⛔️Стоп-слово
или когда надо перестать обрабатывать персональные данные
Так исторически сложилось, что я не люблю всё, что связано с обработкой персональных данных банками. Наверное, это передоз рассмотренных обращений в Роскомнадзоре, финансово-кредитные учреждения всегда входили в топ-3 жалоб граждан. Пишу, преодолевая себя😁
В адрес ТУ Роскомнадзора поступило обращение гражданина о нарушении законодательства о персональных данных Банком, в котором у него ранее имелись договоры счета и вклада.
Мужчина обратился в феврале 2025 в офис Банка для того, чтобы закрыть счета, и написал заявление об отзыве согласия на обработку персональных данных. Предусмотрительно была получена отметка о принятии отзыва.
В сентябре 2025 на номер телефона заявителя поступил звонок от Банка с предложением услуг.
Какие данные обрабатывал Банк во время звонка?
Это был не звонок пальцем в небо, сотрудник Банка обратилась к мужчине по имени и отчеству, указав, что он являлся клиентом Банка. Здесь тот случай, когда номер телефона относится к персональным данным, потому как имеется совокупность данных конкретного мужчины, а не обезличенное сообщение «Кредитку нннада?»
ТУ Роскомнадзора спросило Банк как же так вышло нехорошо?
Банк признался, заявление об отзыве согласия было некорректно обработано сотрудником, в программном обеспечении не зафиксирован данный факт должным образом.
Пресловутый человеческий фактор повлиял на дальнейшее некорректное использование Банком номера телефона и иных данных в маркетинговой акции.
Банк был признан виновным в совершении административного правонарушения, ответственность за которое предусмотрена ч. 1 ст. 13. 11 КоАП РФ, и назначено наказание в виде предупреждения.
Ох уж эти робкие поползновения арбитражных судей в сторону формирования административной практики. С 01.01.2026 статья 13.11 КоАП РФ вновь в подсудности мировых судей. Возврат к базовым настройкам с надеждой на что-то большее, чем просто порицание.
А что должно было произойти, когда поступило заявление об отзыве согласия на обработку персональных данных?
Банку следовало:
1. Проанализировать наличие правовых оснований дальше продолжить обработку персональных данных. И они есть - Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» обязывает банк хранить данные о клиентах, в том числе сведения, необходимые для идентификации личности, не менее 5 лет со дня прекращения отношений.
2. Установить, что единственным правовым основанием для обработки данных в маркетинговых целях являлось согласие на обработку персональных данных. И его не стало.
3. Немедленно прекратить обработку персональных данных в целях продвижения услуг.
Ежели что, схема по прекращению обработки персональных данных одинакова как для банка, так и любой другой организации.
Схема идентична, а правовые основания продолжить обработку персональных данных – разные или без согласия их может не оказаться вовсе. Везде есть свои нюансы.
Ваш эксперт по нюансам @margarita_lysova.
#персональныеданные
#требование
#фз152
или когда надо перестать обрабатывать персональные данные
Так исторически сложилось, что я не люблю всё, что связано с обработкой персональных данных банками. Наверное, это передоз рассмотренных обращений в Роскомнадзоре, финансово-кредитные учреждения всегда входили в топ-3 жалоб граждан. Пишу, преодолевая себя😁
В адрес ТУ Роскомнадзора поступило обращение гражданина о нарушении законодательства о персональных данных Банком, в котором у него ранее имелись договоры счета и вклада.
Мужчина обратился в феврале 2025 в офис Банка для того, чтобы закрыть счета, и написал заявление об отзыве согласия на обработку персональных данных. Предусмотрительно была получена отметка о принятии отзыва.
В сентябре 2025 на номер телефона заявителя поступил звонок от Банка с предложением услуг.
Какие данные обрабатывал Банк во время звонка?
Это был не звонок пальцем в небо, сотрудник Банка обратилась к мужчине по имени и отчеству, указав, что он являлся клиентом Банка. Здесь тот случай, когда номер телефона относится к персональным данным, потому как имеется совокупность данных конкретного мужчины, а не обезличенное сообщение «Кредитку нннада?»
ТУ Роскомнадзора спросило Банк как же так вышло нехорошо?
Банк признался, заявление об отзыве согласия было некорректно обработано сотрудником, в программном обеспечении не зафиксирован данный факт должным образом.
