу головной компании. Юрист связывается с заказчиком, определяет суть проекта и разрабатывает оптимальный подход к оказанию помощи клиенту. Клиенту направляются запросы о дополнительной информации, чтобы наиболее точно определить его потребность в той или иной услуге, предоставляются первичные комментарии по возникшей ситуации и способам минимизации рисков
сообщение) запрос с описанием возникшей ситуации. Например, это может быть
проверка Роскомнадзора или необходимость провести аудит системы обработки персональных данных по запросу головной компании. Юрист связывается с заказчиком, определяет суть проекта и разрабатывает оптимальный подход к оказанию помощи клиенту. Клиенту направляются запросы о дополнительной информации, чтобы наиболее точно определить его потребность в той или иной услуге, предоставляются первичные комментарии по возникшей ситуации и способам минимизации рисков
Подготовка необходимых документов и разъяснений
Юрист по защите персональных данных, на основании полученных от клиента сведений, начинает подготовку необходимых документов или ответов на вопросы клиента (в устной или письменной форме). Выполняется подготовка любой документации, которая может потребоваться заказчику: политик обработки персональных данных, текстов уведомлений в Роскомнадзор и ответов на запросы (требования) ведомства, отзывов на исковые заявления и ответов на претензии субъектов персональных данных. При работе специалист руководствуется предшествующим опытом в решении аналогичных задач, поэтому подготовленные материалы будут надежно защищать заказчика
Сопровождение после оказания услуги
Зачастую клиентам требуется корректировка ранее составленных документов в связи с изменением схемы работы или профильного законодательства. В этом случае юрист, который уже знаком с проектом клиента, оперативно вносит необходимые правки, и клиент может продолжать обработку персональных данных без существенных рисков. Кроме того, после подготовки ответов на требования или отзывов на исковые заявления, может потребоваться сопровождение заказчика на заседаниях комиссий Роскомнадзора и в суде. Наконец, вопросы обработки персональных данных часто связаны с законодательством о рекламе и интеллектуальной собственности, с которыми также могут помочь наши профильные специалисты
Юрист по персональным данным
По состоянию на январь 2025 г. в реестре операторов персональных данных содержатся сведения о 927 720 операторах персональных данных. Эта цифра значительна даже без учета тех компаний, которые не сообщают в Роскомнадзор об осуществляемой ими обработке персональных данных. В связи с этим вопросы, касающиеся персональных данных, являются очень актуальными как для компаний, так и для физических лиц, являющихся субъектами их обработки
Зачастую сопровождением обработки персональных данных в компании занимаются внутренние корпоративные юристы – это не всегда является верным решением, так как подобные специалисты, как правило, специализируются на сопровождении той отрасли, в которой компания осуществляет свою деятельность, и не так сильны в других сферах
Для обработки персональных данных важно соблюдать определенные условия, предусмотренные законодательством, в том числе – разработать необходимую документацию и продумать меры защиты, чтобы не допустить утечки данных, а также минимизировать ответственность в случае нарушения законодательства
Юрист по персональным данным способен все это сделать в краткие сроки, так как он разбирается в тонкостях обработки с учетом отличного знания нормативной базы и позиций Роскомнадзора в отношении отдельных вопросов
Для обработки персональных данных важно соблюдать определенные условия, предусмотренные законодательством, в том числе – разработать необходимую документацию и продумать меры защиты, чтобы не допустить утечки данных, а также минимизировать ответственность в случае нарушения законодательства
Юрист по персональным данным способен все это сделать в краткие сроки, так как он разбирается в тонкостях обработки с учетом отличного знания нормативной базы и позиций Роскомнадзора в отношении отдельных вопросов
Ключевые навыки юриста
Юрист по персональным данным должен отлично знать ФЗ «О персональных данных» от 27.07.2006 г. № 152-ФЗ, а также подзаконные нормативно-правовые акты Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)
Кроме того, юрист должен иметь практический опыт подготовки документов, необходимых для обработки персональных данных
Еще одним существенным критерием при выборе юриста является наличие у него опыта взаимодействия с Роскомнадзором, в том числе в части подготовки ответов на запросы и требования. У такого специалиста также должен быть опыт оспаривания или защиты в суде от привлечения к административной ответственности за нарушение законодательства о персональных данных, в том числе снижения штрафов, начисленных надзорным органом
Если компания планирует обрабатывать персональные данные не только российских граждан, но также жителей определенных штатов США (например, Калифорнии) или стран Евросоюза, то для разработки документов об обработке таких данных важно знание Общего регламента по защите данных (General Data Protection Regulation, GDPR) или законов определенных штатов США, включая закон Калифорнии о защите персональных данных потребителей (California Consumer Privacy Act, CCPA). С недавнего времени необходимо учитывать и законодательство Индии и Китая, в том числе: закон КНР о защите персональной информации (PIPL) и закон Индии о защите цифровых персональных данных (PDPB)
- Руководитель направления правовой защиты персональных данных
- Отмечен в 2025 г. ИД Коммерсантъ в числе лучших юристов по защите персональных данных»
Когда может понадобиться помощь юриста
К основным вопросам, по которым может понадобиться помощь юриста по персональным данным, можно отнести следующие:
-
консультация по способам обработки, получении согласия субъектов на обработку, способам получения согласия, а также по иным связанным вопросам - подготовка документов, необходимых в соответствии с 152-ФЗ и регламентирующих обработку персональных данных (политика обработки, согласия на обработку и др.)
- оспаривание предписаний, защита в суде от привлечения к административной ответственности за нарушение законодательства о персональных данных
- проверка документов на соответствие действующему законодательству по обработке персональных данных
- подготовка ответа на запросы субъектов персональных данных
- сопровождение при утечке персональных данных из компании
- подготовка ответа на запрос или требование Роскомнадзора
- включение компании в реестр операторов персональных данных
- сопровождение при проверке Роскомнадзора
Основные аспекты защиты персональных данных
Что такое персональные данные?
