Что такое персональные данные?
Под персональными данными понимаются абсолютно любые сведения, с помощью которых можно прямо либо опосредованно идентифицировать конкретного человека — физическое лицо (п. 1 ст. 3 Закона от 27.07.2006 № 152-ФЗ).
При этом, в нормативных актах нет критериев и даже примерных перечней таких сведений. На практике в качестве персональных данных могут выступать:
- личные анкетные данные (ФИО, половая принадлежность, возраст);
- сведения о полученной квалификации и образовании;
- способы связи (номера телефонов, адреса проживания и т. д.);
- данные о составе семьи и наличии детей;
- жизненный путь и биографические факты;
- информация об имущественном и финансовом статусе.
Существуют и менее очевидные категории личной информации. Например, фотоснимки, по которым верифицируют личность человека (письма Роскомнадзора от 10.02.2020 № 08АП-6782, Минцифры России от 17.07.2020 № ОП-П24-070-19433).
Также статус персональных данных имеют:
- информация о доходах и размере заработной платы физлица (письмо Роскомнадзора от 07.02.2014 № 08КМ-3681);
- ИНН (письмо Минкомсвязи России от 26.04.2017 № П11-1-085-9772);
- cookie-файлы, если они содержат в себе зашифрованные контактные сведения (письмо Минцифры от 17.03.2022 № П25-5623-ОГ).
Что учесть применительно к ИП как к физлицу: на него также в полной мере распространяются нормы о защите личной информации. К специфическим типам персональных данных для ИП (помимо общегражданских сведений, указанных выше) относится, к примеру, регистрационный номер ОГРНИП (Письмо ФНС России от 24.02.2026 № БС-36-11/1367@).
Узнайте, какие типы документов содержат персональные данные сотрудников предприятия, из экспертной публикации в системе «КонсультантПлюс». Получите бесплатный пробный доступ к ней на 2 дня. Если вы хотите пользоваться возможностями системы на постоянной основе, уточните ее стоимость.
Любая компания, учреждение или физическое лицо, выполняющее какие-либо действия с персональными данными — обычного гражданина или ИП, считается оператором, осуществляющим их обработку. Ниже подробно разобрано, что именно закон понимает под процессом обработки и какие технологические рамки для этого установлены.
Что такое обработка персональных данных?
Обработка личных данных представляет собой абсолютно любое изолированное действие либо комплекс действий, производимых с персональной информацией. Эти действия могут быть произведены с использованием компьютерной техники или без неё.
Примеры наиболее распространенных действий, являющихся видами обработки персональных данных:
- сбор и фиксация (запись);
- систематизация, структурирование и дальнейшее накопление;
- долгосрочное или временное хранение;
- корректировка (актуализация, модификация, уточнение);
- экспорт (извлечение) и непосредственное использование в работе;
- любая контролируемая передача (распространение, предоставление конкретным лицам или организация доступа);
- маскирование (обезличивание);
- временное замораживание процессов (блокирование);
- удаление;
- окончательное безвозвратное уничтожение.
Если указанные процедуры (или иные, так или иначе признаваемые обработкой) выполняются при помощи компьютеров, серверов и вычислительных систем, то это признается автоматизированной обработкой ПД. Во многих случаях она производится внутри информационной системы — защищенного ИТ-контура, объединяющего саму базу персональных сведений, а также программные инструменты, технологии и ИТ-решения для управления данными.
При осуществлении обработки персональных данных их оператор — уже буквально с первых этапов, несет исключительно широкий круг обязанностей.
Какие обязанности у оператора персональных данных?
Их можно подразделить на 2 категории:
- Обязанности, являющиеся общими для всех типов действий с персональными данными.
- Обязанности, привязанные к конкретным типам действий, осуществляемых в рамках обработки ПД.
Ниже к вашему сведению:
- таблицы, отражающие перечни обязанностей оператора ПД — общих для всех действий или привязанных к конкретному типу действий;
- документы (с условными данными, можно скачать образцы) — которые оператору ПД требуется исходя из положений закона (либо рекомендуется — в таблице есть отдельные комментарии на этот счет) издавать и использовать в ходе обработки персональных данных.
Условимся при этом, что оператором является хозяйствующий субъект — ИП или организация, ведущий коммерческую деятельность и имеющий штат работников.
Обработка ПД: обязанности и документы
Таблица 1. Перечни обязанностей и документов, издаваемых в целях ее выполнения, для оператора ПД (предприятия со штатом работников) — в отношении всех вариантов обработки данных.
|
Обязанность и документ |
Основание для возникновения обязанности по Закону № 152-ФЗ |
|
Назначение ответственного сотрудника: оператор, являющийся работодателем, обязан официально (приказом) назначить лицо, отвечающее за обработку ПД во всей компании. Какой требуется документ для исполнения обязанности: приказ о назначении ответственного.
|
Ст. 18.1 |
|
Публикация Политики обработки ПД (также часто именуется политикой конфиденциальности): оператор обязан издать и опубликовать ее в открытом доступе (на сайте). Если сайта нет — на стенде при входе в офис. Требуемый документ: политика обработки ПД.
