Обработка персональных данных: что это такое, какие действия включает и как соблюдать требования 152 ФЗ

УСН; учет и отчетность малых предприятий; кадры. Опыт 18 лет

29 октября 2026

Обработка персональных данных — это любые действия с личной информацией граждан, от внесения контактов в CRM до удаления архивных баз. Согласно требованиям закона, организация или физлицо, совершающее эти действия, автоматически принимает на себя статус оператора. Практическое выполнение обязанностей оператором ПД предусматривает, прежде всего, издание и использование различных типов документов. Также важно соблюсти прямые предписания и запреты по Закону № 152-ФЗ. Рассмотрим подробно, как решаются эти задачи.

Вам помогут документы и бланки:

Что такое персональные данные?
Что такое обработка персональных данных?
Какие обязанности у оператора персональных данных?
Обработка ПД: обязанности и документы
Обработка персональных данных — срочно издать документы
Как выполнять обязанности по обработке ПД: примеры (языковая школа)
Обязанности оператора по типам действий с ПД: примеры (языковая школа)
Чего нельзя делать при обработке персональных данных (примеры)?
Какие штрафы за нарушение обработки персональных данных?
Итоги

Что такое персональные данные?

Под персональными данными понимаются абсолютно любые сведения, с помощью которых можно прямо либо опосредованно идентифицировать конкретного человека — физическое лицо (п. 1 ст. 3 Закона от 27.07.2006 № 152-ФЗ).

При этом, в нормативных актах нет критериев и даже примерных перечней таких сведений. На практике в качестве персональных данных могут выступать:

личные анкетные данные (ФИО, половая принадлежность, возраст);
сведения о полученной квалификации и образовании;
способы связи (номера телефонов, адреса проживания и т. д.);
данные о составе семьи и наличии детей;
жизненный путь и биографические факты;
информация об имущественном и финансовом статусе.

Существуют и менее очевидные категории личной информации. Например, фотоснимки, по которым верифицируют личность человека (письма Роскомнадзора от 10.02.2020 № 08АП-6782, Минцифры России от 17.07.2020 № ОП-П24-070-19433).

Также статус персональных данных имеют:

информация о доходах и размере заработной платы физлица (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
ИНН (письмо Минкомсвязи России от 26.04.2017 № П11-1-085-9772);
cookie-файлы, если они содержат в себе зашифрованные контактные сведения (письмо Минцифры от 17.03.2022 № П25-5623-ОГ).

Что учесть применительно к ИП как к физлицу: на него также в полной мере распространяются нормы о защите личной информации. К специфическим типам персональных данных для ИП (помимо общегражданских сведений, указанных выше) относится, к примеру, регистрационный номер ОГРНИП (Письмо ФНС России от 24.02.2026 № БС-36-11/1367@).

Узнайте, какие типы документов содержат персональные данные сотрудников предприятия, из экспертной публикации в системе «КонсультантПлюс». Получите бесплатный пробный доступ к ней на 2 дня. Если вы хотите пользоваться возможностями системы на постоянной основе, уточните ее стоимость.

Любая компания, учреждение или физическое лицо, выполняющее какие-либо действия с персональными данными — обычного гражданина или ИП, считается оператором, осуществляющим их обработку. Ниже подробно разобрано, что именно закон понимает под процессом обработки и какие технологические рамки для этого установлены.

Что такое обработка персональных данных?

Обработка личных данных представляет собой абсолютно любое изолированное действие либо комплекс действий, производимых с персональной информацией. Эти действия могут быть произведены с использованием компьютерной техники или без неё.

Примеры наиболее распространенных действий, являющихся видами обработки персональных данных:

сбор и фиксация (запись);
систематизация, структурирование и дальнейшее накопление;
долгосрочное или временное хранение;
корректировка (актуализация, модификация, уточнение);
экспорт (извлечение) и непосредственное использование в работе;
любая контролируемая передача (распространение, предоставление конкретным лицам или организация доступа);
маскирование (обезличивание);
временное замораживание процессов (блокирование);
удаление;
окончательное безвозвратное уничтожение.