Персональные данные (далее также – ПДн) – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)
В настоящий момент выделяют следующие виды персональных данных:
-
ОбщедоступныеОпубликованы в открытых источниках с согласия владельца (фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные данные, сообщаемые субъектом персональных данных) -
БиометрическиеХарактеризуют физиологические и биологические особенности человека (ДНК, группа крови, отпечатки пальцев и др.) Если хранение осуществляется не с целью установления личности, то сведения не относятся к категории биометрических -
СпециальныеКасаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни -
ИныеКоторые не входят в другие группы. Обычно это дополнительная информация, которая меняется: размер зарплаты, социальный статус, рабочий стаж
Важно: Отнесение ПДн к определенной группе необходимо для правильного установления уровня защищенности ПДн и их дальнейшей обработки
Теперь разберем установленные условия обработки персональных данных
Так, организация вправе обрабатывать ПДн в следующих ситуациях:
Так, организация вправе обрабатывать ПДн в следующих ситуациях:
- Первая и главная - при наличии согласия субъекта на обработку
- Если обработка необходима для целей, предусмотренных законом (например, при сдаче отчетности или для соблюдения трудового законодательства)
- Если обработка происходит в ходе судебного разбирательства
- Если обработка необходима для исполнения полномочий государственных органов
- Если обработка выполняется для исполнения договора, стороной которого является субъект персональных данных, или же который заключен в пользу такого субъекта
- Если обработка необходима для защиты жизни и здоровья человека, а получить согласие невозможно
- Если обработка необходима в рамках мероприятий по возврату кредитов и займов
- Если обработка выполняется в рамках профессиональной деятельности журналиста
- Если обработка выполняется в статистических или исследовательских целях, в том числе, в рамках внедрения ИИ, при этом данные обязательно должна быть обезличены
- Если обрабатываются общедоступные персональные данные (здесь важно отметить, что такие данные должны быть опубликованы или раскрыты в соответствии с законом, речь не идет о данных, просто размещенных на Интернет-ресурсах)
Важно: согласие может дать как сам субъект персональных данных, так и его представитель – либо законный (например, родитель или опекун), либо по доверенности, которая содержит такие полномочия
Еще один важный аспект согласия на обработку персональных данных – возможность его отзыва в любой момент времени. Организация - оператор ПДн при этом может продолжить обработку данных, если есть другие, кроме согласия, основания их обработки
По общем правилу, согласие на обработку может быть получено в любой форме:
- На бумажном носителе
- Путем согласования текста согласия на веб-странице
- Если человек скажет «да» в телефонном разговоре
Если речь о согласии с документом на сайте, то Роскомнадзор настоятельно рекомендует размещать напротив текста такого согласия чекбокс, в котором нужно проставить соответствующую «галочку». Автоматическое предварительное проставление «галочки» не будет расцениваться Роскомнадзором как соблюдение требования о получении согласия
При этом, в некоторых случаях согласие на обработку должно быть строго письменным. Это требуется, например, когда обрабатываются так называемые специальные категории ПДн – сведения о состоянии здоровья, об интимной жизни, о национальной принадлежности или некоторые другие. Такое согласие может быть оформлено или на бумажном носителе или с помощью квалифицированной электронной подписи (электронной подписи, которая существует в виде сертификата, выданного удостоверяющим центром или с помощью Госуслуг). Кроме того, к согласию в письменной форме есть четкие требования по содержанию - там должен быть указан определенный перечень данных о самом субъекте персональных данных, об операторе, о целях и способах обработки
Есть еще интересная категория ПДн - это «персональные данные, разрешенные субъектом персональных данных для распространения». Это значит, что гражданин может дать какой-то конкретной организации свое согласие на распространение его данных среди неограниченного круга лиц. Это согласие должно быть предоставлено в строго определенной форме. В тексте этого документа есть таблица с персональными данными, и сам гражданин выбирает, какие данные он готов раскрывать неограниченному кругу лиц, а какие - нет. Это касается и бумажной, и электронной формы такого согласия. Кроме того, гражданин может, как и в случае с обычным согласием на обработку персональных данных, отозвать такое согласие, и в этом случае распространение данных должно быть немедленно прекращено
При этом, в некоторых случаях согласие на обработку должно быть строго письменным. Это требуется, например, когда обрабатываются так называемые специальные категории ПДн – сведения о состоянии здоровья, об интимной жизни, о национальной принадлежности или некоторые другие. Такое согласие может быть оформлено или на бумажном носителе или с помощью квалифицированной электронной подписи (электронной подписи, которая существует в виде сертификата, выданного удостоверяющим центром или с помощью Госуслуг). Кроме того, к согласию в письменной форме есть четкие требования по содержанию - там должен быть указан определенный перечень данных о самом субъекте персональных данных, об операторе, о целях и способах обработки
Есть еще интересная категория ПДн - это «персональные данные, разрешенные субъектом персональных данных для распространения». Это значит, что гражданин может дать какой-то конкретной организации свое согласие на распространение его данных среди неограниченного круга лиц. Это согласие должно быть предоставлено в строго определенной форме. В тексте этого документа есть таблица с персональными данными, и сам гражданин выбирает, какие данные он готов раскрывать неограниченному кругу лиц, а какие - нет. Это касается и бумажной, и электронной формы такого согласия. Кроме того, гражданин может, как и в случае с обычным согласием на обработку персональных данных, отозвать такое согласие, и в этом случае распространение данных должно быть немедленно прекращено
Отзывы клиентов
Сервис СберЗдоровье
Команда юристов фирмы "Афонин, Божор и партнёры" на постоянной основе сопровождают в юридической части обработку персональных данных и вносят необходимые корректировки. Регулярно обращаемся к специалистам компании и подтверждаем высокий уровень их ответственности и экспертизы
Специалисты компании "Афонин, Божор и партнеры" помогают фирме, среди прочего, в вопросах обработки и защиты конфиденциальной информации и данных. Наши сотрудники часто обращаются к юристам в рамках комплексного обслуживания и рассчитывают на компетентное решение своих вопросов
Halsa | Персональные витамины
Платформа Happy Inc
Юристы компании "Афонин, Божор и партнеры" в рамках абонентского сопровождения сервиса быстро и качественно решают поставленные перед ними задачи, в том числе, в сфере обработки персональных данных пользователей, что минимизирует регуляторные риски и снимает вопросы контрагентов
Обработка персональных данных на других основаниях
Выше описаны ситуации, когда ПДн могут обрабатываться без согласия субъекта персональных данных. Их достаточно много, часть касается государственных органов, часть – чрезвычайных ситуаций. Подробнее рассмотрим те варианты обработки данных без согласия, которые наиболее часто встречаются на практике
Когда обработка производится в целях, предусмотренных законом
Например, частная медицинская организация в процессе своей работы оформляет медицинские карты на пациентов, а после оказания им услуг - также акты оказанных услуг, в которых отражается информация о пациентах. Медицинские карты, по требованиям Минздрава, должны храниться 25 лет. Бухгалтерская документация, включая акты оказанных услуг - 5 лет. Соответственно, даже если пациент отозвал свое согласие на обработку, клиника будет хранить его документы, пока не придет срок их уничтожения
Когда данные обрабатываются для исполнения договора, заключенного с субъектом персональных данных
Данная ситуация несколько сложнее, так как подобная обработка должна быть строго необходимой для заключения или исполнения договора. Например, использование данных, полученных от клиента, для обучения искусственного интеллекта уже будет недопустимым. Как только договор прекращает свое действие, обработка также должна быть прекращена (кроме случаев хранения документов в бухгалтерских целях и для решения споров с клиентом на случай, если они возникнут). Такой договор не может содержать в себе какие-либо условия, которые ограничивают права субъекта персональных данных. Кроме того, на основании договора (без отдельного согласия или иных оснований обработки) нельзя обрабатывать данные несовершеннолетних