|
Ст. 18.1 |
|
Издание Положения об обработке ПД — локального акта, в котором определен внутренний порядок работы с данными. Оператор обязан утвердить внутренний регламент, который детально распределяет зоны ответственности сотрудников, устанавливает жесткие сроки хранения документов для каждой отдельной цели и описывает процедуру их сбора. В отличие от публичной Политики, этот документ является внутренним ЛНА (локальным нормативным актом). С ним работодатель обязан под роспись ознакомить каждого сотрудника, допущенного к базам данных (кадры, бухгалтерия, абонентский отдел), до начала выполнения ими трудовых обязанностей. Требуемый документ: положение об обработке ПД.
|
Ст. 18.1 |
|
Уведомление Роскомнадзора: оператор обязан направить уведомление о намерении осуществлять обработку данных в РКН для включения в реестр. Требуемый документ: уведомление в Роскомнадзор. Узнайте о правилах составления такого уведомления и ознакомьтесь с его образцом в специальной публикации. |
Ст. 22 |
|
Применение средств защиты информации: на всех этапах необходимо использовать правовые, организационные и технические меры защиты (антивирусы, шифрование, межсетевые экраны). Рекомендуемый документ: можно регламентировать применение технических средств на уровне еще одного локального норматива — Положения об обработке персональных данных в информационных системах.
|
Ст. 19 |
|
Обучение и ознакомление с правилами безопасной обработки ПД: оператор обязан под роспись ознакомить всех сотрудников, работающих с данными, с требованиями закона и внутренними актами. Требуемый документ: лист ознакомления с правилами обработки ПД.
|
Ст. 18.1 |
|
Ответ на запросы граждан: оператор ПД обязан бесплатно предоставлять гражданину информацию о наличии и составе данных физлица в течение 10 рабочих дней. Для этого используется уведомление, составляемое в ответ на запрос гражданина. Требуемый документ: уведомление в ответ на запрос о ПД.
|
Ст. 14, 20 |
|
Внутренний аудит (контроль): регулярное проведение проверок соответствия процессов обработки закону (самоаудит не реже раза в год). По итогам проведения аудита составляется акт. Требуемый документ: акт о проведении аудита ПД.
|
Ст. 18.1 |
|
Оценка вреда: перед началом любых процессов оператор обязан оценить потенциальный вред гражданину в случае утечки его данных и составить акт. Требуемый документ: Акт об оценке вреда при утечке ПД.
|
Ст. 18.1 |
|
Информирование об утечках: в случае компьютерного инцидента или утечки данных оператор обязан в течение 24 часов уведомить РКН и Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Уведомление в РКН подается онлайн по специальной форме. Уведомление в ГосСОПКА — в соответствии с методическими рекомендациями. |
Ст. 21 |
|
Прекращение обработки при нарушениях или иных несоответствиях: если на любом этапе выявлена незаконная обработка (или отозвано согласие), оператор обязан немедленно прекратить действия с ПД. Требуемые документы: прекращение оформляется приказом, а также актом об уничтожении ПД, в отношении которых прекращена обработка.
|
Ст. 21 |
Узнайте больше о применении мер защиты персональных данных из экспертной публикации в системе «КонсультантПлюс». Получите бесплатный пробный доступ к ней на 2 дня. Если вы хотите пользоваться системой на постоянной основе, уточните ее стоимость.
Теперь же рассмотрим обязанности оператора персональных данных (а также типы издаваемых документов) в привязке к конкретным типам действий, отражающих обработку ПД, на примере:
- сбора;
- систематизации;
- хранения;
- изменения;
- использования;
- передачи;
- уничтожения.
Начнем с первой процедуры.
Сбор данных: обязанности и документы
Таблица 2. Перечни обязанностей оператора ПД при сборе данных.
|
Действие (операция) |
Примеры обязанностей и документация |
|
Сбор данных |
1. Первичная локализация баз в РФ: настроить инфраструктуру так, чтобы ввод данных граждан РФ первично фиксировался строго на серверах внутри России. В уведомлении на обработку ПД, которое направляется в РКН, указываются сведения о месте расположения баз данных. При необходимости, если идет проверка, можно предоставить на фирменном бланке справку о соответствии места расположения серверов требованиям. Рекомендуемый документ: справка о локализации ПД.
2. Уведомление при «тайном» сборе ПД: при получении данных от третьих лиц известить субъекта до начала любой обработки с указанием источника и его прав. Требуемый документ: уведомление о получении ПД от третьих лиц.
3. Разъяснение последствий отказа: если предоставление данных обязательно по закону, выдать гражданину письменный регламент с описанием санкций за отказ. Требуемый документ: разъяснение последствий отказа в предоставлении ПД.
4. Минимизация содержимого форм на запрос ПД: нужно жестко ограничить перечень граф анкет и веб-форм, полностью запретив сбор данных, не связанных напрямую с целью их обработки. Чтобы доказать инспектору, что вы провели эту работу и запретили избыточный сбор внутри компании: 1) Требуется — корректно отразить цели сбора и категории данных в Положении об обработке ПД (о котором шла речь выше). 2) Рекомендуется — издать также отдельный приказ об утверждении перечня собираемых персональных данных и минимизации форм.
|
Далее рассмотрим обязанности и документацию оператора в рамках следующего действия — систематизации ПД.