Если указанные процедуры (или иные, так или иначе признаваемые обработкой) выполняются при помощи компьютеров, серверов и вычислительных систем, то это признается автоматизированной обработкой ПД. Во многих случаях она производится внутри информационной системы — защищенного ИТ-контура, объединяющего саму базу персональных сведений, а также программные инструменты, технологии и ИТ-решения для управления данными.

При осуществлении обработки персональных данных их оператор — уже буквально с первых этапов, несет исключительно широкий круг обязанностей.

Какие обязанности у оператора персональных данных?

Их можно подразделить на 2 категории:

Обязанности, являющиеся общими для всех типов действий с персональными данными.
Обязанности, привязанные к конкретным типам действий, осуществляемых в рамках обработки ПД.

Ниже к вашему сведению:

таблицы, отражающие перечни обязанностей оператора ПД — общих для всех действий или привязанных к конкретному типу действий;
документы (с условными данными, можно скачать образцы) — которые оператору ПД требуется исходя из положений закона (либо рекомендуется — в таблице есть отдельные комментарии на этот счет) издавать и использовать в ходе обработки персональных данных.

Условимся при этом, что оператором является хозяйствующий субъект — ИП или организация, ведущий коммерческую деятельность и имеющий штат работников.

Обработка ПД: обязанности и документы

Таблица 1. Перечни обязанностей и документов, издаваемых в целях ее выполнения, для оператора ПД (предприятия со штатом работников) — в отношении всех вариантов обработки данных.

Обязанность и документ	Основание для возникновения обязанности по Закону № 152-ФЗ
Назначение ответственного сотрудника: оператор, являющийся работодателем, обязан официально (приказом) назначить лицо, отвечающее за обработку ПД во всей компании. Какой требуется документ для исполнения обязанности: приказ о назначении ответственного. Скачать образец	Ст. 18.1
Публикация Политики обработки ПД (также часто именуется политикой конфиденциальности): оператор обязан издать и опубликовать ее в открытом доступе (на сайте). Если сайта нет — на стенде при входе в офис. Требуемый документ: политика обработки ПД. Скачать образец	Ст. 18.1
Издание Положения об обработке ПД — локального акта, в котором определен внутренний порядок работы с данными. Оператор обязан утвердить внутренний регламент, который детально распределяет зоны ответственности сотрудников, устанавливает жесткие сроки хранения документов для каждой отдельной цели и описывает процедуру их сбора. В отличие от публичной Политики, этот документ является внутренним ЛНА (локальным нормативным актом). С ним работодатель обязан под роспись ознакомить каждого сотрудника, допущенного к базам данных (кадры, бухгалтерия, абонентский отдел), до начала выполнения ими трудовых обязанностей. Требуемый документ: положение об обработке ПД. Скачать образец	Ст. 18.1
Уведомление Роскомнадзора: оператор обязан направить уведомление о намерении осуществлять обработку данных в РКН для включения в реестр. Требуемый документ: уведомление в Роскомнадзор. Узнайте о правилах составления такого уведомления и ознакомьтесь с его образцом в специальной публикации.	Ст. 22
Применение средств защиты информации: на всех этапах необходимо использовать правовые, организационные и технические меры защиты (антивирусы, шифрование, межсетевые экраны). Рекомендуемый документ: можно регламентировать применение технических средств на уровне еще одного локального норматива — Положения об обработке персональных данных в информационных системах. Загрузите его образец	Ст. 19
Обучение и ознакомление с правилами безопасной обработки ПД: оператор обязан под роспись ознакомить всех сотрудников, работающих с данными, с требованиями закона и внутренними актами. Требуемый документ: лист ознакомления с правилами обработки ПД. Скачать образец	Ст. 18.1
Ответ на запросы граждан: оператор ПД обязан бесплатно предоставлять гражданину информацию о наличии и составе данных физлица в течение 10 рабочих дней. Для этого используется уведомление, составляемое в ответ на запрос гражданина. Требуемый документ: уведомление в ответ на запрос о ПД. Скачать образец	Ст. 14, 20
Внутренний аудит (контроль): регулярное проведение проверок соответствия процессов обработки закону (самоаудит не реже раза в год). По итогам проведения аудита составляется акт. Требуемый документ: акт о проведении аудита ПД. Скачать образец	Ст. 18.1
Оценка вреда: перед началом любых процессов оператор обязан оценить потенциальный вред гражданину в случае утечки его данных и составить акт. Требуемый документ: Акт об оценке вреда при утечке ПД. Скачать образец	Ст. 18.1
Информирование об утечках: в случае компьютерного инцидента или утечки данных оператор обязан в течение 24 часов уведомить РКН и Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Уведомление в РКН подается онлайн по специальной форме. Уведомление в ГосСОПКА — в соответствии с методическими рекомендациями.	Ст. 21
Прекращение обработки при нарушениях или иных несоответствиях: если на любом этапе выявлена незаконная обработка (или отозвано согласие), оператор обязан немедленно прекратить действия с ПД. Требуемые документы: прекращение оформляется приказом, а также актом об уничтожении ПД, в отношении которых прекращена обработка. Скачать образец приказа Скачать образец акта	Ст. 21

