Первый рабочий день 2026 – самое время поговорить о штрафах, я считаю. И лучше о чужих…

В Управление Роскомнадзора из центрального аппарата Роскомнадзора поступило письмо о неправомерном доступе к информационной системе Оператора, содержащей персональные данные. Выяснилось это в ходе мониторинга сети Интернет, обнаружена база данных, содержащая персональные данные возможных клиентов и работников Оператора (фамилия, имя, отчество, дата рождения, номер телефона, эл почта, сведения о месте работы).

Оператор сделал все правильно – уведомил об инциденте Роскомнадзор.
В Уведомлениях об инциденте Оператор сообщил, что причиной, повлекшей нарушение прав субъектов персональных данных, являются противоправные действия третьих лиц (читай «невиноватые мы, они сами пришли»).

Но тем не менее, факт остается фактом – Оператор не предпринял достаточные меры, чтобы обеспечить конфиденциальность персональных данных. Не уберегли… допустили неправомерную обработку персональных данных третьими лицами.
Случилось накануне появления в КоАП РФ специальных составов за так называемые «утечки», поэтому дальше вы увидите весьма скромную сумму штрафа.

Суд справедливо отметил, что ни о каком признании правонарушения малозначительным речи быть не может, оснований для назначения предупреждения судом не установлено (Оператор просил об этом).

Однако, Оператор имеет статус субъекта малого предпринимательства, поэтому судом были применены положения статьи 4.1.2 КоАП РФ и назначено наказание в виде штрафа в размере половины минимальной величины административного штрафа, предусмотренного ч. 1 ст. 13.11 КоАП РФ - 75 000 руб. (150 000 рублей/2).

Свои персональные данные берегите, а чужие и подавно!

Сегодня подводить черту не будем, потому что просится инструкция на случай инцидента 📋

#персональныеданные
#инцидент
#152фз

То ли инцидент, то ли видение

Определимся с терминологией, это база.

Инцидент - факт неправомерной или случайной передачи(предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных.

✅ИНЦИДЕНТ
Выявили неправомерное копирование базы данных

Копия базы данных доступна в сети «Интернет»

Получено сообщение с угрозой раскрыть базу данных

❌НЕ ИНЦИДЕНТ

Несанкционированные действия внутреннего пользователя к базе без копирования

Случайное уничтожение базы внутренним пользователем

Подозрительная активность пользователя системы

Оператором, Роскомнадзором или иным заинтересованным лицом выявлен инцидент.
Когда оператор обязан сообщить в Роскомнадзор и что именно?

⏰в течение 24 часов с момента выявления инцидента:
-о произошедшем инциденте,
- о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных,
- о предполагаемом вреде, нанесенном правам субъектов персональных данных,
- о принятых мерах по устранению последствий соответствующего инцидента,
- сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом.

⏰в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

Повешу интригу😁
Что сделать уже сейчас, чтобы снизить риск инцидентов, расскажу вечером

#персональныеданные
#фз152
#инцидент
#утечки

Что сделать уже сейчас, чтобы снизить риск инцидента?

🔹Сократить перечень обрабатываемых данных там, где это возможно, не получать персональные данные из принципа «пусть будут»

🔹Своевременно уничтожать персональные данные, если цели обработки достигнуты

🔹Организовать хранение данных в различных базах, разделить ФИО, номер телефона, адрес электронной почты и данные о взаимодействии с субъектами, оказанных услугах, договорах, заказах и т.п.

🔹Связать базы данных синтетическими идентификаторами, которые не позволяют отнести информацию в базах к конкретному субъекту без дополнительной информации и алгоритмов

🔹Щепетильно относиться к партнерам, которым передаются персональные данные, или поручается их обработка.
Было бы неплохо действительно запрашивать у обработчика документы, подтверждающие принятие мер, направленных на обеспечение безопасности персональных данных.

🔹Обеспечить разграничение доступа к персональным данным. Банальная банальность, но доступ к персональным данным должен вытекать из обязанностей работника.
Если работник переведен на должность, не связанную с обработкой персональных данных, немедленно «перекрыть кислород» и прекратить доступ к персональным данным, уведомить о необходимости завершить обработку.