Систематизация данных
Таблица 3. Перечни обязанностей оператора ПД в отношении систематизации данных.
|
Действие |
Обязанности и документы |
|
Систематизация |
1. Запрет объединения несовместимых баз: необходимо технически и логически изолировать друг от друга базы данных, собранные для разных задач (например, кадры и маркетинг). Рекомендуемый документ: приказ об обособлении информационных систем для разных категорий сотрудников.
2. Категоризация по уровням ФСТЭК: физически или логически разделить в структуре баз общие, специальные (здоровье) и биометрические категории данных. Рекомендуемый документ: акт классификации информационных систем.
3. Разграничение на уровне СУБД: настроить матрицу прав доступа так, чтобы роли сотрудников ограничивались конкретными таблицами и столбцами базы. Рекомендуемый документ: к Положению о порядке обработки ПД может быть издано специальное приложение, устанавливающего матрицу прав логического доступа к различным участкам баз данных.
4. Юридическое утверждение топологии: зафиксировать внутренним приказом актуальную схему архитектуры, связей и топологии всех баз данных. Рекомендуемый документ: приказ об утверждении схемы архитектуры ИС, а в качестве приложения к нему — техническое описание архитектуры информационной системы ПД.
5. Введение архивной номенклатуры дел: при систематизации бумажных документов раскладывать их строго по папкам согласно официальной номенклатуре дел организации. Рекомендуемый документ: отдельный приказ на введение специальной номенклатуры дел (бумажных носителей), содержащих персональные данные.
|
Следующий возможный тип действий в рамках обработки ПД — обеспечение их хранения. Рассмотрим, какие обязанности оператор ПД выполняет, и какие документы использует на данном этапе.
Хранение данных
Таблица 3. Перечни обязанностей и документации оператора ПД — в отношении хранения данных.
|
Действие |
Обязанности и документы |
|
Хранение данных |
1. Пофамильный контроль допуска: необходимо утвердить жесткий закрытый список сотрудников, имеющих право переступать порог архива или открывать папки баз. Рекомендуемый документ: отдельный приказ по регламентации допуска к местам размещения ПД.
2. Паспортизация мест: нужно составить точный реестр инвентарных номеров сейфов, шкафов, серверов и облачных сторажей, где лежат данные. Рекомендуемый документ: образец технического паспорта (реестра) мест размещения ПД.
3. Маркировка и учет носителей данных (флешек, дисков):нормативно запретить использование немаркированных и незарегистрированных в спецжурнале съемных носителей. Требуемый документ: журнал учета съемных машинных носителей персональных данных — реестр, в котором фиксируются серийные номера всех флешек компании, даты их выдачи сотрудникам и отметки об уничтожении или возврате.
4. Физический контроль среды: нужно оборудовать места хранения бумаг и серверов сертифицированными системами защиты от пожара, затопления и скачков питания. Рекомендуемый документ: технический регламент обеспечения физической защиты и бесперебойного функционирования средств и мест хранения персональных данных.
|
Теперь рассмотрим обязанности и документацию оператора в контексте следующего типа действия — изменения персональных данных.
Изменение данных
Таблица 4. Перечни обязанностей и документов оператора ПД — в отношении изменения данных.
|
Действие |
Обязанности и документы |
|
Изменение данных |
1. Жесткий таймер (7 дней): технически и организационно обеспечить внесение правок во все базы в течение максимум 7 рабочих дней с момента обращения. Рекомендуемый документ: регламент (инструкция) по обработке запросов субъектов об уточнении, блокировании и уничтожении персональных данных.
2. Каскадное уведомление партнеров: автоматически или вручную сформировать рассылку официальных извещений об изменениях всем подрядчикам, кому ранее ушли данные. Требуемый документ: уведомление о соответствующих изменениях.
3. Входная верификация доков: обязательная проверка юридической силы документов, присланных гражданином для смены данных (паспорт, ЗАГС). Рекомендуемый документ: чек-лист проверки входной документации.
|
Следующий важнейший этап обработки персональных данных — использование. Рассмотрим, какие здесь обязанности выполняет, и какие документы использует оператор ПД.
Использование данных
Таблица 5. Перечни обязанностей и документов оператора ПД — в отношении использования данных.
|
Действие |
Обязанности и документы |
|
Использование |
1. Нормативный и технический запрет смены целей: важно нормативно и технически заблокировать возможность открывать карточки клиентов или сотрудников в модулях систем, не связанных с их изначальным согласием. Юридически данный запрет действует автоматически со вводом Положения об обработке ПД — в котором прописывается строгое следование целям. Но также можно разработать отдельный локальный регламент — для исключения ошибок при пользовании модулями CRM.
Скачать пример локального регламента на разграничение использования модулей 2. Ограничение автоматизированной обработки: в необходимых случаях нужно внедрить ручную верификацию (человеком) для любых решений систем, которые могут повлечь юридические последствия для гражданина. И в этих целях тоже может быть разработан специальный регламент — о принятии решений при выборе автоматизированных средств.
3. Защита от локального скачивания: важно нормативно и технически запретить копирование, создание скриншотов или экспорт таблиц на жесткий диск ПК во время их повседневного просмотра. В этих целях рекомендуется издать отдельный приказ на реализацию соответствующего запрета.