Узнайте больше о применении мер защиты персональных данных из экспертной публикации в системе «КонсультантПлюс». Получите бесплатный пробный доступ к ней на 2 дня. Если вы хотите пользоваться системой на постоянной основе, уточните ее стоимость.

Теперь же рассмотрим обязанности оператора персональных данных (а также типы издаваемых документов) в привязке к конкретным типам действий, отражающих обработку ПД, на примере:

сбора;
систематизации;
хранения;
изменения;
использования;
передачи;
уничтожения.

Начнем с первой процедуры.

Сбор данных: обязанности и документы

Таблица 2. Перечни обязанностей оператора ПД при сборе данных.

Действие (операция)

Примеры обязанностей и документация

Сбор данных
(ст. 18 Закона № ФЗ-152)

1. Первичная локализация баз в РФ: настроить инфраструктуру так, чтобы ввод данных граждан РФ первично фиксировался строго на серверах внутри России.

В уведомлении на обработку ПД, которое направляется в РКН, указываются сведения о месте расположения баз данных. При необходимости, если идет проверка, можно предоставить на фирменном бланке справку о соответствии места расположения серверов требованиям.

Рекомендуемый документ: справка о локализации ПД.

Название ключевого документа	Зачем нужен?
Политика конфиденциальности	Главный публичный документ. Обязан быть опубликован на сайте или размещен на стенде в офисе. За его отсутствие Роскомнадзор штрафует быстрее всего (до 60 000 руб.).
Положение об обработке ПД	Внутренний регламент компании. Подробно описывает, какие именно данные вы собираете, для каких целей, где они хранятся и кто из сотрудников имеет к ним доступ. С ним нужно ознакомить всех работников под роспись.
Приказ о назначении ответственного	Прямое и безусловное требование ст. 18.1 закона № 152-ФЗ. В компании должен быть официально назначен сотрудник, который отвечает за организацию обработки и защиту персональных данных.
Формы согласий на обработку ПД	Раздельные шаблоны (для клиентов и для сотрудников). Человек должен физически подписать этот документ (или поставить активную галочку на сайте) строго до того, как вы начнете записывать его данные.
Согласие на распространение ПД	Критически важный документ (ст. 10.1 ФЗ-152). Обычное согласие не дает права публиковать данные. Если вы хотите выложить фото сотрудника или видеоотзыв клиента на сайт/в соцсети — необходим этот отдельный бланк.
Акт об уничтожении персональных данных	Единственный документ, подтверждающий, что вы законно стерли данные по требованию клиента или по истечении договора (в соответствии с Приказом РКН № 179). К нему прикладывается цифровая выгрузка логов из CRM. Хранится в архиве 3 года.
Журнал учета машинных носителей	Простой реестр, где фиксируются серийные номера всех флешек, жестких дисков или токенов компании, на которые могут копироваться персональные данные, а также даты их выдачи сотрудникам.