Способы обработки персональных данных
Обработка ПДн может выполняться самыми разными способами, и в любом случае будет считаться обработкой
В ст. 3 закона 152-ФЗ есть определение обработки персональных данных. Согласно такому определению, обработка - это любое действие с персональными данными, включая:
- сбор
- запись
- систематизацию
- накопление
- хранение
- уточнение (обновление, изменение)
- извлечение
- использование
- передачу (распространение, предоставление, доступ)
- обезличивание
- блокирование
- удаление
- уничтожение
Именно этот перечень можно увидеть почти в любом согласии на обработку персональных данных или в любой размещенной на сайте политике обработки персональных данных
Сама обработка может осуществляться без использования средства автоматизации (то есть вручную) или с использованием таких средств. При этом, по общему правилу запрещается принятие на основании исключительно автоматизированной обработки ПДн решений, которые порождают юридические последствия для субъекта персональных данных. Такие решения можно принимать на базе автоматически обработанных сведений только если есть согласие субъекта, или если это прямо предусмотрено законом. А сам гражданин в этом случае может возражать против принятия такого решения, и его возражения обязательно должны быть рассмотрены
Почему выбирают нас по вопросам персональных данных
- Полное соответствие законодательству — обеспечиваем выполнение требований ФЗ-152 и других нормативных актов
- Анализ рисков — выявляем потенциальные нарушения и разрабатываем меры их предотвращения
- Разработка политики конфиденциальности — составляем документы, необходимые для защиты данных клиентов и сотрудников
- Сопровождение проверок — помогаем при проверках Роскомнадзора и других контролирующих органов
- Обучение сотрудников — проводим инструктажи по работе с персональными данными в рамках закона
- Регистрация баз данных — оформляем уведомления в Роскомнадзор и контролируем их актуальность
- Удалённое сопровождение — работаем с компаниями по всей России
- Подготовка договоров — включаем положения о персональных данных в соглашения с контрагентами и партнёрами
- Решение споров — защищаем интересы клиента при нарушении прав на защиту данных
- Комплексный подход — от аудита до внедрения систем защиты персональных данных
Специалист, проверивший статью:
старший юрист практики цифрового права и руководитель блока взаимодействия с Министерством цифрового развития
Опубликовано:
12.07.2024
12.07.2024
Трансграничная передача персональных данных
Трансграничная передача - это передача персональных данных за рубеж
Даже кратковременная загрузка ПДн на иностранный сервер будет считаться трансграничной передачей. Прежде всего, если организация планирует такую передачу данных, она обязана уведомить Роскомнадзор по определенной форме
Даже кратковременная загрузка ПДн на иностранный сервер будет считаться трансграничной передачей. Прежде всего, если организация планирует такую передачу данных, она обязана уведомить Роскомнадзор по определенной форме
В уведомлении указывается следующее:
1] Наименование (фамилия, имя, отчество), адрес оператора, а также дата и номер уведомления о намерении осуществлять обработку персональных данных, ранее направленного оператором
2] Наименование (фамилия, имя, отчество) лица, ответственного за организацию обработки ПДн, номера контактных телефонов, почтовые адреса и адреса электронной почты
3] Правовое основание и цель трансграничной передачи ПДн и их дальнейшей обработки
4] Категории и перечень передаваемых персональных данных
5] Категории субъектов, персональные данные которых передаются
6] Перечень иностранных государств, на территории которых планируется трансграничная передача
7] Дата проведения оператором оценки соблюдения органами власти иностранных государств, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача, конфиденциальности ПДН и обеспечения безопасности при их обработке
Роскомнадзор по итогам рассмотрения такого уведомления может или ничего не делать (тогда трансграничная передача будет возможной) или запретить такую передачу организации. Решение Роскомнадзора в этом случае придется обжаловать в суд. Если государство, на территорию которого планируется передавать данные, не обеспечивает адекватный уровень защиты персональных данных (такой перечень утверждает Роскомнадзор), то, скорее всего, подобную передачу не разрешат
Как и в случае с другими способами обработки, для трансграничной их передачи должны быть определенные основания - согласие субъекта персональных данных или какое-то другое из перечня, который рассматривали ранее. Раньше такое согласие обязательно должно было быть письменным, теперь такое требование отменено
1] Наименование (фамилия, имя, отчество), адрес оператора, а также дата и номер уведомления о намерении осуществлять обработку персональных данных, ранее направленного оператором
2] Наименование (фамилия, имя, отчество) лица, ответственного за организацию обработки ПДн, номера контактных телефонов, почтовые адреса и адреса электронной почты
3] Правовое основание и цель трансграничной передачи ПДн и их дальнейшей обработки
4] Категории и перечень передаваемых персональных данных
5] Категории субъектов, персональные данные которых передаются
6] Перечень иностранных государств, на территории которых планируется трансграничная передача
7] Дата проведения оператором оценки соблюдения органами власти иностранных государств, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача, конфиденциальности ПДН и обеспечения безопасности при их обработке
Роскомнадзор по итогам рассмотрения такого уведомления может или ничего не делать (тогда трансграничная передача будет возможной) или запретить такую передачу организации. Решение Роскомнадзора в этом случае придется обжаловать в суд. Если государство, на территорию которого планируется передавать данные, не обеспечивает адекватный уровень защиты персональных данных (такой перечень утверждает Роскомнадзор), то, скорее всего, подобную передачу не разрешат
Как и в случае с другими способами обработки, для трансграничной их передачи должны быть определенные основания - согласие субъекта персональных данных или какое-то другое из перечня, который рассматривали ранее. Раньше такое согласие обязательно должно было быть письменным, теперь такое требование отменено
Право на защиту данных
Для защиты персональных данных установлены законодательные гарантии, которые можно разделить на российские и международные
Российские – ФЗ «О персональных данных» № 152-ФЗ
Для субъекта персональных данных законодательством РФ установлены следующие права:
1) Право на доступ к его персональным данным, которое включает в себя:
2) Право требовать прекращения обработки персональных данных, если их обработка происходит без его согласия в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации
3) Право обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке
Для субъекта персональных данных законодательством РФ установлены следующие права:
1) Право на доступ к его персональным данным, которое включает в себя:
- право на получение сведений об обработке его ПДн
- право требовать от оператора уточнения его данных, их блокирования или уничтожения
2) Право требовать прекращения обработки персональных данных, если их обработка происходит без его согласия в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации
3) Право обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке
Международные и иностранные – GDPR, CCPA
Если компания-оператор планирует обрабатывать персональные данные как российских граждан, так и жителей определенных штатов США или стран Евросоюза, то необходима разработка документов об обработке таких данных с учетом Общего регламента по защите данных (General Data Protection Regulation, GDPR) или законов определенных штатов США, включая закон Калифорнии о защите персональных данных потребителей (California Consumer Privacy Act, CCPA)
Данные акты предусматривают похожие права для субъекта персональных данных:
1) Право на доступ к его ПДн, в том числе на получение сведений об обработке и их уточнении, блокировании, исправления и др
2) Право на подачу жалобы в надзорный орган
3) Право на запрет использования данных без полученного согласия
4) GDPR также предусматривает «право на переносимость данных» - то есть право перенести свои ПДн от одного оператора к другому