Пресловутый человеческий фактор повлиял на дальнейшее некорректное использование Банком номера телефона и иных данных в маркетинговой акции.
Банк был признан виновным в совершении административного правонарушения, ответственность за которое предусмотрена ч. 1 ст. 13. 11 КоАП РФ, и назначено наказание в виде предупреждения.
Ох уж эти робкие поползновения арбитражных судей в сторону формирования административной практики. С 01.01.2026 статья 13.11 КоАП РФ вновь в подсудности мировых судей. Возврат к базовым настройкам с надеждой на что-то большее, чем просто порицание.
А что должно было произойти, когда поступило заявление об отзыве согласия на обработку персональных данных?
Банку следовало:
1. Проанализировать наличие правовых оснований дальше продолжить обработку персональных данных. И они есть - Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» обязывает банк хранить данные о клиентах, в том числе сведения, необходимые для идентификации личности, не менее 5 лет со дня прекращения отношений.
2. Установить, что единственным правовым основанием для обработки данных в маркетинговых целях являлось согласие на обработку персональных данных. И его не стало.
3. Немедленно прекратить обработку персональных данных в целях продвижения услуг.
Ежели что, схема по прекращению обработки персональных данных одинакова как для банка, так и любой другой организации.
Схема идентична, а правовые основания продолжить обработку персональных данных – разные или без согласия их может не оказаться вовсе. Везде есть свои нюансы.
Ваш эксперт по нюансам @margarita_lysova.
#персональныеданные
#требование
#фз152
🔥5👍1
Давно не было субботних отвлеченных постов, исправляюсь.
Занятный получился результат☺️
📊 Channel Analysis Results by @ScratchAuthorEgoBot
🎯 Channel:
🧠 Personal Analysis:
Психологический портрет Маргариты раскрывает личность с ярко выраженным аналитическим складом ума, высоким эмоциональным интеллектом и четкой системой ценностей. Её когнитивный стиль характеризуется вниманием к деталям (профессиональная деформация заставляет её читать политики конфиденциальности в ресторанах) и способностью видеть системные связи там, где другие видят лишь формальности. Она обладает «структурным» мышлением, что позволяет ей эффективно справляться с большими объемами информации, не теряя из виду конечную цель.
В основе её мотивации лежит стремление к профессиональному совершенству и социальной полезности («причинение добра»). Маргарита демонстрирует развитый «growth mindset»: после многолетней карьеры на госслужбе она успешно трансформировалась в предпринимателя и эксперта-консультанта, что требует значительной психологической гибкости и уверенности в своих силах. Её отношение к работе пропитано азартом и искренним интересом к сложным кейсам, что делает её не просто юристом, а «адвокатом здравого смысла».
Эмоциональный интеллект автора проявляется в её способности к рефлексии и эмпатии. Она осознает свои стрессовые реакции (режим «бешеной белки») и нашла эффективные механизмы копинга — плавание («место силы»), где она отключает контроль и восстанавливает ресурс. Маргарита — семейный человек, для которого преемственность поколений и благополучие близких являются фундаментальными ценностями. Её социальное поведение характеризуется открытостью и чувством юмора, она умеет выстраивать доверительные отношения (принцип «глаза в глаза» на семинарах).
Однако за внешней легкостью и улыбкой скрывается жесткий внутренний стержень и высокие стандарты. Она склонна к гиперконтролю («я человек-план»), что в личной жизни может приводить к конфликтам между желанием спонтанности и необходимостью всё предусмотреть. Её реакция на непрофессионализм окружающих бывает эмоционально окрашенной («фу, бе»), что свидетельствует о сильной идентификации со своей профессией. В целом, это гармоничная, энергичная личность, умеющая сочетать роль «железного» эксперта с ролью любящей матери и дочери, сохраняя при этом искренность и самоиронию.
Занятный получился результат☺️
📊 Channel Analysis Results by @ScratchAuthorEgoBot
🎯 Channel:
@ProPDn🧠 Personal Analysis:
Психологический портрет Маргариты раскрывает личность с ярко выраженным аналитическим складом ума, высоким эмоциональным интеллектом и четкой системой ценностей. Её когнитивный стиль характеризуется вниманием к деталям (профессиональная деформация заставляет её читать политики конфиденциальности в ресторанах) и способностью видеть системные связи там, где другие видят лишь формальности. Она обладает «структурным» мышлением, что позволяет ей эффективно справляться с большими объемами информации, не теряя из виду конечную цель.