Обязанность	Практические действия
Соблюдение границ согласия и договора: использовать данные учащегося только для тех образовательных целей, которые прописаны в договоре на обучение или согласии (ст. 5 ч. 2 и ч. 4, ст. 6 ч. 1 п. 1 и п. 5, ст. 15 ФЗ № 152-ФЗ).	Нельзя передавать телефон студента сторонним компаниям для рекламы или использовать его почту для спама партнеров, если он учит у вас английский.
Применение СЗИ на рабочих местах: защищать компьютеры администраторов, менеджеров и преподавателей, имеющих доступ к личным делам студентов (ст. 19 ч. 1 и ч. 2 п. 3 ФЗ № 152-ФЗ).	Установка антивирусов, сложных паролей на CRM-систему школы и запрет преподавателям хранить списки групп на личных незащищенных ноутбуках.
Разграничение внутреннего доступа: давать сотрудникам курсов доступ только к тем данным студента, которые нужны для их работы (ст. 18.1 ч. 1 п. 2, ст. 19 ч. 2 п. 6 ФЗ № 152-ФЗ).	Преподаватель должен видеть только ФИО и уровень языка студента в журнале, а менеджер по продажам — паспортные данные для договора и статус оплаты.
Обязательное логирование (аудит): фиксировать, кто из сотрудников школы просматривал, менял или выгружал информацию об учащихся (ст. 18.1 ч. 1 п. 4, ст. 19 ч. 2 п. 4 ФЗ № 152-ФЗ).	В CRM-системе или электронном журнале курсов должно автоматически оставаться имя менеджера, который заходил в карточку студента или менял его расписание.
Контроль точности и актуальности: оперативно обновлять данные студента, если они изменились в процессе прохождения курсов (ст. 5 ч. 6, ст. 20 ч. 3, ст. 21 ч. 3 ФЗ № 152-ФЗ).	Если студент сменил фамилию или телефон, школа обязана исправить это во всей базе в течение 7 рабочих дней, чтобы сертификат об окончании выдали на правильное имя.
Контроль избыточности объемов: не запрашивать и не удерживать в базе те сведения об учащемся, которые не требуются для учебного процесса (ст. 5 ч. 5 ФЗ № 152-ФЗ).	Для курсов немецкого языка не нужны ИНН, СНИЛС или справка с места работы студента (если это не корпоративное обучение) — собирать их запрещено.
Изоляция бумажных носителей: обеспечивать физическую безопасность бумажных договоров, заявлений и тестов (ст. 19 ч. 4 ФЗ № 152-ФЗ, Постановление Правительства РФ № 687).	Договоры на обучение и анкеты студентов должны храниться в закрывающихся шкафах или сейфе на ресепшене, а не лежать стопкой на столе у всех на виду.
Готовность к блокировке по требованию: немедленно «замораживать» обработку данных студента, если возник спор об их законности (ст. 21 ч. 1 ФЗ № 152-ФЗ).	Если студент заявляет, что не давал согласия на публикацию своего фото с урока в соцсетях школы, администрация обязана заблокировать использование снимка на время проверки.
Контроль сроков и своевременное удаление: не хранить профиль учащегося вечно после завершения его обучения (ст. 5 ч. 7, ст. 21 ч. 4 ФЗ № 152-ФЗ).	Как только студент окончил курсы, получил сертификат и закрыл все financial расчеты, его данные должны быть удалены из активной базы CRM (кроме архивных документов по закону).
Юридическое оформление третьих лиц: контролировать безопасность данных, если к обучению привлекаются внешние платформы (ст. 6 ч. 3 ФЗ № 152-ФЗ).	Если ваша школа проводит уроки через внешние онлайн-сервисы или интерактивные платформы, вы обязаны подписать с ними соглашение о конфиденциальности ПД студентов.