Если компания-оператор планирует обрабатывать персональные данные как российских граждан, так и жителей определенных штатов США или стран Евросоюза, то необходима разработка документов об обработке таких данных с учетом Общего регламента по защите данных (General Data Protection Regulation, GDPR) или законов определенных штатов США, включая закон Калифорнии о защите персональных данных потребителей (California Consumer Privacy Act, CCPA)
Данные акты предусматривают похожие права для субъекта персональных данных:
1) Право на доступ к его ПДн, в том числе на получение сведений об обработке и их уточнении, блокировании, исправления и др
2) Право на подачу жалобы в надзорный орган
3) Право на запрет использования данных без полученного согласия
4) GDPR также предусматривает «право на переносимость данных» - то есть право перенести свои ПДн от одного оператора к другому
Проблемы, связанные с персональными данными
Для физических лиц основными проблемами являются:
-
Незаконная передача данных третьим лицамНекоторые ресурсы могут осуществлять сбор ПДн без полученного согласия субъекта, а также в последующем передавать эти данные своим контрагентам для формирования баз или осуществления, например, рекламных кампаний. Обычному гражданину достаточно трудно определить, собираются ли его персональные данные на сайте, а также кто является оператором их обработки -
Использование данных для спам-рассылокКаждый человек сталкивался с получением смс или писем на электронную почту от компаний, о существовании которых он вообще не знал или никогда не соприкасался с ними. Здесь речь идет как раз о незаконном использовании ПДн, согласие на обработку которых не было получено. В таком случае рекомендуется зафиксировать получение рассылки и направить жалобу на соответствующий ресурс в Роскомнадзор -
Утечка данных из публичных базВ последнее время часто появляются новости об утечке данных из крупных баз. Такая утечка персональных данных дает мошенникам огромный массив информации, с помощью которой они могут манипулировать и обманывать граждан. Таким последствиям подвержены не только лица, чьи ПДн были раскрыты, но и их знакомые, так как с помощью полученной информации мошенники могут представляться любыми лицами
Для бизнеса можно выделить следующие проблемы:
Нарушение требований к хранению данных
В случае нарушения компанией требований хранения персональных данных могут произойти утечки обрабатываемых ПДн, которые принесут проблемы не только субъектам, но и самой компании. За утечку данных предусмотрены значительные штрафы, которые навряд ли кто-то хотел бы получить
Ошибки при получении согласия на обработку
Также проблемой будет получение неправильного согласия на обработку. Например, в согласии может быть указан не весь перечень ПДн, которые на самом деле обрабатывает оператор, или оно может быть получено от несовершеннолетнего лица без согласия взрослых
Проверки Роскомнадзора и наложение штрафов
Все ошибки, возникающие при обработке ПДн, могут повлечь проверки надзорных органов, которые могут быть чреваты привлечением к административной ответственности, в том числе с наложением штрафов. Ответственность и размеры штрафов подробнее рассмотрим далее
Ущерб репутации из-за утечки данных
Даже если оплата штрафов для компании не является проблемой, то утечка ПДн может привести и к более серьезным последствиям – потери репутации бренда. Это может привести не только с существенным имущественным потерям, но и к полному закрытию компании
Услуги юриста по персональным данным
Адвокат по персональным данным может оказать следующие услуги в зависимости от запроса клиента:
1
Консультации для физических лиц, в том числе, по вопросам:
- Как защитить свои права в случае утечки персональных данных?
- Как определить оператора персональных данных?
- Что делать, если оператор отказывается удалять ПДн и продолжает их обработку?
- Как составить жалобу в Роскомнадзор?
2
Подготовка жалобы в Роскомнадзор и сопровождение процедуры – адвокат определит оператора персональных данных, подготовит запрос к нему, а в случае неполучения ответа или отказа удаления информации – подготовит жалобу в надзорный орган и проконтролирует ее рассмотрение
3
Консультации для бизнеса по вопросам обработки персональных данных, выявления рисков и их предотвращении
4
Проведение аудита соответствия 152-ФЗ для компании. Для его проведения может быть предоставлен сайт, пользовательское соглашение, политика обработки ПДн, положение об обработке ПДн и др. По структуре заключение по итогам аудита может выглядеть следующим образом:
- перечень предоставленных клиентом документов
- краткое описание сайта и деятельности компании
- рекомендации по содержанию сайта
- рекомендации по содержанию пользовательского соглашения
- рекомендации по содержанию политики обработки персональных данных
- рекомендации по содержанию положения об обработке персональных данных
5
Разработка внутренних регламентов и документов по обработке ПДн, в том числе:
- положения об обработке персональных данных
- политики обработки персональных данных
- пользовательского соглашения
- согласия на обработку персональных данных
- всплывающих уведомлений для сайта
- согласия на получение рекламных рассылок
6
Помощь при проверках Роскомнадзора – подготовка ответов на запросы, внесение корректировок в документы в соответствии с запросами, разработка недостающих документов
7
Сопровождение судебных споров:
- обжалование актов Роскомнадзора, снижение или отмена наложенных штрафов
- представление интересов компании в спорах с субъектами персональных данных (требования об удалении / изменении данных, компенсации морального вреда и др.)
Реальные кейсы защиты персональных данных
Консультирование СберЗдоровье по вопросам обработки персональных данных
СберЗдоровье – администратор крупнейшего в РФ сервиса онлайн-здравоохранения СберЗдоровье (https://sberhealth.ru), основанного в 2012 году под наименованием DocDoc. Наши специалисты обеспечивают комплексное юридическое сопровождение группы компаний СберЗдоровье по направлению обработки персональных данных. В частности, обеспечивается подготовка документов об обработке персональных данных (согласия, внесения изменений в политики обработки персональных данных) для реализации новых проектов, сопровождается внедрение электронного кадрового документооборота в компании, обеспечивается соответствие деятельности правилам экспериментального правового режима, выполняется проверка всех размещаемых материалов на соблюдение законодательства о персональных данных интеллектуальной собственности, взаимодействие с госорганами
Сопровождение Happy Job в части обработки данных в связи с проведением опросов
Happy Job (https://happy-job.ru) – это digital-платформа для оценки и развития вовлечённости и лояльности персонала, использующая методы геймифицированных опросов. И позволяющая проводить анализ предоставленных ответов с использованием технологии машинного обучения. В рамках сопровождения адаптированы проекты согласия на обработку персональных данных, политики обработки персональных данных и поручения об обработке персональных данных с учетом изменений законодательства в 2023-2024 годах. При согласовании договоров с крупными заказчиками, защищены интересы и минимизированы риски клиента как обработчика персональных данных
Юридический анализ системы использования данных для Beorg
Система Beorg (https://beorg.ru), созданная на базе нейронных сетей, позволяет распознавать сложные объекты, включая рукописный текст, аудио и видео, и используется, в том числе, для обработки паспортных данных. Компания является резидентом фонда Сколково и разработчиком первого в РФ цифрового помощника для федерального ведомства. Среди контрагентов - Спортмастер, Х5 Retail Group, ЛЕНТА, Северсталь и другие. По запросу клиента подготовлены legal opinion для предоставления контрагентам о правомерности деятельности сервиса, отчет с оценкой схемы работы, потенциальных рисков и способов их снижения, а также письменные рекомендации о возможных вариантах организации работы сервиса с минимальными регуляторными рисками
Аудит обработки персональных данных сервиса PsyAI
PsyAI (https://psyai.pro) - это первая в мире AI-платформа для психологов, сервис с искусственным интеллектом, созданный для специалистов работающих в различных областях психологии. AI-ассистент анализирует сессию с участием клиента психолога, распознает основные проблемы, подсказывает направления работы и дает рекомендации по ведению клиента. Основной приоритет клиента - защита конфиденциальности и обеспечение безопасного хранения данных клиентов. Адвокатами проведен подробный аудит веб-сайта клиента, предоставлены подробные рекомендации по внесению изменений, разработано пользовательское соглашение и политика обработки персональных с учетом AI-составляющей сервиса и значительного количества пользователей