В основе её мотивации лежит стремление к профессиональному совершенству и социальной полезности («причинение добра»). Маргарита демонстрирует развитый «growth mindset»: после многолетней карьеры на госслужбе она успешно трансформировалась в предпринимателя и эксперта-консультанта, что требует значительной психологической гибкости и уверенности в своих силах. Её отношение к работе пропитано азартом и искренним интересом к сложным кейсам, что делает её не просто юристом, а «адвокатом здравого смысла».
Эмоциональный интеллект автора проявляется в её способности к рефлексии и эмпатии. Она осознает свои стрессовые реакции (режим «бешеной белки») и нашла эффективные механизмы копинга — плавание («место силы»), где она отключает контроль и восстанавливает ресурс. Маргарита — семейный человек, для которого преемственность поколений и благополучие близких являются фундаментальными ценностями. Её социальное поведение характеризуется открытостью и чувством юмора, она умеет выстраивать доверительные отношения (принцип «глаза в глаза» на семинарах).
Однако за внешней легкостью и улыбкой скрывается жесткий внутренний стержень и высокие стандарты. Она склонна к гиперконтролю («я человек-план»), что в личной жизни может приводить к конфликтам между желанием спонтанности и необходимостью всё предусмотреть. Её реакция на непрофессионализм окружающих бывает эмоционально окрашенной («фу, бе»), что свидетельствует о сильной идентификации со своей профессией. В целом, это гармоничная, энергичная личность, умеющая сочетать роль «железного» эксперта с ролью любящей матери и дочери, сохраняя при этом искренность и самоиронию.
🔥5😁3😈2🕊1
Сегодня Международный день защиты персональных данных (Data Protection Day) и так совпало - 13 лет моей работы с персональными данными. Именно в этот день в 2013 году я подписала служебный контракт в Роскомнадзоре.
Первый раз поздравляю коллег по другую сторону баррикад.
Праздник застал меня «в поле» (=в командировке), третий день в режиме терминатора собираю информацию о процессах обработки персональных данных. Оператор мощный, работы по уши и этому можно только порадоваться. Уровень повышается!
Бесконечно люблю то, что делаю от того и результат 💪
Коллеги, желаю вам профессионального любопытства , здравого смысла и хоть немного стабильности в нормативке и «мнениях»😁
В этот день принято напоминать об ответственном отношении к персональным данным. И я не исключение.
📎Читайте тут и тут
#персональныеданные
#фз152
Моментом возникновения праздника считается 28 января 1981 года, когда была подписана Конвенция Совета Европы «О защите лиц в связи с автоматизированной обработкой персональных данных».
Первый раз поздравляю коллег по другую сторону баррикад.
Праздник застал меня «в поле» (=в командировке), третий день в режиме терминатора собираю информацию о процессах обработки персональных данных. Оператор мощный, работы по уши и этому можно только порадоваться. Уровень повышается!
Бесконечно люблю то, что делаю от того и результат 💪
Коллеги, желаю вам профессионального любопытства , здравого смысла и хоть немного стабильности в нормативке и «мнениях»😁
В этот день принято напоминать об ответственном отношении к персональным данным. И я не исключение.
📎Читайте тут и тут
#персональныеданные
#фз152
🎉11❤1
Наверное, пора прервать молчание.
Режим тишины обусловлен долгожданным отпуском, который вот-вот закончится.
Февральский отпуск традиционно посвящен семейным праздникам (Дни рождения дочери, мой и семьи).
Сегодня мне 2 раза по 18.
Я не из тех, кто скрывает свой возраст, но и на вопрос о нем, не сразу вспоминаю😁
Мой прошлый личный год начался с принятия серьезного решения, которое пошатывало меня весь год. Этот хочу провести без переворотов и революций, наслаждаясь тем, что люблю: семья, подруги, работа.
П.С. Фото с дня рождения дочери, о котором я думаю «к сожалению день рождения только раз в году»🥳
Режим тишины обусловлен долгожданным отпуском, который вот-вот закончится.