Действие (операция)	Регуляторные и практические обязанности школы
Сбор данных Ст. 18 ФЗ-152	1. Локализация на сайте школы: настроить форму онлайн-заявки и тестирования на уровень языка так, чтобы данные студентов первично падали на сервера в РФ. 2. Получение согласия до анкетирования: внедрить обязательное подписание согласия (на бумаге на ресепшене или через чекбокс на сайте) до того, как студент начнет заполнять личные данные. 3. Запрет избыточных полей: исключить из вступительных анкет любые нецелевые графы (нельзя собирать ИНН, СНИЛС или данные о работе, если это не требуется для корпоративного договора). 4. Разъяснение при отказе: если студент отказывается предоставить паспортные данные, письменно объяснить ему, что школа в этом случае не сможет заключить официальный договор на обучение. 5. Проверка внешних лидов: если заявки приходят со сторонних агрегаторов курсов, убедиться, что они законно собрали данные и передают их школе с согласия пользователя.
Систематизация Ст. 5, 18.1	1. Изоляция учебных и рекламных баз: запрещено объединять в одну структуру базу договоров студентов и общую базу для холодных маркетинговых рассылок. 2. Разделение доступов по ролям: настроить матрицу прав так, чтобы преподаватели видели в электронных журналах только ФИО и уровень языка групп, а бухгалтерия — только финансовые договоры. 3. Логическое деление категорий: отдельно структурировать общие данные (ФИО, телефон) и специальные (например, если собираются справки о здоровье детей для детских языковых лагерей). 4. Приказ по номенклатуре дел: утвердить внутренним распоряжением порядок раскладки бумажных личных дел студентов по папкам, курсам и учебным годам. 5. Паспортизация ИТ-контура: зафиксировать официальную схему движения данных студента от CRM-системы до сервисов рассылки расписания.
Хранение данных Ст. 18.1, 19 ФЗ-152	1. Закрытый пофамильный приказ: утвердить перечень сотрудников школы (менеджеры, бухгалтеры, старшие преподаватели), имеющих право доступа к цифровым или бумажным личным делам студентов. 2. Инвентаризация мест хранения: присвоить номера всем сейфам на ресепшене, шкафам в преподавательской и серверам школы, официально зафиксировав их в паспорте ИСПД. 3. Контроль флешек преподавателей: запретить перенос и хранение списков учебных групп и контактов студентов на личных незарегистрированных съемных носителях преподавателей. 4. Шифрование резервных копий: настроить автоматический бэкап школьной CRM так, чтобы файлы архивных копий баз данных шифровались криптографическими методами. 5. Защита физических архивов: оборудовать архивные шкафы с договорами студентов надежными замками и системами защиты от пожара или затопления на территории школы.
Использование данных Ст. 5 ФЗ-152	1. Запрет нецелевой эксплуатации: технически заблокировать менеджерам возможность просматривать или использовать контакты студентов языковых курсов для продвижения сторонних услуг или личных бизнес-проектов. 2. Контроль автоматического скоринга: если школа использует алгоритмы для автоматического распределения по группам или отчисления за неуплату, обеспечить обязательное финальное подтверждение решения человеком (директором или методистом). 3. Матрица интерфейсов: настроить CRM-систему так, чтобы преподаватель на уроке видел только ФИО и уровень языка студента, но не имел доступа к его паспортным данным и полной истории оплат. 4. Блокировка локального сохранения: технически запретить преподавателям и администраторам скачивать базу студентов или делать скриншоты экранов с личными делами на рабочем месте. 5. Запрет личных устройств: исключить возможность авторизации в школьной ИСПД (базе или электронном журнале) с домашних компьютеров или личных мобильных телефонов сотрудников без VPN и MDM-контроля.