Законодательная база в сфере персональных данных
В Российской Федерации основным источником нормативного регулирования в сфере ПДн является Федеральный закон «О персональных данных» № 152-ФЗ
Данный акт применяется к отношениям, связанным с обработкой персональных данных граждан Российской Федерации, которую осуществляют:
152-ФЗ устанавливает основные требования к операторам персональных данных, принципы и условия обработки, права субъектов ПДн, а также надзор за обработкой и ответственность за нарушение требований законодательства
Также ответственность за нарушение требований об обработке персональных данных предусмотрена Кодексом РФ об административных правонарушениях (КоАП РФ) в ст.13.11. и Уголовным кодексом РФ (УК РФ) в ст.272.1. и ст.137
Данный акт применяется к отношениям, связанным с обработкой персональных данных граждан Российской Федерации, которую осуществляют:
- федеральные органы государственной власти
- органы государственной власти субъектов РФ
- иные государственные органы
- органы местного самоуправления
- иные муниципальные органы
- юридические лица (в том числе, иностранные)
- физические лица (в том числе, иностранные)
152-ФЗ устанавливает основные требования к операторам персональных данных, принципы и условия обработки, права субъектов ПДн, а также надзор за обработкой и ответственность за нарушение требований законодательства
Также ответственность за нарушение требований об обработке персональных данных предусмотрена Кодексом РФ об административных правонарушениях (КоАП РФ) в ст.13.11. и Уголовным кодексом РФ (УК РФ) в ст.272.1. и ст.137
Международные нормы предусмотрены в Общем регламенте защиты персональных данных (GDPR). Кроме того, конкретные нормы по обработке и защите персональных данных представлены в законодательстве конкретных государств, например, в законе Калифорнии о защите персональных данных потребителей (CCPA), китайском Законе о защите персональной информации (PIPL) и индийском Законе о защите цифровых персональных данных (PDPB). Компаниям, зарегистрированным в РФ, рекомендуется соблюдать такие нормативные акты, если планируется обработка персональных данных как российских граждан, так и жителей определенных штатов США или стран Евросоюза либо граждан Индии или Китая. В таком случае необходима разработка документов об обработке таких данных в соответствии с иностранным законодательством
Ответственность за нарушение законодательства
Специалист, который отвечает за обработку ПДн в организации, должен или сам достаточно хорошо знать закон 152-ФЗ, или же привлечь профильного специалиста. Это важно, так как никто не застрахован от жалоб в Роскомнадзор или публикаций о нарушениях в открытых Телеграм-каналах. В рамках разбирательств по подобным жалобам будут проходить проверки, а штрафы могут быть довольно существенными, вплоть до десятков миллионов рублей
Одно из важных правил при обработке персональных данных - это разместить на сайте компании документ, который определяет порядок и условия обработки персональных данных в организации. Как минимум, такой документ должен касаться пользователей сайта, а желательно - также отражать вопросы обработки ПДн работников организации, представителей контрагентов и других субъектов, персональные данные которых обрабатывает организация. Штраф за нарушение такого требования - до 60 000 рублей
Еще одно правило, которое следует четко соблюдать в свете недавних изменений в законе 152-ФЗ - это собирать письменные согласия на обработку специальных категорий персональных данных, например, сведений о состоянии здоровья. Отсутствие согласия повлечет штраф до 700 000 рублей
На запросы субъектов ПДн по поводу условий и способов обработки их персональных данных следует отвечать в установленный законом срок, если не ответите - штраф до 80 000 рублей. Срок ответа варьируется в зависимости от категории запроса, и составляет от 7 до 14 рабочих дней, раньше было 30 календарных дней
На запросы нужно не только отвечать, но и реагировать. Если выявлены данные, которые обрабатываются с нарушением закона, недостоверные или неполные данные, то ситуацию необходимо исправить. Если организация не предприняла никаких мер и об этом узнал Роскомнадзор, то сумма штрафа составит до 90 000 рублей, а при повторном нарушении - до 500 000 рублей
Если организация при ручном методе обработки данных допустила нарушение конфиденциальности (например, если бухгалтер оставил в лотке принтера зарплатную ведомость, а сотрудник ее нашел и опубликовал), то штраф предусмотрен и за такое нарушение, сумма штрафа - до 100 000 рублей
И самое важное: персональные данные граждан России нужно собирать строго с использованием российских серверов. Если будет выявлено нарушение (например, когда форма обратной связи передает собранные данные на зарубежный сервер), то Роскомнадзор может оштрафовать компанию на сумму до 6 000 000 рублей за первое нарушение и до 18 000 000 рублей - за повторное нарушение
Также субъекты ПДн могут требовать возмещения морального вреда, которое осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков
С 30.05.2025 г. вступают в силу положения о многомиллионных штрафах за нарушение законодательства о ПДн:
- Утечка персональных
данныхПри незаконной передаче информации о людях в количестве от 1 тыс. до 10 тыс. человек ИП и компаниям будет грозить штраф в размере от 3 000 000 до 5 000 000 руб. Если количество «утекших» идентификаторов – от 10 тыс. до 100 тыс., то сумма штрафа составит от 5 000 000 до 10 000 000 руб. Если свыше 100 тыс., то штраф составит от 10 000 000 до 15 000 000 руб. Если распространены персональные данные специальной категории, то штраф составит от 10 000 000 до 15 000 000 руб. - Неуведомление РоскомнадзораЕсли произошла утечка ПДн и о ней не было сообщено Роскомнадзору, то компаниям и ИП будут назначены штрафы от 1 000 000 до 3 000 000 руб. Если организация не направила или несвоевременно направила уведомление о намерении обрабатывать персональные данные, то сумма штрафа составит от 100 000 до 300 000 руб.
- Повторные
утечкиЕсли юридическое лицо уже было подвергнуто административному наказанию и у него вновь произошла утечка ПДн, то это может повлечь наложение штрафа от 1 до 3 % совокупного размера выручки, но не менее 25 000 000 и не более 500 000 000 рублей
Важно: Размер штрафа возможно снизить, например, если отсутствуют отягчающие обстоятельства, а ежегодные расходы на обеспечение информационной безопасности составляют не менее 1 % годовой выручки. Кроме того, с 30.11.2024 г. УК РФ пополнился ст. 272.1, устанавливающей уголовную ответственность за неправомерное использование персональных данных
Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей ПДн, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем наказываются в зависимости от части статьи, но минимальные санкции выглядят следующим образом:
- штраф в размере до 300 000 рублей или в размере заработной платы или иного дохода осужденного за период до 1 года; либо
- принудительные работами на срок до 4 лет; либо
- лишение свободы на срок до 4 лет
- совершены в отношении компьютерной информации, содержащей ПДн несовершеннолетних лиц, специальные категории персональных данных и (или) биометрические персональные данные
- совершены из корыстной заинтересованности; с причинением крупного ущерба; группой лиц по предварительному сговору; с использованием своего служебного положения
- сопряжены с трансграничной передачей компьютерной информации, содержащей персональные данные, и (или) трансграничным перемещением носителей информации, содержащих персональные данные
- повлекли тяжкие последствия либо совершены организованной группой
Наконец, данная статья предусматривает наказание за создание и (или) обеспечение функционирования информационного ресурса (сайта в Интернете и (или) страницы сайта, информационной системы, программы для электронных вычислительных машин), заведомо предназначенного для незаконных хранения, передачи (распространения, предоставления, доступа) компьютерной информации, содержащей ПДн, полученной незаконным путем:
- штраф в размере до 700 000 рублей или в размере заработной платы или иного дохода осужденного за период до 2 лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 2 лет или без такового; либо
- принудительные работы на срок до 5 лет со штрафом в размере до 700 000 рублей или иного дохода осужденного за период до 2 лет и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 2 лет или без такового; либо
- лишение свободы на срок до 5 лет со штрафом в размере до 700 000 рублей или иного дохода осужденного за период до 2 лет и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до 2 лет или без такового
Как избежать проблем с персональными данными?