Февральский отпуск традиционно посвящен семейным праздникам (Дни рождения дочери, мой и семьи).
Сегодня мне 2 раза по 18.
Я не из тех, кто скрывает свой возраст, но и на вопрос о нем, не сразу вспоминаю😁
Мой прошлый личный год начался с принятия серьезного решения, которое пошатывало меня весь год. Этот хочу провести без переворотов и революций, наслаждаясь тем, что люблю: семья, подруги, работа.
П.С. Фото с дня рождения дочери, о котором я думаю «к сожалению день рождения только раз в году»🥳
❤12🔥4👍2
Возвращаюсь к работе.
Прекратить обработку немедленно - это когда? Сейчас, сегодня, завтра?
В статье 15 ФЗ «О персональных данных» указано на необходимость немедленно прекратить обработку персональных данных в целях продвижения товаров работ, услуг на рынке по требованию субъекта. Это если посмотреть с одной стороны.
Если с другой – в части 5.1. ФЗ «О персональных данных», в случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан в срок, не превышающий десяти рабочих дней с даты получения оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки.
⏳Так все-таки сколько у оператора в запасе времени, чтобы прекратить обработку персональных данных в маркетинговых целях?
Термины «немедленно», «незамедлительно» не раскрываются в Гражданском кодексе РФ, но встречаются в нем и, как видим, в ФЗ «О персональных данных».
Давайте разбираться!
«Незамедлительно» указано как срок уведомления поставщика об отказе от товара в п. 1 ст. 514 ГК РФ. И в данном случае оно означает «как только это окажется возможным». Такая позиция встречается в судебной практике (Постановление Десятого арбитражного апелляционного суда от 27.08.2019 N 10АП-14146/2019).
То есть четких временных параметров для данного термина нет. К такому выводу пришел суд, отметив также применительно уже к ст. 960 Гражданского кодекса РФ об уведомлении страховщика, что «незамедлительно» уведомить не означает, что уведомить надо в тот же день (Апелляционное определение Московского городского суда от 24.11.2020 по делу N 33-21981/2020).
Еще пример - срок устранения недостатков в отношениях с потребителем, где «незамедлительно» означает «в минимальный срок, объективно необходимый для их устранения с учетом обычно применяемого способа их устранения» (п. 1 ст. 20 Закона о защите прав потребителей).
Разъяснение понятия «незамедлительно» встречается также в судебной практике по другим видам отношений. Например, незамедлительное исполнение требований исполнительного документа означает, что исполнение должно быть начато не позднее первого рабочего дня после дня поступления исполнительного документа в банк (п. 6 Обзора, утв. Президиумом Верховного Суда РФ 16.06.2021).
❗️ Подведем черту
Ориентируемся на минимальный срок, объективно необходимый для прекращения обработки персональных данных, но не более 10 рабочих дней.
В следующий раз расскажу, надо ли доказывать актом уничтожение субъекту, если он настойчиво этого требует?
Прекратить обработку немедленно - это когда? Сейчас, сегодня, завтра?
В статье 15 ФЗ «О персональных данных» указано на необходимость немедленно прекратить обработку персональных данных в целях продвижения товаров работ, услуг на рынке по требованию субъекта. Это если посмотреть с одной стороны.
Если с другой – в части 5.1. ФЗ «О персональных данных», в случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан в срок, не превышающий десяти рабочих дней с даты получения оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки.
⏳Так все-таки сколько у оператора в запасе времени, чтобы прекратить обработку персональных данных в маркетинговых целях?
Термины «немедленно», «незамедлительно» не раскрываются в Гражданском кодексе РФ, но встречаются в нем и, как видим, в ФЗ «О персональных данных».
Давайте разбираться!
«Незамедлительно» указано как срок уведомления поставщика об отказе от товара в п. 1 ст. 514 ГК РФ. И в данном случае оно означает «как только это окажется возможным». Такая позиция встречается в судебной практике (Постановление Десятого арбитражного апелляционного суда от 27.08.2019 N 10АП-14146/2019).
То есть четких временных параметров для данного термина нет. К такому выводу пришел суд, отметив также применительно уже к ст. 960 Гражданского кодекса РФ об уведомлении страховщика, что «незамедлительно» уведомить не означает, что уведомить надо в тот же день (Апелляционное определение Московского городского суда от 24.11.2020 по делу N 33-21981/2020).