4. Блокировка личных устройств: нужно применить нормативные ограничения, а также исключить техническую возможность использования рабочих баз ПД на личных телефонах или домашних компьютерах персонала. И здесь компании поможет специальный приказ на реализацию указанных ограничений.
|
В рамках обработки ПД может происходить их передача сторонним лицам (в том числе опубликование). Рассмотрим, какие обязанности возникают у оператора, и какие документы он использует в данном направлении.
Передача (опубликование) ПД
Таблица 6. Перечни обязанностей и документов оператора ПД — в отношении передачи данных сторонним лицам (опубликования).
|
Действие |
Обязанности и документы |
|
Передача данных |
1. Раздельное согласие на опубликование: требуется разработать и подписать у гражданина специальную отдельную форму согласия, если данные публикуются на сайте или в СМИ.
2. Юридическое поручение (договор): требуется включить в договор с контрагентом обязательные пункты о конфиденциальности, локализации в РФ и готовности к аудиту. В этих целях может быть составлено дополнительное соглашение к действующему договору.
3. Шифрование каналов (VPN/TLS): при передаче баз по сетям общего пользования допускается использовать только шифрованные туннели, одобренные ИТ-безопасностью. Руководство может обязать сотрудников использовать соответствующие безопасные решения отдельным приказом.
|
По завершении обработки персональные данные в установленном порядке уничтожаются. Рассмотрим, какие обязанности возникают у оператора ПД при осуществлении данного действия, и какие документы издаются.
Уничтожение персональных данных
Таблица 7. Перечни обязанностей и документов оператора ПД — в отношении уничтожения персональных данных.
|
Действие |
Обязанности и документы |
|
Уничтожение данных (ст. 21 Закона № ФЗ-152, приказ РКН от 28.10.2022 № 179)
|
1. Выдерживание 30-дневного таймера: важно настроить контроль дедлайнов, чтобы данные после отзыва согласия полностью стирались в течение 30 дней. В целях соответствующего контроля может быть составлен отдельный регламент.
2. Каскадный отзыв у партнеров: официально потребовать от всех контрагентов (кому данные передавались) полного удаления записей на их стороне. Рекомендуемый документ: требование в адрес контрагентов об удалении ПД.
3. Соблюдение приказа РКН № 179: важно документально зафиксировать уничтожение. Требуемый документ: акт об уничтожении ПД, содержащий реквизиты по п. 3 Требований, утвержденных приказом № 179.
Что учесть: рекомендуется также задокументировать экспорт системного лога. В этих целях необходимо выгрузить из ИСПД лог-файл, подтверждающий успешную команду стирания, распечатать или заверить его и прикрепить к Акту.
4. Сканирование и зачистка бэкапов: нужно проконтролировать, чтобы удаляемый профиль исчез не только из CRM, но и из архивных копий, кэш-серверов и облачных логов. Для такого вида контроля может быть разработан отдельный чек-лист (в качестве приложения к акту об удалении персональных данных).
5. Организация комиссии (от 3 человек), которая физически контролирует процесс и подписывает итоговые документы. Требуемый документ: приказ об утверждении внутренней комиссии.
6. Физическая необратимость утилизации: обеспечить использование сертифицированные ФСТЭК шредеров (для бумаг) или программ низкоуровневого затирания дисков, исключающих восстановление. Рекомендуемый документ: специальная инструкция для работников по уничтожению документов и файлов.
7. Трехлетний архивный контроль: нужно обеспечить строгую сохранность всех актов уничтожения и логов в течение 3 лет на случай внезапной проверки Роскомнадзора. Требуемый документ: приказ на обеспечение хранения актов в течение установленного срока.
|
Очевидно, что для практического соблюдения требований Закона № 152-ФЗ предприятию предстоит издать десятки различных локальных документов — притом, что приведенные выше их перечни не являются исчерпывающими. Вместе с тем, можно выделить буквально несколько, являющихся общеобязательными — на которые инспекторы в первую очередь обращают внимание при проверках.
Обработка персональных данных — срочно издать документы
Таблица 7. Базовые типы документов, которые необходимо в первую очередь издать и начать использовать при обработке ПД.
|
Название ключевого документа |
Зачем нужен? |
|
Политика конфиденциальности |
Главный публичный документ. Обязан быть опубликован на сайте или размещен на стенде в офисе. За его отсутствие Роскомнадзор штрафует быстрее всего (до 60 000 руб.). |
|
Положение об обработке ПД |
Внутренний регламент компании. Подробно описывает, какие именно данные вы собираете, для каких целей, где они хранятся и кто из сотрудников имеет к ним доступ. С ним нужно ознакомить всех работников под роспись. |
|
Приказ о назначении ответственного |
Прямое и безусловное требование ст. 18.1 закона № 152-ФЗ. В компании должен быть официально назначен сотрудник, который отвечает за организацию обработки и защиту персональных данных. |
|
Формы согласий на обработку ПД |
Раздельные шаблоны (для клиентов и для сотрудников). Человек должен физически подписать этот документ (или поставить активную галочку на сайте) строго до того, как вы начнете записывать его данные. |
|
Согласие на распространение ПД |
Критически важный документ (ст. 10.1 ФЗ-152). Обычное согласие не дает права публиковать данные. Если вы хотите выложить фото сотрудника или видеоотзыв клиента на сайт/в соцсети — необходим этот отдельный бланк. |
|
Акт об уничтожении персональных данных |
Единственный документ, подтверждающий, что вы законно стерли данные по требованию клиента или по истечении договора (в соответствии с Приказом РКН № 179). К нему прикладывается цифровая выгрузка логов из CRM. Хранится в архиве 3 года. |
|
Журнал учета машинных носителей |
Простой реестр, где фиксируются серийные номера всех флешек, жестких дисков или токенов компании, на которые могут копироваться персональные данные, а также даты их выдачи сотрудникам. |
В экспертной статье, размещенной в справочно-правовой системе «КонсультантПлюс», подробно классифицированы типы документации, которая применяется операторами персональных данных и запрашивается при проверках. Следование рекомендациям по комплектованию базы документов позволит компании избежать штрафных санкций. Получите бесплатный пробный доступ на 2 дня и ознакомьтесь с материалом. Если вы хотите пользоваться системой на постоянной основе, уточните ее стоимость.