Рекомендации для граждан
- Во-первых, необходимо внимательно смотреть документы, которые подписываются в организациях, изучать перечень данных, которые предоставляются для обработки
- Также важно следить за тем, где ставятся галочки, а также иные заполнения чекбоксов на сайтах в Интернете.
- Большинство пользователей даже не читают всплывающие окна, а также документы, расположенные по ссылке в них, тем самым могут давать согласие на сбор и обработку своих ПДн. Это крайне неправильно. Для предотвращения проблем с утечкой персональных данных нужно изучать документы, в частности, согласие на обработку ПДн и политику их обработки
- В случае обнаружения неправомерной обработки Ваших ПДн, в том числе не нужными для целей обработки, необходимо написать в соответствующую организацию запрос по поводу обработки таких данных
- Кроме того, при обнаружении неполных, устаревших или неточных персональных данных субъект вправе требовать от оператора их уточнения, блокирования или уничтожения
- Если организация (оператор персональных данных) не реагирует на запросы и не прекращает обработку, то следует обратиться в Роскомнадзор для защиты своих прав
- Особенно часто неправомерная обработка персональных данных встречается на платформах, которые за плату предоставляют информацию от третьих лицах. Но зачастую у таких сервисов есть функция удаления ПДн при заполнении определенной формы. При обнаружении своих данных в таких сервисах рекомендуется незамедлительно запросить их блокирования
Рекомендации для бизнеса
Не использовать на сайте Google Analytics, так как инспекторы Роскомнадзора считают, что статистические данные о пользователях (хотя они и не привязаны к конкретным людям) тоже относятся к ПДн. И, соответственно, если на сайте стоит такая система аналитики, то собираются персональные данные граждан РФ с помощью зарубежных серверов. А за это, как мы помним, предусмотрен многомиллионный штраф. Как избежать такой ситуации: нужно или отказаться от использования Google Analytics (использовать вместо них иные системы аналитики) либо заранее уведомить Роскомнадзор о трансграничной передаче персональных данных и надеяться на положительное решение
Также следует быть внимательными с учетными данными клиентов от сторонних систем. А в случае утечки данных – немедленно уведомить об этом и о принятых мерах Роскомнадзор, подать заявление в полицию, чтобы избежать наложения огромного штрафа
Желательно заранее прописывать в договорах с контрагентами безопасные способы предоставления доступа к ПДн - злоумышленники не дремлют, а финансовые и репутационные потери могут составить миллионы рублей
Следует помнить, что каждый оператор персональных данных самостоятельно обрабатывает имеющиеся у него персональные данные. Соответственно, если Вы получили от контрагента какие-то данные, обязательно нужно убедиться в том, что у него было право передавать такие данные. Если у него такого права не было, то Роскомнадзор оштрафует и Вас, и Вашего контрагента. И в этом случае для того, чтобы взыскать эти убытки (то есть сумму уплаченного штрафа) с контрагента нужно, чтобы в договоре это было прямо предусмотрено. Если таких условий в договоре не было, то взыскать что-то с контрагента через суд будет очень затруднительно
Наконец, в рамках компании должна действовать понятная система обработки ПДн с назначением конкретного сотрудника, ответственного за их обработку, и разграничением доступа к данным клиентов. Каждый сотрудник должен понимать, к чему именно у него есть доступ, и нести ответственность в случае разглашения или незаконного использования данных. Если такие документы в компании отсутствуют, то, во-первых, любой сотрудник может увести базу данных клиентов, во-вторых, его очень сложно будет за это наказать, а в-третьих, не получится пожаловаться на конкурента, которому Ваш бывший сотрудник передал эту базу данных
Часто задаваемые вопросы (FAQ)
Оператор персональных данных в большинстве случаев обязан уведомить Роскомнадзор о намерении осуществлять обработку персональных данных до начала такой обработки. Такая обязанность предусмотрена Федеральным законом № 152-ФЗ «О персональных данных». Исключения из обязанности по подаче уведомления установлены законом, однако они применяются лишь в ограниченном числе случаев, поэтому большинству организаций и индивидуальных предпринимателей необходимо направить уведомление до начала обработки персональных данных.
До подачи уведомления рекомендуется определить цели обработки персональных данных, категории субъектов персональных данных, состав обрабатываемых персональных данных, правовые основания обработки, способы обработки и иные сведения, подлежащие включению в уведомление. После направления уведомления оператор обязан поддерживать сведения, содержащиеся в реестре операторов персональных данных Роскомнадзора, в актуальном состоянии и своевременно уведомлять Роскомнадзор об их изменении.
Уведомление можно подать в электронном виде через портал Госуслуг или с использованием усиленной квалифицированной электронной подписи. После подачи рекомендуется сохранить реквизиты уведомления, поскольку они потребуются для внесения изменений в сведения, содержащиеся в реестре операторов персональных данных
До подачи уведомления рекомендуется определить цели обработки персональных данных, категории субъектов персональных данных, состав обрабатываемых персональных данных, правовые основания обработки, способы обработки и иные сведения, подлежащие включению в уведомление. После направления уведомления оператор обязан поддерживать сведения, содержащиеся в реестре операторов персональных данных Роскомнадзора, в актуальном состоянии и своевременно уведомлять Роскомнадзор об их изменении.
Уведомление можно подать в электронном виде через портал Госуслуг или с использованием усиленной квалифицированной электронной подписи. После подачи рекомендуется сохранить реквизиты уведомления, поскольку они потребуются для внесения изменений в сведения, содержащиеся в реестре операторов персональных данных
Организация, осуществляющая обработку персональных данных, обязана иметь комплект документов, подтверждающих соблюдение требований Федерального закона «О персональных данных». Законодательство не содержит исчерпывающего перечня таких документов, однако для большинства операторов обязательными являются документы, регулирующие порядок обработки персональных данных, защиту информации и реализацию прав субъектов персональных данных.
В зависимости от особенностей деятельности организации в состав обязательных документов, как правило, входят:
В зависимости от особенностей деятельности организации в состав обязательных документов, как правило, входят:
- Приказ о назначении лица, ответственного за организацию обработки персональных данных
- Политика в отношении обработки персональных данных
- Акт оценки вреда, который может быть причинен субъектам персональных данных
- Согласия на обработку персональных данных (в случаях, когда их получение предусмотрено законодательством)
- Обязательства работников о неразглашении персональных данных
Согласие субъекта персональных данных необходимо получать, если у оператора отсутствует иное законное основание для обработки персональных данных. Федеральный закон № 152-ФЗ «О персональных данных» предусматривает несколько правовых оснований обработки, и согласие является лишь одним из них. Если обработка осуществляется для исполнения договора, выполнения обязанностей, установленных законодательством, исполнения судебного акта или по иным основаниям, предусмотренным статьей 6 Федерального закона № 152-ФЗ, получение согласия не требуется.