Передача данных (распространение, доступ) Ст. 7, 10.1 ФЗ-152	1. Отдельное согласие на отзывы и фото: разработать и подписать у студента специальное независимое согласие, если школа планирует публиковать его видеоотзыв или фотографии с разговорных клубов в соцсетях. 2. Поручение обработки платформам: при использовании внешних интерактивных онлайн-платформ (например, для выполнения домашних заданий) обязательно включить в договор с ними условия конфиденциальности ПД студентов. 3. Шифрование при отправке тестов: пересылать результаты экзаменов, тестов или сканы договоров корпоративным заказчикам (работодателям студентов) строго по защищенным каналам связи (VPN/TLS) или в зашифрованных архивах. 4. Правовой анализ перед стажировками: при отправке студентов на языковые стажировки за рубеж проверить законы принимающей страны на предмет адекватной защиты прав субъектов ПД. 5. Трансграничное уведомление РКН: заблаговременно направить официальное уведомление в Роскомнадзор, если школа передает данные студентов зарубежным языковым школам-партнерам.
Уничтожение данных Ст. 21, Приказ РКН № 179	1. Контроль 30-дневного дедлайна: настроить автоматический триггер дедлайна, чтобы профиль студента после получения отзыва согласия полностью вычищался из активных ИТ-систем школы в течение 30 дней. 2. Зачистка кэша и рассылок: проконтролировать, чтобы контакты удаленного студента исчезли не только из CRM, но и из чат-ботов школы, групп в мессенджерах, кэш-серверов и сервисов email-маркетинга. 3. Каскадный отзыв у онлайн-платформ: официально направить требования об очистке баз всем интерактивным онлайн-платформам обучения и внешним сервисам тестирования, куда школа передавала данные студента. 4. Составление Акта по форме РКН: по факту уничтожения составить официальный Акт с обязательным заполнением всех реквизитов Приказа № 179 (ФИО членов комиссии школы, перечень стертых ИСПД, основания). 5. Приложение выгрузки системного лога: при программном удалении данных из школьной CRM обязательно выгрузить лог-файл (журнал регистрации событий), подтверждающий успешное выполнение команды стирания, распечатать или заверить его и подколоть к Акту. 6. Школьная комиссия из 3 человек: утвердить приказом директора состав комиссии (например: методист, старший менеджер, ИТ-администратор), которая физически контролирует утилизацию бумаг/дисков и подписывает Акт. 7. Физическая необратимость утилизации: бумажные анкеты, тесты и копии паспортов уничтожать строго через шредер с высоким уровнем секретности, а цифровые носители (старые жесткие диски) — программами низкоуровневого затирания. 8. Архивный контроль документов: обеспечить строгое и изолированное хранение подписанных Актов уничтожения и лог-файлов ИСПД в течение 3 лет на случай внеплановой проверки Роскомнадзора.