Еще пример - срок устранения недостатков в отношениях с потребителем, где «незамедлительно» означает «в минимальный срок, объективно необходимый для их устранения с учетом обычно применяемого способа их устранения» (п. 1 ст. 20 Закона о защите прав потребителей).
Разъяснение понятия «незамедлительно» встречается также в судебной практике по другим видам отношений. Например, незамедлительное исполнение требований исполнительного документа означает, что исполнение должно быть начато не позднее первого рабочего дня после дня поступления исполнительного документа в банк (п. 6 Обзора, утв. Президиумом Верховного Суда РФ 16.06.2021).
Ориентируемся на минимальный срок, объективно необходимый для прекращения обработки персональных данных, но не более 10 рабочих дней.
В следующий раз расскажу, надо ли доказывать актом уничтожение субъекту, если он настойчиво этого требует?
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5🫡4
Сегодня начнем с цитаты Мота 😁
«А у вдохновения нету расписания», именно поэтому регулярность моего появления тут оставляет желать лучшего.
Коллективные мысли о том, куда переезжать со своими подписчиками, небольшой пинок подруги, и вот я создала канал в MAX. Уже 2 недели жду пинок, чтоб начать там что-то писать.
Напишите, если хотите, чтобы я вас добавила туда принудительно😁 ежели что так можно надругаться над всем списком контактов.
Вообще я обещала рассказать про настойчивых субъектов, которые на слово не верят и хотят получить акт об уничтожении персональных данных. Надо ли удовлетворять такие требования?
Требования к подтверждению уничтожения персональных данных утверждены приказом Роскомнадзора от 28.10.2022 № 179.
Указанными требованиями определено содержание акта об уничтожении персональных данных. И этим не пренебрегаем! Формируем правильно и храним 3 года с момента уничтожения персональных данных.
А вот направлять такой акт субъекту закон не обязывает, смело отказывайте.
Что тогда отправить субъекту? Письменный ответ, в котором сообщить об уничтожении в установленные сроки (если оно было выполнено и отсутствуют законные основания обрабатывать персональные данные).
К слову, Роскомнадзор может запросить акт об уничтожении.
Если вы хотите пойти по пути наименьшего сопротивления и ачётакова направим акт, не забывайте, что он содержит персональные данные лиц (а), уничтоживших персональные данные - ФИО, должность, подпись, раскрывать которые субъекту персональных возможно и нет оснований.
#персональныеданные
#уничтожение
«А у вдохновения нету расписания», именно поэтому регулярность моего появления тут оставляет желать лучшего.
Коллективные мысли о том, куда переезжать со своими подписчиками, небольшой пинок подруги, и вот я создала канал в MAX. Уже 2 недели жду пинок, чтоб начать там что-то писать.
Напишите, если хотите, чтобы я вас добавила туда принудительно😁 ежели что так можно надругаться над всем списком контактов.
Вообще я обещала рассказать про настойчивых субъектов, которые на слово не верят и хотят получить акт об уничтожении персональных данных. Надо ли удовлетворять такие требования?
Требования к подтверждению уничтожения персональных данных утверждены приказом Роскомнадзора от 28.10.2022 № 179.
Указанными требованиями определено содержание акта об уничтожении персональных данных. И этим не пренебрегаем! Формируем правильно и храним 3 года с момента уничтожения персональных данных.
А вот направлять такой акт субъекту закон не обязывает, смело отказывайте.
Что тогда отправить субъекту? Письменный ответ, в котором сообщить об уничтожении в установленные сроки (если оно было выполнено и отсутствуют законные основания обрабатывать персональные данные).
К слову, Роскомнадзор может запросить акт об уничтожении.
Если вы хотите пойти по пути наименьшего сопротивления и ачётакова направим акт, не забывайте, что он содержит персональные данные лиц (а), уничтоживших персональные данные - ФИО, должность, подпись, раскрывать которые субъекту персональных возможно и нет оснований.
#персональныеданные
#уничтожение
👍10❤2
Знаю, многие игнорируют отдых в этот понедельник, поэтому интеллектуально нагруженный пост мало кого смутит.