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а также соответствовать требованиям законодательства к его содержанию и форме. В согласии указываются цели обработки персональных данных, перечень обрабатываемых персональных данных, совершаемые с ними действия, срок действия согласия и иные обязательные сведения. При изменении целей обработки, состава персональных данных или иных существенных условий может потребоваться получение нового согласия.
Перед началом обработки персональных данных рекомендуется определить правовое основание для каждой цели обработки. Если обработка может осуществляться на основании закона или договора, получение согласия не требуется. Если такого основания нет, обработка персональных данных допускается только после получения надлежащим образом оформленного согласия субъекта персональных данных
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а также соответствовать требованиям законодательства к его содержанию и форме. В согласии указываются цели обработки персональных данных, перечень обрабатываемых персональных данных, совершаемые с ними действия, срок действия согласия и иные обязательные сведения. При изменении целей обработки, состава персональных данных или иных существенных условий может потребоваться получение нового согласия.
Перед началом обработки персональных данных рекомендуется определить правовое основание для каждой цели обработки. Если обработка может осуществляться на основании закона или договора, получение согласия не требуется. Если такого основания нет, обработка персональных данных допускается только после получения надлежащим образом оформленного согласия субъекта персональных данных
За нарушение законодательства о персональных данных предусмотрена административная ответственность, установленная статьей 13.11 Кодекса Российской Федерации об административных правонарушениях. Штрафы могут применяться, в частности, за обработку персональных данных без законного основания, отсутствие обязательного уведомления Роскомнадзора, нарушение прав субъектов персональных данных, несоблюдение требований к защите персональных данных, неисполнение обязанностей при утечке персональных данных и другие нарушения требований законодательства.
Размер административного штрафа зависит от характера и тяжести нарушения, категории затронутых персональных данных, повторности нарушения, наступивших последствий, своевременности исполнения обязанностей, предусмотренных законодательством, а также иных обстоятельств, учитываемых при привлечении к ответственности. В отдельных случаях законодательством предусмотрены многомиллионные и оборотные штрафы.
Для снижения риска привлечения к административной ответственности рекомендуется регулярно проводить аудит обработки персональных данных, поддерживать локальные документы и уведомление Роскомнадзора в актуальном состоянии, своевременно устранять выявленные нарушения и контролировать соответствие процессов обработки требованиям законодательства
Размер административного штрафа зависит от характера и тяжести нарушения, категории затронутых персональных данных, повторности нарушения, наступивших последствий, своевременности исполнения обязанностей, предусмотренных законодательством, а также иных обстоятельств, учитываемых при привлечении к ответственности. В отдельных случаях законодательством предусмотрены многомиллионные и оборотные штрафы.
Для снижения риска привлечения к административной ответственности рекомендуется регулярно проводить аудит обработки персональных данных, поддерживать локальные документы и уведомление Роскомнадзора в актуальном состоянии, своевременно устранять выявленные нарушения и контролировать соответствие процессов обработки требованиям законодательства
При утечке персональных данных оператор обязан незамедлительно принять меры по локализации инцидента, минимизации возможного ущерба и выполнению требований Федерального закона «О персональных данных». В частности, необходимо зафиксировать факт утечки, устранить причины инцидента, оценить категории и объем затронутых персональных данных, а также в установленные законодательством сроки уведомить Роскомнадзор и провести внутреннее расследование.
В соответствии с требованиями законодательства первичное уведомление об утечке персональных данных направляется в Роскомнадзор в течение 24 часов с момента выявления инцидента. По результатам внутреннего расследования оператор обязан направить дополнительную информацию в Роскомнадзор не позднее 72 часов. Одновременно необходимо задокументировать обстоятельства инцидента, принятые меры по устранению его последствий и действия, направленные на предотвращение повторных нарушений.
Размер возможной административной ответственности зависит от характера нарушения, категории скомпрометированных персональных данных, масштаба утечки, своевременности уведомления Роскомнадзора и мер, принятых оператором для предотвращения и устранения последствий инцидента. Наличие заранее разработанного плана реагирования на утечки персональных данных позволяет значительно сократить время реагирования, выполнить требования законодательства и снизить правовые риски
В соответствии с требованиями законодательства первичное уведомление об утечке персональных данных направляется в Роскомнадзор в течение 24 часов с момента выявления инцидента. По результатам внутреннего расследования оператор обязан направить дополнительную информацию в Роскомнадзор не позднее 72 часов. Одновременно необходимо задокументировать обстоятельства инцидента, принятые меры по устранению его последствий и действия, направленные на предотвращение повторных нарушений.
Размер возможной административной ответственности зависит от характера нарушения, категории скомпрометированных персональных данных, масштаба утечки, своевременности уведомления Роскомнадзора и мер, принятых оператором для предотвращения и устранения последствий инцидента. Наличие заранее разработанного плана реагирования на утечки персональных данных позволяет значительно сократить время реагирования, выполнить требования законодательства и снизить правовые риски
Подготовку к проверке Роскомнадзора рекомендуется начинать с комплексного аудита обработки персональных данных. До начала проверки необходимо убедиться в наличии обязательных локальных документов, соответствии фактических процессов обработки требованиям законодательства, актуальности уведомления об обработке персональных данных, а также в соблюдении требований к защите персональных данных и реализации прав субъектов персональных данных.
Порядок подготовки зависит от вида проверки. При документарной проверке Роскомнадзор оценивает представленные оператором документы и сведения, а при выездной проверке дополнительно проверяет фактические процессы обработки персональных данных, организационные и технические меры защиты информации, функционирование информационных систем персональных данных (ИСПДн) и соблюдение требований законодательства на практике. Поэтому к моменту проверки документы должны соответствовать реальным процессам обработки персональных данных.
Если по результатам проверки Роскомнадзор выявил нарушения, необходимо проанализировать акт проверки, определить обоснованность замечаний и своевременно устранить выявленные нарушения либо, при наличии оснований, подготовить мотивированные возражения или обжаловать принятое решение. Своевременная правовая оценка результатов проверки позволяет снизить риск привлечения к административной ответственности и обеспечить соблюдение требований законодательства
Порядок подготовки зависит от вида проверки. При документарной проверке Роскомнадзор оценивает представленные оператором документы и сведения, а при выездной проверке дополнительно проверяет фактические процессы обработки персональных данных, организационные и технические меры защиты информации, функционирование информационных систем персональных данных (ИСПДн) и соблюдение требований законодательства на практике. Поэтому к моменту проверки документы должны соответствовать реальным процессам обработки персональных данных.