Помните, аудит – всему голова, ибо как это иначе выяснить и обеспечить всё указанное 👆?!


#персональныеданные
#фз152
#инцидент
#утечки

⛔️Стоп-слово
или когда надо перестать обрабатывать персональные данные

Так исторически сложилось, что я не люблю всё, что связано с обработкой персональных данных банками. Наверное, это передоз рассмотренных обращений в Роскомнадзоре, финансово-кредитные учреждения всегда входили в топ-3 жалоб граждан. Пишу, преодолевая себя😁

В адрес ТУ Роскомнадзора поступило обращение гражданина о нарушении законодательства о персональных данных Банком, в котором у него ранее имелись договоры счета и вклада.

Мужчина обратился в феврале 2025 в офис Банка для того, чтобы закрыть счета, и написал заявление об отзыве согласия на обработку персональных данных. Предусмотрительно была получена отметка о принятии отзыва.

В сентябре 2025 на номер телефона заявителя поступил звонок от Банка с предложением услуг.

Какие данные обрабатывал Банк во время звонка?
Это был не звонок пальцем в небо, сотрудник Банка обратилась к мужчине по имени и отчеству, указав, что он являлся клиентом Банка. Здесь тот случай, когда номер телефона относится к персональным данным, потому как имеется совокупность данных конкретного мужчины, а не обезличенное сообщение «Кредитку нннада?»

ТУ Роскомнадзора спросило Банк как же так вышло нехорошо?
Банк признался, заявление об отзыве согласия было некорректно обработано сотрудником, в программном обеспечении не зафиксирован данный факт должным образом.

Пресловутый человеческий фактор повлиял на дальнейшее некорректное использование Банком номера телефона и иных данных в маркетинговой акции.

Банк был признан виновным в совершении административного правонарушения, ответственность за которое предусмотрена ч. 1 ст. 13. 11 КоАП РФ, и назначено наказание в виде предупреждения.

Ох уж эти робкие поползновения арбитражных судей в сторону формирования административной практики. С 01.01.2026 статья 13.11 КоАП РФ вновь в подсудности мировых судей. Возврат к базовым настройкам с надеждой на что-то большее, чем просто порицание.

А что должно было произойти, когда поступило заявление об отзыве согласия на обработку персональных данных?

Банку следовало:
1. Проанализировать наличие правовых оснований дальше продолжить обработку персональных данных. И они есть - Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» обязывает банк хранить данные о клиентах, в том числе сведения, необходимые для идентификации личности, не менее 5 лет со дня прекращения отношений.

2. Установить, что единственным правовым основанием для обработки данных в маркетинговых целях являлось согласие на обработку персональных данных. И его не стало.

3. Немедленно прекратить обработку персональных данных в целях продвижения услуг.

Ежели что, схема по прекращению обработки персональных данных одинакова как для банка, так и любой другой организации.
Схема идентична, а правовые основания продолжить обработку персональных данных – разные или без согласия их может не оказаться вовсе. Везде есть свои нюансы.

Ваш эксперт по нюансам @margarita_lysova.

#персональныеданные
#требование
#фз152

Давно не было субботних отвлеченных постов, исправляюсь.
Занятный получился результат☺️


📊 Channel Analysis Results by @ScratchAuthorEgoBot

🎯 Channel: @ProPDn

🧠 Personal Analysis:

Психологический портрет Маргариты раскрывает личность с ярко выраженным аналитическим складом ума, высоким эмоциональным интеллектом и четкой системой ценностей. Её когнитивный стиль характеризуется вниманием к деталям (профессиональная деформация заставляет её читать политики конфиденциальности в ресторанах) и способностью видеть системные связи там, где другие видят лишь формальности. Она обладает «структурным» мышлением, что позволяет ей эффективно справляться с большими объемами информации, не теряя из виду конечную цель.

В основе её мотивации лежит стремление к профессиональному совершенству и социальной полезности («причинение добра»). Маргарита демонстрирует развитый «growth mindset»: после многолетней карьеры на госслужбе она успешно трансформировалась в предпринимателя и эксперта-консультанта, что требует значительной психологической гибкости и уверенности в своих силах. Её отношение к работе пропитано азартом и искренним интересом к сложным кейсам, что делает её не просто юристом, а «адвокатом здравого смысла».