Пост про инцидент в прошлый раз взбудоражил аудиторию, тема актуальная. Давайте продолжим смотреть как там дела с «утечками», точнее - как там административные дела?
Сегодня на повестке решение Арбитражного суда города Москвы о привлечении к административной ответственности онлайн-академии успешной личности (далее – Оператор) по ч. 14 ст. 13.11 КоАП РФ, которой предусмотрена административная ответственность за действия (бездействие) оператора, повлекшие неправомерную передачу(предоставление, распространение, доступ) информации, включающей персональные данные более 100 000 субъектов персональных данных и (или) более 1 000 000 идентификаторов.
Что произошло у Оператора? Неустановленные лица получили несанкционированный доступ к ИСПДн «Битрикс 24», используемой Оператором для обработки персональных данных исполнителей и клиентов в объеме: фамилия, имя, номер телефона, адрес электронной почты, дата рождения, должность, обозначения статусов взаимодействия с клиентами.
Согласно представленной Оператором информации в ИСПДн «Битрикс 24» обрабатываются персональные от 300 000 до 500 000 записей клиентов и более 900 записей исполнителей Оператора (назначение продажи, лиды, бизнес-процессы). База данных (около 500 000 строк) была размещена в открытом доступе в сети «Интернет», на странице социальной сети Telegram.
Каким образом установлена принадлежность скомпроментированной базы данных Оператору?
Должностным лицом Управления Роскомнадзора в ИСПДн «Битрикс 24» осуществлен выборочный поиск персональных данных ряда субъектов, содержащихся в скомпрометированной базе данных из социальной сети. Совпадения установлены, принадлежность Оператору скомпрометированной базы данных подтверждена - mission complete✅
Доказательств того, что были приняты все зависящие от Оператора меры по соблюдению правил и норм, за нарушение которых КоАП РФ предусмотрена административная ответственность, не представлено.
Суд счел возможным применить положения ст. 4.1.2 КоАП РФ (Оператор включен в реестр МСП как микропредприятие) и назначил наказание в виде штрафа в размере 400 000 рублей.
П.С. Стремление воспитать 2 успешные личности толкнуло изучить сайт Оператора. И что я там нашла? Форму обратной связи с чек-боксом «Нажимая на кнопку, вы соглашаетесь с политикой конфиденциальности»… Порицаю)
В Политику конфиденциальности, конечно, «провалилась», очень бегло почитала и обнаружила согласие, встроенное в политику… Дважды порицаю.
Выходит, что можно возвращаться к вопросу правовых оснований обработки персональных данных на сайте. Я не против, а Вы?
Пост про инцидент в прошлый раз взбудоражил аудиторию, тема актуальная. Давайте продолжим смотреть как там дела с «утечками», точнее - как там административные дела?
Сегодня на повестке решение Арбитражного суда города Москвы о привлечении к административной ответственности онлайн-академии успешной личности (далее – Оператор) по ч. 14 ст. 13.11 КоАП РФ, которой предусмотрена административная ответственность за действия (бездействие) оператора, повлекшие неправомерную передачу(предоставление, распространение, доступ) информации, включающей персональные данные более 100 000 субъектов персональных данных и (или) более 1 000 000 идентификаторов.
Что произошло у Оператора? Неустановленные лица получили несанкционированный доступ к ИСПДн «Битрикс 24», используемой Оператором для обработки персональных данных исполнителей и клиентов в объеме: фамилия, имя, номер телефона, адрес электронной почты, дата рождения, должность, обозначения статусов взаимодействия с клиентами.
Согласно представленной Оператором информации в ИСПДн «Битрикс 24» обрабатываются персональные от 300 000 до 500 000 записей клиентов и более 900 записей исполнителей Оператора (назначение продажи, лиды, бизнес-процессы). База данных (около 500 000 строк) была размещена в открытом доступе в сети «Интернет», на странице социальной сети Telegram.
Каким образом установлена принадлежность скомпроментированной базы данных Оператору?
Должностным лицом Управления Роскомнадзора в ИСПДн «Битрикс 24» осуществлен выборочный поиск персональных данных ряда субъектов, содержащихся в скомпрометированной базе данных из социальной сети. Совпадения установлены, принадлежность Оператору скомпрометированной базы данных подтверждена - mission complete✅
Доказательств того, что были приняты все зависящие от Оператора меры по соблюдению правил и норм, за нарушение которых КоАП РФ предусмотрена административная ответственность, не представлено.