Рассмотрим теперь, как вышеуказанные обязанности могут быть реализованы компанией на практике. Условимся, что наш субъект — языковая школа, и один из основных типов ПД, которыми она оперирует — персональные данные клиентов (учащихся курсов).
Как выполнять обязанности по обработке ПД: примеры (языковая школа)
В первую очередь выделим, опять же, общие обязанности для всех типов действий с персональными данными — применительно к нашему субъекту.
Таблица 8. Общий для всех действий при обработке ПД перечень обязанностей оператора (языковая школа).
|
Обязанность |
Практические действия |
|
Соблюдение границ согласия и договора: использовать данные учащегося только для тех образовательных целей, которые прописаны в договоре на обучение или согласии (ст. 5 ч. 2 и ч. 4, ст. 6 ч. 1 п. 1 и п. 5, ст. 15 ФЗ № 152-ФЗ). |
Нельзя передавать телефон студента сторонним компаниям для рекламы или использовать его почту для спама партнеров, если он учит у вас английский. |
|
Применение СЗИ на рабочих местах: защищать компьютеры администраторов, менеджеров и преподавателей, имеющих доступ к личным делам студентов (ст. 19 ч. 1 и ч. 2 п. 3 ФЗ № 152-ФЗ). |
Установка антивирусов, сложных паролей на CRM-систему школы и запрет преподавателям хранить списки групп на личных незащищенных ноутбуках. |
|
Разграничение внутреннего доступа: давать сотрудникам курсов доступ только к тем данным студента, которые нужны для их работы (ст. 18.1 ч. 1 п. 2, ст. 19 ч. 2 п. 6 ФЗ № 152-ФЗ). |
Преподаватель должен видеть только ФИО и уровень языка студента в журнале, а менеджер по продажам — паспортные данные для договора и статус оплаты. |
|
Обязательное логирование (аудит): фиксировать, кто из сотрудников школы просматривал, менял или выгружал информацию об учащихся (ст. 18.1 ч. 1 п. 4, ст. 19 ч. 2 п. 4 ФЗ № 152-ФЗ). |
В CRM-системе или электронном журнале курсов должно автоматически оставаться имя менеджера, который заходил в карточку студента или менял его расписание. |
|
Контроль точности и актуальности: оперативно обновлять данные студента, если они изменились в процессе прохождения курсов (ст. 5 ч. 6, ст. 20 ч. 3, ст. 21 ч. 3 ФЗ № 152-ФЗ). |
Если студент сменил фамилию или телефон, школа обязана исправить это во всей базе в течение 7 рабочих дней, чтобы сертификат об окончании выдали на правильное имя. |
|
Контроль избыточности объемов: не запрашивать и не удерживать в базе те сведения об учащемся, которые не требуются для учебного процесса (ст. 5 ч. 5 ФЗ № 152-ФЗ). |
Для курсов немецкого языка не нужны ИНН, СНИЛС или справка с места работы студента (если это не корпоративное обучение) — собирать их запрещено. |
|
Изоляция бумажных носителей: обеспечивать физическую безопасность бумажных договоров, заявлений и тестов (ст. 19 ч. 4 ФЗ № 152-ФЗ, Постановление Правительства РФ № 687). |
Договоры на обучение и анкеты студентов должны храниться в закрывающихся шкафах или сейфе на ресепшене, а не лежать стопкой на столе у всех на виду. |
|
Готовность к блокировке по требованию: немедленно «замораживать» обработку данных студента, если возник спор об их законности (ст. 21 ч. 1 ФЗ № 152-ФЗ). |
Если студент заявляет, что не давал согласия на публикацию своего фото с урока в соцсетях школы, администрация обязана заблокировать использование снимка на время проверки. |
|
Контроль сроков и своевременное удаление: не хранить профиль учащегося вечно после завершения его обучения (ст. 5 ч. 7, ст. 21 ч. 4 ФЗ № 152-ФЗ). |
Как только студент окончил курсы, получил сертификат и закрыл все financial расчеты, его данные должны быть удалены из активной базы CRM (кроме архивных документов по закону). |
|
Юридическое оформление третьих лиц: контролировать безопасность данных, если к обучению привлекаются внешние платформы (ст. 6 ч. 3 ФЗ № 152-ФЗ). |
Если ваша школа проводит уроки через внешние онлайн-сервисы или интерактивные платформы, вы обязаны подписать с ними соглашение о конфиденциальности ПД студентов. |
Далее — те обязанности, которые привязаны к конкретным типам действий с персональными данными.