Эмоциональный интеллект автора проявляется в её способности к рефлексии и эмпатии. Она осознает свои стрессовые реакции (режим «бешеной белки») и нашла эффективные механизмы копинга — плавание («место силы»), где она отключает контроль и восстанавливает ресурс. Маргарита — семейный человек, для которого преемственность поколений и благополучие близких являются фундаментальными ценностями. Её социальное поведение характеризуется открытостью и чувством юмора, она умеет выстраивать доверительные отношения (принцип «глаза в глаза» на семинарах).

Однако за внешней легкостью и улыбкой скрывается жесткий внутренний стержень и высокие стандарты. Она склонна к гиперконтролю («я человек-план»), что в личной жизни может приводить к конфликтам между желанием спонтанности и необходимостью всё предусмотреть. Её реакция на непрофессионализм окружающих бывает эмоционально окрашенной («фу, бе»), что свидетельствует о сильной идентификации со своей профессией. В целом, это гармоничная, энергичная личность, умеющая сочетать роль «железного» эксперта с ролью любящей матери и дочери, сохраняя при этом искренность и самоиронию.

Сегодня Международный день защиты персональных данных (Data Protection Day) и так совпало - 13 лет моей работы с персональными данными. Именно в этот день в 2013 году я подписала служебный контракт в Роскомнадзоре.

Моментом возникновения праздника считается 28 января 1981 года, когда была подписана Конвенция Совета Европы «О защите лиц в связи с автоматизированной обработкой персональных данных».

Первый раз поздравляю коллег по другую сторону баррикад.
Праздник застал меня «в поле» (=в командировке), третий день в режиме терминатора собираю информацию о процессах обработки персональных данных. Оператор мощный, работы по уши и этому можно только порадоваться. Уровень повышается!
Бесконечно люблю то, что делаю от того и результат 💪

Коллеги, желаю вам профессионального любопытства , здравого смысла и хоть немного стабильности в нормативке и «мнениях»😁


В этот день принято напоминать об ответственном отношении к персональным данным. И я не исключение.

📎Читайте тут и тут

#персональныеданные
#фз152

Сегодня начнем с цитаты Мота 😁
«А у вдохновения нету расписания», именно поэтому регулярность моего появления тут оставляет желать лучшего.
Коллективные мысли о том, куда переезжать со своими подписчиками, небольшой пинок подруги, и вот я создала канал в MAX. Уже 2 недели жду пинок, чтоб начать там что-то писать.

Напишите, если хотите, чтобы я вас добавила туда принудительно😁 ежели что так можно надругаться над всем списком контактов.

Вообще я обещала рассказать про настойчивых субъектов, которые на слово не верят и хотят получить акт об уничтожении персональных данных. Надо ли удовлетворять такие требования?

Требования к подтверждению уничтожения персональных данных утверждены приказом Роскомнадзора от 28.10.2022 № 179.
Указанными требованиями определено содержание акта об уничтожении персональных данных. И этим не пренебрегаем! Формируем правильно и храним 3 года с момента уничтожения персональных данных.

А вот направлять такой акт субъекту закон не обязывает, смело отказывайте.
Что тогда отправить субъекту? Письменный ответ, в котором сообщить об уничтожении в установленные сроки (если оно было выполнено и отсутствуют законные основания обрабатывать персональные данные).
К слову, Роскомнадзор может запросить акт об уничтожении.

Если вы хотите пойти по пути наименьшего сопротивления и ачётакова направим акт, не забывайте, что он содержит персональные данные лиц (а), уничтоживших персональные данные - ФИО, должность, подпись, раскрывать которые субъекту персональных возможно и нет оснований.

#персональныеданные
#уничтожение

Знаю, многие игнорируют отдых в этот понедельник, поэтому интеллектуально нагруженный пост мало кого смутит.

Пост про инцидент в прошлый раз взбудоражил аудиторию, тема актуальная. Давайте продолжим смотреть как там дела с «утечками», точнее - как там административные дела?