№	Критический запрет	Законодательное обоснование	Пример нарушения на курсах
1	Запрет «смешивания» целей: нельзя объединять базы данных, собранные для несовместимых между собой бизнес-задач.	Ст. 5, ч. 2 ФЗ-152	Объединение базы действующих финансовых договоров студентов со списками «холодных» лидов для спам-рассылок.
2	Запрет избыточности: нельзя собирать и копить данные «на всякий случай», если они не влияют прямо на процесс обучения.	Ст. 5, ч. 5 ФЗ-152	Требование у студента предоставить СНИЛС, ИНН или справку с места работы для покупки обычного разговорного курса.
3	Запрет скрытых «чекбоксов»: нельзя заранее автоматически проставлять за пользователя галочки согласия в веб-формах.	Ст. 9, ч. 1 ФЗ-152	Заранее проставленная галочка «Согласен на обработку» в форме заявки на сайте. Выбор студента должен быть строго сознательным и активным.
4	Запрет принуждения к ПД: нельзя отказываться продавать курс или оказывать услугу, если запрашиваемые данные необязательны по закону.	Ст. 18, ч. 3 ФЗ-152	Отказ пустить человека на бесплатный открытый урок только потому, что он не захотел указывать свой домашний адрес.
5	Запрет «обхода» серверов РФ: нельзя осуществлять первичный ввод и запись контактов на зарубежные платформы и хостинги.	Ст. 18, ч. 5 ФЗ-152	Отправка результатов онлайн-тестирования студентов с сайта напрямую в зарубежный облачный сервис (например, Google Forms) без сохранения копии в РФ.
6	Запрет бесконечного удержания: нельзя продолжать хранить профиль студента после достижения целей или отзыва согласия.	Ст. 5, ч. 7 ФЗ-152	Удержание контактов в активной CRM для регулярных рекламных звонков через полгода после того, как студент завершил обучение и расторг договор.
7	Запрет открытых публикаций: нельзя выкладывать данные учащихся в открытый доступ без специального отдельного документа.	Ст. 10.1 ФЗ-152	Размещение фотографий с уроков, видеоотзывов или списков групп со сданными экзаменами на сайте или в соцсетях школы по обычному согласию.
8	Запрет передачи без «Поручения»: нельзя предоставлять доступ к базам третьим лицам без специального договора поручения обработки.	Ст. 6, ч. 3 ФЗ-152	Передача списков студентов преподавателям-фрилансерам или подключение групп к внешним онлайн-платформам без подписания соглашения о конфиденциальности.
9	Запрет сокрытия утечек: нельзя умалчивать об инцидентах безопасности, взломах баз данных или компрометации сведений учащихся.	Ст. 21, ч. 3.1 ФЗ-152	Попытка руководства курсов скрыть факт кражи хакерами базы данных клиентов вместо обязательного уведомления Роскомнадзора в течение 24 часов.
10	Запрет анонимного доступа: нельзя позволять сотрудникам работать в ИСПД под общими или коллективными учетными записями.	Ст. 18.1, ч. 1 ФЗ-152	Использование на компьютерах ресепшена одного общего аккаунта с именем «Admin», из-за чего невозможно установить, какой именно менеджер просматривал данные студента.