Обязанности оператора по типам действий с ПД: примеры (языковая школа)
Таблица 9. Перечни действий, составляющие обработку ПД, и практические задачи, решаемые в рамках выполнения обязанностей (языковая школа).
|
Действие (операция) |
Регуляторные и практические обязанности школы |
|
Сбор данных |
1. Локализация на сайте школы: настроить форму онлайн-заявки и тестирования на уровень языка так, чтобы данные студентов первично падали на сервера в РФ. 2. Получение согласия до анкетирования: внедрить обязательное подписание согласия (на бумаге на ресепшене или через чекбокс на сайте) до того, как студент начнет заполнять личные данные. 3. Запрет избыточных полей: исключить из вступительных анкет любые нецелевые графы (нельзя собирать ИНН, СНИЛС или данные о работе, если это не требуется для корпоративного договора). 4. Разъяснение при отказе: если студент отказывается предоставить паспортные данные, письменно объяснить ему, что школа в этом случае не сможет заключить официальный договор на обучение. 5. Проверка внешних лидов: если заявки приходят со сторонних агрегаторов курсов, убедиться, что они законно собрали данные и передают их школе с согласия пользователя. |
|
Систематизация |
1. Изоляция учебных и рекламных баз: запрещено объединять в одну структуру базу договоров студентов и общую базу для холодных маркетинговых рассылок. 2. Разделение доступов по ролям: настроить матрицу прав так, чтобы преподаватели видели в электронных журналах только ФИО и уровень языка групп, а бухгалтерия — только финансовые договоры. 3. Логическое деление категорий: отдельно структурировать общие данные (ФИО, телефон) и специальные (например, если собираются справки о здоровье детей для детских языковых лагерей). 4. Приказ по номенклатуре дел: утвердить внутренним распоряжением порядок раскладки бумажных личных дел студентов по папкам, курсам и учебным годам. 5. Паспортизация ИТ-контура: зафиксировать официальную схему движения данных студента от CRM-системы до сервисов рассылки расписания. |
|
Хранение данных |
1. Закрытый пофамильный приказ: утвердить перечень сотрудников школы (менеджеры, бухгалтеры, старшие преподаватели), имеющих право доступа к цифровым или бумажным личным делам студентов. 2. Инвентаризация мест хранения: присвоить номера всем сейфам на ресепшене, шкафам в преподавательской и серверам школы, официально зафиксировав их в паспорте ИСПД. 3. Контроль флешек преподавателей: запретить перенос и хранение списков учебных групп и контактов студентов на личных незарегистрированных съемных носителях преподавателей. 4. Шифрование резервных копий: настроить автоматический бэкап школьной CRM так, чтобы файлы архивных копий баз данных шифровались криптографическими методами. 5. Защита физических архивов: оборудовать архивные шкафы с договорами студентов надежными замками и системами защиты от пожара или затопления на территории школы. |
|
Использование данных |
1. Запрет нецелевой эксплуатации: технически заблокировать менеджерам возможность просматривать или использовать контакты студентов языковых курсов для продвижения сторонних услуг или личных бизнес-проектов. 2. Контроль автоматического скоринга: если школа использует алгоритмы для автоматического распределения по группам или отчисления за неуплату, обеспечить обязательное финальное подтверждение решения человеком (директором или методистом). 3. Матрица интерфейсов: настроить CRM-систему так, чтобы преподаватель на уроке видел только ФИО и уровень языка студента, но не имел доступа к его паспортным данным и полной истории оплат. 4. Блокировка локального сохранения: технически запретить преподавателям и администраторам скачивать базу студентов или делать скриншоты экранов с личными делами на рабочем месте. 5. Запрет личных устройств: исключить возможность авторизации в школьной ИСПД (базе или электронном журнале) с домашних компьютеров или личных мобильных телефонов сотрудников без VPN и MDM-контроля. |
|
Передача данных |
1. Отдельное согласие на отзывы и фото: разработать и подписать у студента специальное независимое согласие, если школа планирует публиковать его видеоотзыв или фотографии с разговорных клубов в соцсетях. 2. Поручение обработки платформам: при использовании внешних интерактивных онлайн-платформ (например, для выполнения домашних заданий) обязательно включить в договор с ними условия конфиденциальности ПД студентов. 3. Шифрование при отправке тестов: пересылать результаты экзаменов, тестов или сканы договоров корпоративным заказчикам (работодателям студентов) строго по защищенным каналам связи (VPN/TLS) или в зашифрованных архивах. 4. Правовой анализ перед стажировками: при отправке студентов на языковые стажировки за рубеж проверить законы принимающей страны на предмет адекватной защиты прав субъектов ПД. 5. Трансграничное уведомление РКН: заблаговременно направить официальное уведомление в Роскомнадзор, если школа передает данные студентов зарубежным языковым школам-партнерам. |
|
Уничтожение данных |