Сегодня на повестке решение Арбитражного суда города Москвы о привлечении к административной ответственности онлайн-академии успешной личности (далее – Оператор) по ч. 14 ст. 13.11 КоАП РФ, которой предусмотрена административная ответственность за действия (бездействие) оператора, повлекшие неправомерную передачу(предоставление, распространение, доступ) информации, включающей персональные данные более 100 000 субъектов персональных данных и (или) более 1 000 000 идентификаторов.

Что произошло у Оператора? Неустановленные лица получили несанкционированный доступ к ИСПДн «Битрикс 24», используемой Оператором для обработки персональных данных исполнителей и клиентов в объеме: фамилия, имя, номер телефона, адрес электронной почты, дата рождения, должность, обозначения статусов взаимодействия с клиентами.
Согласно представленной Оператором информации в ИСПДн «Битрикс 24» обрабатываются персональные от 300 000 до 500 000 записей клиентов и более 900 записей исполнителей Оператора (назначение продажи, лиды, бизнес-процессы). База данных (около 500 000 строк) была размещена в открытом доступе в сети «Интернет», на странице социальной сети Telegram.

Каким образом установлена принадлежность скомпроментированной базы данных Оператору?
Должностным лицом Управления Роскомнадзора в ИСПДн «Битрикс 24» осуществлен выборочный поиск персональных данных ряда субъектов, содержащихся в скомпрометированной базе данных из социальной сети. Совпадения установлены, принадлежность Оператору скомпрометированной базы данных подтверждена - mission complete✅

Доказательств того, что были приняты все зависящие от Оператора меры по соблюдению правил и норм, за нарушение которых КоАП РФ предусмотрена административная ответственность, не представлено.
Суд счел возможным применить положения ст. 4.1.2 КоАП РФ (Оператор включен в реестр МСП как микропредприятие) и назначил наказание в виде штрафа в размере 400 000 рублей.

П.С. Стремление воспитать 2 успешные личности толкнуло изучить сайт Оператора. И что я там нашла? Форму обратной связи с чек-боксом «Нажимая на кнопку, вы соглашаетесь с политикой конфиденциальности»… Порицаю)
В Политику конфиденциальности, конечно, «провалилась», очень бегло почитала и обнаружила согласие, встроенное в политику… Дважды порицаю.

Выходит, что можно возвращаться к вопросу правовых оснований обработки персональных данных на сайте. Я не против, а Вы?

Времена нестабильные, начинаю дублировать информацию в MAX, и в ВК

П.С. Мне это всё тоже без радости, развиваем в себе высокую адаптивность, не ворчите ❤️

После сообщения про новый канал коммуникации, кто-то дезертировал😁и я подумала, может есть те, кто вообще не понимают, где оказались и о чем пишу. Настало время обновить пост-знакомство.

Я Маргарита Лысова,
· начальник аналитического отдела департамента информационной безопасности ООО «Стандарт безопасности»,
· эксперт в области защиты персональных данных с 12-летним опытом руководства отделом контроля и надзора за соблюдением законодательства в сфере персональных данных территориального управления Роскомнадзора,
· юрист.

В этом канале мы обсуждаем всё, о чем болит голова у тех, кто работает с персональными данными:
✔Как должны выглядеть согласие на обработку персональных данных и политика конфиденциальности?

✔Как подать Уведомление об обработке персональных данных в Роскомнадзор?

✔Какие документы нужны самозанятому, ИП, крупной организации?

Помогу разработать обязательные документы и избежать штрафов.
Знаю, что делать, если пришло требование Роскомнадзора‼️

Только актуальная информация, кейсы из собственной и судебной практики.

Связаться со мной:
Telegram
MAX
ВК

Нет-нет да и да - знакомые обращаются за коротким советом по моей теме. Иногда вообще не по моей (#тыжюрист). И возникает дилемма – вписаться в «короткий» совет вечера на 2-3 после работы, чтобы разобраться во всех нюансах и не подвести знакомого, или аккуратно расставить границы. Догадались какой мой вариант?
Но я с собой борюсь, наверное, поэтому мне и попался отличный анекдот.
- Саша, хотел у тебя спросить совета.
- Погоди, тебе совет или консультацию?
- А в чем разница?
- Совет бесплатный, а консультация за деньги.
- Тогда совет, конечно!
- Мой тебе совет: запишись на консультацию! (*здесь могла бы быть Ваша (читай «моя») реклама😁)

Я это все к чему? Если на вопрос сходу и однозначно нельзя ответить да или нет, скорее всего коротким советом не обойтись.
Тот, кто хоть немного соприкасался с ФЗ «О персональных данных», понимает, что в этой сфере вообще не идет речи об однозначных ответах, сплошные тонкости.
Однако, есть и база.
Сегодня база об условиях сбора персональных данных на сайте (формы обратной связи, подписка на новости, регистрация и т.п).