Нарушение и часть статьи 13.11 КоАП РФ	Граждане (руб.)	Должн. лица (руб.)	Юрлица и ИП (руб.)
Нецелевая обработка (ч. 1)	10 000 – 15 000	50 000 – 100 000	150 000 – 300 000 (ИП штрафуется как должностное лицо: 50 000 – 100 000)
Повторная нецелевая обработка (ч. 1.1)	15 000 – 30 000	100 000 – 200 000	300 000 – 500 000 (включая ИП)
Обработка без письменного согласия (ч. 2)	10 000 – 15 000	100 000 – 300 000	300 000 – 700 000 (ИП штрафуется как должностное лицо: 100 000 – 300 000)
Повторная обработка без согласия (ч. 2.1)	15 000 – 30 000	30 000 – 50 000	1 000 000 – 1 500 000 для ИП отдельно: 500 000 – 1 000 000
Неопубликование Политики конфиденциальности (ч. 3)	1 500 – 3 000	6 000 – 12 000	30 000 – 60 000 для ИП отдельно: 10 000 – 20 000
Непредоставление информации об обработке ПД (ч. 4)	2 000 – 4 000	8 000 – 12 000	40 000 – 80 000 для ИП отдельно: 20 000 – 30 000
Отказ в уточнении или удалении ПД (ч. 5)	2 000 – 4 000	8 000 – 20 000	50 000 – 90 000 для ИП отдельно: 20 000 – 40 000
Повторный отказ в уточнении/удалении ПД (ч. 5.1)	20 000 – 30 000	30 000 – 50 000	300 000 – 500 000 для ИП отдельно: 50 000 – 100 000
Нарушение условий сохранности носителей ПД (ч. 6)	1 500 – 4 000	8 000 – 20 000	50 000 – 100 000 для ИП отдельно: 20 000 – 40 000
Невыполнение обязанности по обезличиванию (ч. 7)	Не применяется	6 000 – 12 000 (только государственные и муниципальные органы)	Не применяется
Нарушение локализации баз данных в РФ (ч. 8)	30 000 – 50 000	100 000 – 200 000	1 000 000 – 6 000 000 (включая ИП)
Повторное нарушение локализации баз данных (ч. 9)	50 000 – 100 000	500 000 – 800 000	6 000 000 – 18 000 000 (включая ИП)
Неуведомление Роскомнадзора о начале обработки (ч. 10)	5 000 – 10 000	30 000 – 50 000 (только государственные, муниципальные органы и НКО)	100 000 – 300 000 (коммерческие организации и ИП)
Неуведомление Роскомнадзора об утечке данных (ч. 11)	50 000 – 100 000	400 000 – 800 000 (только государственные, муниципальные органы и НКО)	1 000 000 – 3 000 000 (коммерческие организации и ИП)
Малая утечка ПД (ч. 12) от 1 000 до 10 000 субъектов / от 10 000 до 100 000 идентификаторов	100 000 – 200 000	200 000 – 400 000 (только государственные, муниципальные органы и НКО)	3 000 000 – 5 000 000 (коммерческие организации и ИП)
Средняя утечка ПД (ч. 13) от 10 000 до 100 000 субъектов / от 100 000 до 1 000 000 идентификаторов	200 000 – 300 000	300 000 – 500 000 (только государственные, муниципальные органы и НКО)	5 000 000 – 10 000 000 (коммерческие организации и ИП)
Крупная утечка ПД (ч. 14) более 100 000 субъектов / более 1 000 000 идентификаторов	300 000 – 400 000	400 000 – 600 000 (только государственные, муниципальные органы и НКО)	10 000 000 – 15 000 000 (коммерческие организации и ИП)
Повторная утечка данных (ч. 15) Повтор нарушений из частей 12–14, 16–18	400 000 – 600 000	800 000 – 1 200 000 (только государственные, муниципальные органы и НКО)	Оборотный штраф: от 1 до 3 процентов годовой выручки (от 20 000 000 до 500 000 000 рублей) для коммерческих организаций и ИП
Утечка спецкатегорий ПД (ч. 16) данные о здоровье, судимости, расовой/национальной принадлежности, религии и др.	300 000 – 400 000	1 000 000 – 1 300 000 (только государственные, муниципальные органы и НКО)	10 000 000 – 15 000 000 (коммерческие организации и ИП)
Утечка биометрических ПД (ч. 17)	400 000 – 500 000	1 300 000 – 1 500 000 (только государственные, муниципальные органы и НКО)	15 000 000 – 20 000 000 (коммерческие организации и ИП)
Повторная утечка биометрии или спецданных (ч. 18) Повтор нарушений из частей 16–17	500 000 – 800 000	1 500 000 – 2 000 000 (только государственные, муниципальные органы и НКО)	Оборотный штраф: от 1 до 3 процентов годовой выручки (от 25 000 000 до 500 000 000 рублей) для коммерческих организаций и ИП

Обработка персональных данных: что это такое, какие действия включает и как соблюдать требования 152 ФЗ

Что такое персональные данные?

Что такое обработка персональных данных?

Какие обязанности у оператора персональных данных?

Обработка ПД: обязанности и документы

Сбор данных: обязанности и документы

Систематизация данных

Хранение данных

Изменение данных

Использование данных

Передача (опубликование) ПД

Уничтожение персональных данных

Обработка персональных данных — срочно издать документы

Как выполнять обязанности по обработке ПД: примеры (языковая школа)

Обязанности оператора по типам действий с ПД: примеры (языковая школа)

Чего нельзя делать при обработке персональных данных (примеры)?

Какие штрафы за нарушение обработки персональных данных?

Итоги