1. Контроль 30-дневного дедлайна: настроить автоматический триггер дедлайна, чтобы профиль студента после получения отзыва согласия полностью вычищался из активных ИТ-систем школы в течение 30 дней. 2. Зачистка кэша и рассылок: проконтролировать, чтобы контакты удаленного студента исчезли не только из CRM, но и из чат-ботов школы, групп в мессенджерах, кэш-серверов и сервисов email-маркетинга. 3. Каскадный отзыв у онлайн-платформ: официально направить требования об очистке баз всем интерактивным онлайн-платформам обучения и внешним сервисам тестирования, куда школа передавала данные студента. 4. Составление Акта по форме РКН: по факту уничтожения составить официальный Акт с обязательным заполнением всех реквизитов Приказа № 179 (ФИО членов комиссии школы, перечень стертых ИСПД, основания). 5. Приложение выгрузки системного лога: при программном удалении данных из школьной CRM обязательно выгрузить лог-файл (журнал регистрации событий), подтверждающий успешное выполнение команды стирания, распечатать или заверить его и подколоть к Акту. 6. Школьная комиссия из 3 человек: утвердить приказом директора состав комиссии (например: методист, старший менеджер, ИТ-администратор), которая физически контролирует утилизацию бумаг/дисков и подписывает Акт. 7. Физическая необратимость утилизации: бумажные анкеты, тесты и копии паспортов уничтожать строго через шредер с высоким уровнем секретности, а цифровые носители (старые жесткие диски) — программами низкоуровневого затирания. 8. Архивный контроль документов: обеспечить строгое и изолированное хранение подписанных Актов уничтожения и лог-файлов ИСПД в течение 3 лет на случай внеплановой проверки Роскомнадзора. |
При неукоснительном выполнении обязанностей по Закону № 152-ФЗ важно не допустить ряда критических ошибок. Рассмотрим, какие из них приводят к максимальному риску нарушений — в контексте примера с языковой школой.
Чего нельзя делать при обработке персональных данных (примеры)?
Таблица 10. Перечни запретных действий с ПД (языковая школа).
|
№ |
Критический запрет |
Законодательное обоснование |
Пример нарушения на курсах |
|
1 |
Запрет «смешивания» целей: нельзя объединять базы данных, собранные для несовместимых между собой бизнес-задач. |
Ст. 5, ч. 2 ФЗ-152 |
Объединение базы действующих финансовых договоров студентов со списками «холодных» лидов для спам-рассылок. |
|
2 |
Запрет избыточности: нельзя собирать и копить данные «на всякий случай», если они не влияют прямо на процесс обучения. |
Ст. 5, ч. 5 ФЗ-152 |
Требование у студента предоставить СНИЛС, ИНН или справку с места работы для покупки обычного разговорного курса. |
|
3 |
Запрет скрытых «чекбоксов»: нельзя заранее автоматически проставлять за пользователя галочки согласия в веб-формах. |
Ст. 9, ч. 1 ФЗ-152 |
Заранее проставленная галочка «Согласен на обработку» в форме заявки на сайте. Выбор студента должен быть строго сознательным и активным. |
|
4 |
Запрет принуждения к ПД: нельзя отказываться продавать курс или оказывать услугу, если запрашиваемые данные необязательны по закону. |
Ст. 18, ч. 3 ФЗ-152 |
Отказ пустить человека на бесплатный открытый урок только потому, что он не захотел указывать свой домашний адрес. |
|
5 |
Запрет «обхода» серверов РФ: нельзя осуществлять первичный ввод и запись контактов на зарубежные платформы и хостинги. |
Ст. 18, ч. 5 ФЗ-152 |
Отправка результатов онлайн-тестирования студентов с сайта напрямую в зарубежный облачный сервис (например, Google Forms) без сохранения копии в РФ. |
|
6 |
Запрет бесконечного удержания: нельзя продолжать хранить профиль студента после достижения целей или отзыва согласия. |
Ст. 5, ч. 7 ФЗ-152 |
Удержание контактов в активной CRM для регулярных рекламных звонков через полгода после того, как студент завершил обучение и расторг договор. |
|
7 |
Запрет открытых публикаций: нельзя выкладывать данные учащихся в открытый доступ без специального отдельного документа. |
Ст. 10.1 ФЗ-152 |
Размещение фотографий с уроков, видеоотзывов или списков групп со сданными экзаменами на сайте или в соцсетях школы по обычному согласию. |
|
8 |
Запрет передачи без «Поручения»: нельзя предоставлять доступ к базам третьим лицам без специального договора поручения обработки. |
Ст. 6, ч. 3 ФЗ-152 |
Передача списков студентов преподавателям-фрилансерам или подключение групп к внешним онлайн-платформам без подписания соглашения о конфиденциальности. |
|
9 |
Запрет сокрытия утечек: нельзя умалчивать об инцидентах безопасности, взломах баз данных или компрометации сведений учащихся. |
Ст. 21, ч. 3.1 ФЗ-152 |
Попытка руководства курсов скрыть факт кражи хакерами базы данных клиентов вместо обязательного уведомления Роскомнадзора в течение 24 часов. |
|
10 |
Запрет анонимного доступа: нельзя позволять сотрудникам работать в ИСПД под общими или коллективными учетными записями. |
Ст. 18.1, ч. 1 ФЗ-152 |
Использование на компьютерах ресепшена одного общего аккаунта с именем «Admin», из-за чего невозможно установить, какой именно менеджер просматривал данные студента. |
За нарушения при обработке персональных данных полагаются существенные штрафы — на основании с. 13.11 КоАП РФ (с 30.05.2025 года применяемые с учетом положений Закона от 30.11.2024 № 420-ФЗ).