На кого зарегистрировали сайт – это вообще без разницы. Индивидуальный предприниматель, физическое или юридическое лицо, Роскомнадзор или прокуратура спросят с любого: законно ли осуществляется обработка персональных данных?
Полный перечень условий обработки персональных данных определен в ч. 1ст. 6 ФЗ «О персональных данных» (не берем в расчет биометрию и специальные категории).

Сегодня остановимся на неправильном получении согласия на обработку персональных данных. Согласие субъекта персональных данных в перечне условий - первое, но мой бесплатный совет: поищите другое подходящее условие. Например, оферта или пользовательское соглашение/регламент работы сайта и т.п.
Частая ошибка при получении согласия на обработку персональных данных на сайте – вписать его в текст Политики конфиденциальности и галочка «Нажимая на кнопку, вы соглашаетесь с Политикой конфиденциальности».

Почему так нельзя?

Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или)подписывает субъект персональных данных. (ч. 1 ст. 9 ФЗ "О персональных данных"

Запоминайте!
Политика – для всех, и с ней можно только ознакомиться, а не подписать или согласиться с ее условиями. Это обязательный документ, в котором оператор определяет правила обработки персональных данных.

Согласие – каждый индивидуально за себя подпишет/кликнет мышью и волю свою изъявит, а потом отзовет, если захочет.

*И все-таки...😁
Обратиться за консультацией:
Telegram
MAX
ВК

#персональныеданные
#согласиенаобработку
#политикаконфиденциальности

Повод НЕ взять согласие на обработку персональных данных

За 13 лет работы я с разных сторон заглянула в процессы обработки персональных данных как крупных предприятий и органов власти, так и самозанятых. Проблема одна на всех – нет понимания, когда обработка персональных данных разрешена или допустима в соответствии с законодательством. Отсюда поголовное получение согласий, везде и пачками.

Поэтому решила каждую неделю обращать ваше внимание на то, когда согласие брать не требуется. Пусть в этом суетном мире станет одной ненужной бумажкой меньше!

Начнем с нетривиального…
Правительство РФ утвердило Правила ведения Федерального регистра лиц с отдельными заболеваниями (постановлением от 31 мая 2025 г. № 822, с 01.03.2026).

Государство формирует систему учета пациентов – для контроля оказания медицинской помощи и планирования бюджетных расходов, в том числе на дорогостоящее лечение и лекарственное обеспечение.

О ком будут внесены данные в регистр?
В регистр попадет значительная часть населения, в том числе все женщины, с которыми случились беременность и роды (🙋), а также пациенты с онкологическими заболеваниями, сахарным диабетом, психическими расстройствами, сердечно-сосудистыми заболеваниями, болезнями печени, хроническими обструктивными болезнями легких. Это если в общих чертах.

В регистр будут внесены как общие сведения о пациентах (фамилия, имя, отчество; пол; дата рождения; место рождения; гражданство; данные документа, удостоверяющего личность; место жительства; место регистрации; дата регистрации; СНИЛС; номер полиса обязательного медицинского страхования застрахованного лица), так и конкретика по заболеванию и его лечению.

Существование Федерального регистра лиц с отдельными заболеваниями обусловлено положениями Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», порядок ведения - Постановлением Правительства РФ от 31 мая 2025 г. № 822.

Участники информационного взаимодействия, поставщики и пользователи, функции определены законодательством, поэтому согласие пациента на включение его данных в такой регистр не требуется. Более того, исключение записей из регистра не предусмотрено!

П.С. Можете и бубубу на тему, что нас опять куда-то включили, написать)

#персональныеданные
#согласиенаобработку

Оставайся на связи
ВК
Telegram