Если по результатам проверки Роскомнадзор выявил нарушения, необходимо проанализировать акт проверки, определить обоснованность замечаний и своевременно устранить выявленные нарушения либо, при наличии оснований, подготовить мотивированные возражения или обжаловать принятое решение. Своевременная правовая оценка результатов проверки позволяет снизить риск привлечения к административной ответственности и обеспечить соблюдение требований законодательства
Трансграничная передача персональных данных допускается при соблюдении требований Федерального закона «О персональных данных». До начала такой передачи оператор обязан выполнить требования законодательства, включая локализацию персональных данных на территории Российской Федерации, направление уведомления о намерении осуществлять трансграничную передачу в Роскомнадзор и наличие соответствующего правового основания для передачи персональных данных.
Порядок осуществления трансграничной передачи зависит от государства, в которое передаются персональные данные. При рассмотрении уведомления Роскомнадзор оценивает соблюдение требований законодательства и вправе принять решение об ограничении или запрете трансграничной передачи. Особое значение имеют страна получателя, цели передачи, категории субъектов персональных данных, состав передаваемых сведений и меры, обеспечивающие защиту персональных данных.
Перед подачей уведомления рекомендуется определить иностранных получателей персональных данных, государства, в которые будет осуществляться передача, категории передаваемых персональных данных и цели передачи. Тщательная подготовка этих сведений позволяет корректно оформить уведомление и избежать необходимости повторной подачи при изменении существенных условий трансграничной передачи
Порядок осуществления трансграничной передачи зависит от государства, в которое передаются персональные данные. При рассмотрении уведомления Роскомнадзор оценивает соблюдение требований законодательства и вправе принять решение об ограничении или запрете трансграничной передачи. Особое значение имеют страна получателя, цели передачи, категории субъектов персональных данных, состав передаваемых сведений и меры, обеспечивающие защиту персональных данных.
Перед подачей уведомления рекомендуется определить иностранных получателей персональных данных, государства, в которые будет осуществляться передача, категории передаваемых персональных данных и цели передачи. Тщательная подготовка этих сведений позволяет корректно оформить уведомление и избежать необходимости повторной подачи при изменении существенных условий трансграничной передачи
Оценить соблюдение требований законодательства о персональных данных можно путем проведения комплексного аудита процессов обработки персональных данных. При такой проверке оцениваются наличие обязательных локальных документов, законность оснований обработки, соответствие фактических процессов требованиям законодательства, актуальность уведомления Роскомнадзора, соблюдение прав субъектов персональных данных, а также достаточность организационных и технических мер защиты информации.
При проведении аудита необходимо учитывать особенности деятельности организации. Для компаний, использующих сайты, мобильные приложения и иные интернет-сервисы, дополнительно проверяются процессы сбора данных пользователей, использование файлов cookie и метрических сервисов, работа форм обратной связи, порядок получения согласий и соблюдение требований при распространении персональных данных. Проверка должна охватывать как документы, так и фактические процессы обработки персональных данных.
Регулярное проведение внутреннего или независимого аудита позволяет своевременно выявить несоответствия требованиям законодательства, актуализировать документы, устранить выявленные нарушения и подготовить организацию к возможной проверке Роскомнадзора
При проведении аудита необходимо учитывать особенности деятельности организации. Для компаний, использующих сайты, мобильные приложения и иные интернет-сервисы, дополнительно проверяются процессы сбора данных пользователей, использование файлов cookie и метрических сервисов, работа форм обратной связи, порядок получения согласий и соблюдение требований при распространении персональных данных. Проверка должна охватывать как документы, так и фактические процессы обработки персональных данных.
Регулярное проведение внутреннего или независимого аудита позволяет своевременно выявить несоответствия требованиям законодательства, актуализировать документы, устранить выявленные нарушения и подготовить организацию к возможной проверке Роскомнадзора
Аудит обработки персональных данных рекомендуется проводить при запуске новых сервисов и информационных систем, изменении бизнес-процессов, подготовке к проверке Роскомнадзора, после утечки персональных данных или иных инцидентов информационной безопасности, а также при существенных изменениях законодательства. Регулярный аудит позволяет своевременно выявить нарушения, привести процессы обработки персональных данных в соответствие с требованиями законодательства и снизить риск привлечения к административной ответственности.
Аудит должен охватывать весь жизненный цикл обработки персональных данных — от их сбора до уничтожения. В ходе проверки анализируются локальные нормативные акты, правовые основания обработки, меры защиты персональных данных, функционирование информационных систем персональных данных (ИСПДн), взаимодействие с контрагентами, а также фактические процессы обработки персональных данных. По результатам аудита обычно подготавливается отчет с выявленными нарушениями, оценкой правовых рисков и рекомендациями по их устранению.
Проведение аудита до начала новых проектов, внедрения цифровых сервисов или проверки Роскомнадзора позволяет заранее устранить выявленные недостатки, актуализировать документы и обеспечить соответствие деятельности организации требованиям законодательства о персональных данных
Аудит должен охватывать весь жизненный цикл обработки персональных данных — от их сбора до уничтожения. В ходе проверки анализируются локальные нормативные акты, правовые основания обработки, меры защиты персональных данных, функционирование информационных систем персональных данных (ИСПДн), взаимодействие с контрагентами, а также фактические процессы обработки персональных данных. По результатам аудита обычно подготавливается отчет с выявленными нарушениями, оценкой правовых рисков и рекомендациями по их устранению.
Проведение аудита до начала новых проектов, внедрения цифровых сервисов или проверки Роскомнадзора позволяет заранее устранить выявленные недостатки, актуализировать документы и обеспечить соответствие деятельности организации требованиям законодательства о персональных данных
Юрист по персональным данным помогает обеспечить соответствие деятельности организации требованиям законодательства о персональных данных, выявить правовые риски и подготовить необходимые документы. Его участие особенно востребовано при запуске новых интернет-сервисов, проведении аудита, подготовке к проверкам Роскомнадзора, организации трансграничной передачи персональных данных, расследовании утечек и внедрении новых процессов обработки персональных данных.
Специализированный юрист оценивает не только соответствие Федеральному закону «О персональных данных», но и учитывает требования подзаконных нормативных актов, разъяснения Роскомнадзора, судебную практику и нормы смежного законодательства, включая законодательство об информации, информационных технологиях и рекламе. Такой комплексный подход позволяет выявить нарушения до проведения проверки и своевременно привести процессы обработки персональных данных в соответствие с требованиями законодательства.
Привлечение юриста на этапе создания или изменения процессов обработки персональных данных позволяет заранее устранить правовые риски, корректно оформить обязательные документы и снизить вероятность привлечения к административной ответственности
Специализированный юрист оценивает не только соответствие Федеральному закону «О персональных данных», но и учитывает требования подзаконных нормативных актов, разъяснения Роскомнадзора, судебную практику и нормы смежного законодательства, включая законодательство об информации, информационных технологиях и рекламе. Такой комплексный подход позволяет выявить нарушения до проведения проверки и своевременно привести процессы обработки персональных данных в соответствие с требованиями законодательства.
Привлечение юриста на этапе создания или изменения процессов обработки персональных данных позволяет заранее устранить правовые риски, корректно оформить обязательные документы и снизить вероятность привлечения к административной ответственности
Нам доверяют
Мы выступаем
юристами-экспертами в СМИ
Специалисты
Статьи и аналитика
Отзывы
| | Консультация юриста по персональным даннымПодробно разобрать ситуацию и предоставить рекомендации по решению вопроса Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с политикой обработки персональных данных Email-адрес: abp@abp.legal Тел. +7 499 990-72-35 |