Какие штрафы за нарушение обработки персональных данных?
Важно: ИП теперь платят штрафы наравне с юрлицами. Скидка 50% на оплату штрафов по ст. 13.11 КоАП РФ полностью отменена. За повторные утечки введены оборотные штрафы.
|
Нарушение и часть статьи 13.11 КоАП РФ |
Граждане (руб.) |
Должн. лица (руб.) |
Юрлица и ИП (руб.) |
|
Нецелевая обработка (ч. 1) |
10 000 – 15 000 |
50 000 – 100 000 |
150 000 – 300 000 |
|
Повторная нецелевая обработка (ч. 1.1) |
15 000 – 30 000 |
100 000 – 200 000 |
300 000 – 500 000 |
|
Обработка без письменного согласия (ч. 2) |
10 000 – 15 000 |
100 000 – 300 000 |
300 000 – 700 000 |
|
Повторная обработка без согласия (ч. 2.1) |
15 000 – 30 000 |
30 000 – 50 000 |
1 000 000 – 1 500 000 |
|
Неопубликование Политики конфиденциальности (ч. 3) |
1 500 – 3 000 |
6 000 – 12 000 |
30 000 – 60 000 |
|
Непредоставление информации об обработке ПД (ч. 4) |
2 000 – 4 000 |
8 000 – 12 000 |
40 000 – 80 000 |
|
Отказ в уточнении или удалении ПД (ч. 5) |
2 000 – 4 000 |
8 000 – 20 000 |
50 000 – 90 000 |
|
Повторный отказ в уточнении/удалении ПД (ч. 5.1) |
20 000 – 30 000 |
30 000 – 50 000 |
300 000 – 500 000 |
|
Нарушение условий сохранности носителей ПД (ч. 6) |
1 500 – 4 000 |
8 000 – 20 000 |
50 000 – 100 000 |
|
Невыполнение обязанности по обезличиванию (ч. 7) |
Не применяется |
6 000 – 12 000 |
Не применяется |
|
Нарушение локализации баз данных в РФ (ч. 8) |
30 000 – 50 000 |
100 000 – 200 000 |
1 000 000 – 6 000 000 |
|
Повторное нарушение локализации баз данных (ч. 9) |
50 000 – 100 000 |
500 000 – 800 000 |
6 000 000 – 18 000 000 |
|
Неуведомление Роскомнадзора о начале обработки (ч. 10) |
5 000 – 10 000 |
30 000 – 50 000 |
100 000 – 300 000 |
|
Неуведомление Роскомнадзора об утечке данных (ч. 11) |
50 000 – 100 000 |
400 000 – 800 000 |
1 000 000 – 3 000 000 |
|
Малая утечка ПД (ч. 12) |
100 000 – 200 000 |
200 000 – 400 000 |
3 000 000 – 5 000 000 |
|
Средняя утечка ПД (ч. 13) |
200 000 – 300 000 |
300 000 – 500 000 |
5 000 000 – 10 000 000 |
|
Крупная утечка ПД (ч. 14) |
300 000 – 400 000 |
400 000 – 600 000 |
10 000 000 – 15 000 000 |
|
Повторная утечка данных (ч. 15) |
400 000 – 600 000 |
800 000 – 1 200 000 |
Оборотный штраф: от 1 до 3 процентов годовой выручки |
|
Утечка спецкатегорий ПД (ч. 16) |
300 000 – 400 000 |
1 000 000 – 1 300 000 |
10 000 000 – 15 000 000 |
|
Утечка биометрических ПД (ч. 17) |
400 000 – 500 000 |
1 300 000 – 1 500 000 |
15 000 000 – 20 000 000 |
|
Повторная утечка биометрии или спецданных (ч. 18) |
500 000 – 800 000 |
1 500 000 – 2 000 000 |
Оборотный штраф: от 1 до 3 процентов годовой выручки |
Подробнее о штрафах за нарушения при обработке ПД читайте в специальной публикации.
Итоги
Выстраивание легитимной системы работы с персональными данными — это не разовое оформление документов, а непрерывный контроль ИТ-периметра и бизнес-процессов компании. Действующее законодательство жестко регламентирует каждый шаг оператора: от первичного сбора сведений до их окончательного стирания. Ключевым фактором безопасности становится автоматизация обработки: внедрение детального логирования действий сотрудников, разграничение прав доступа на уровне СУБД, применение сертифицированных средств криптографической защиты и своевременное уничтожение архивов по регламентам регулятора.
Игнорирование уникальных обязанностей или нарушение безусловных запретов [ФЗ № 152-ФЗ] неизбежно влечет за собой жесткие санкции. Роскомнадзор регулярно ужесточает меры контроля, а штрафы за неправомерное удержание данных, отсутствие локализации баз в РФ или скрытое распространение информации исчисляются сотнями тысяч и миллионами рублей. Более того, компрометация данных подрывает доверие клиентов и грозит судебными исками. Только строгое следование сквозным правилам, регулярный самоаудит информационных систем и поддержание цифровой гигиены персонала позволяют организации эффективно вести деятельность, полностью исключив правовые и репутационные риски.