Суд счел возможным применить положения ст. 4.1.2 КоАП РФ (Оператор включен в реестр МСП как микропредприятие) и назначил наказание в виде штрафа в размере 400 000 рублей.
П.С. Стремление воспитать 2 успешные личности толкнуло изучить сайт Оператора. И что я там нашла? Форму обратной связи с чек-боксом «Нажимая на кнопку, вы соглашаетесь с политикой конфиденциальности»… Порицаю)
В Политику конфиденциальности, конечно, «провалилась», очень бегло почитала и обнаружила согласие, встроенное в политику… Дважды порицаю.
Выходит, что можно возвращаться к вопросу правовых оснований обработки персональных данных на сайте. Я не против, а Вы?
❤12👍11🔥9
Времена нестабильные, начинаю дублировать информацию в MAX, и в ВК
П.С. Мне это всё тоже без радости, развиваем в себе высокую адаптивность, не ворчите ❤️
П.С. Мне это всё тоже без радости, развиваем в себе высокую адаптивность, не ворчите ❤️
MAX
MAX – быстрое и легкое приложение для общения и решения повседневных задач
MAX позволяет отправлять любые виды сообщений и звонить даже на слабых устройствах и при низкой скорости интернета.
👍14🤔10👌10
После сообщения про новый канал коммуникации, кто-то дезертировал😁и я подумала, может есть те, кто вообще не понимают, где оказались и о чем пишу. Настало время обновить пост-знакомство.
Я Маргарита Лысова,
· начальник аналитического отдела департамента информационной безопасности ООО «Стандарт безопасности»,
· эксперт в области защиты персональных данных с 12-летним опытом руководства отделом контроля и надзора за соблюдением законодательства в сфере персональных данных территориального управления Роскомнадзора,
· юрист.
В этом канале мы обсуждаем всё, о чем болит голова у тех, кто работает с персональными данными:
✔Как должны выглядеть согласие на обработку персональных данных и политика конфиденциальности?
✔Как подать Уведомление об обработке персональных данных в Роскомнадзор?
✔Какие документы нужны самозанятому, ИП, крупной организации?
Помогу разработать обязательные документы и избежать штрафов.
Знаю, что делать, если пришло требование Роскомнадзора‼️
Только актуальная информация, кейсы из собственной и судебной практики.
Связаться со мной:
Telegram
MAX
ВК
Я Маргарита Лысова,
· начальник аналитического отдела департамента информационной безопасности ООО «Стандарт безопасности»,
· эксперт в области защиты персональных данных с 12-летним опытом руководства отделом контроля и надзора за соблюдением законодательства в сфере персональных данных территориального управления Роскомнадзора,
· юрист.
В этом канале мы обсуждаем всё, о чем болит голова у тех, кто работает с персональными данными:
✔Как должны выглядеть согласие на обработку персональных данных и политика конфиденциальности?
✔Как подать Уведомление об обработке персональных данных в Роскомнадзор?
✔Какие документы нужны самозанятому, ИП, крупной организации?
Помогу разработать обязательные документы и избежать штрафов.
Знаю, что делать, если пришло требование Роскомнадзора‼️
Только актуальная информация, кейсы из собственной и судебной практики.
Связаться со мной:
Telegram
MAX
ВК
👍16❤14👏13
Нет-нет да и да - знакомые обращаются за коротким советом по моей теме. Иногда вообще не по моей (#тыжюрист). И возникает дилемма – вписаться в «короткий» совет вечера на 2-3 после работы, чтобы разобраться во всех нюансах и не подвести знакомого, или аккуратно расставить границы. Догадались какой мой вариант?
Но я с собой борюсь, наверное, поэтому мне и попался отличный анекдот.
- Саша, хотел у тебя спросить совета.
- Погоди, тебе совет или консультацию?
- А в чем разница?
- Совет бесплатный, а консультация за деньги.
- Тогда совет, конечно!
- Мой тебе совет: запишись на консультацию! (*здесь могла бы быть Ваша (читай «моя») реклама😁)
Я это все к чему? Если на вопрос сходу и однозначно нельзя ответить да или нет, скорее всего коротким советом не обойтись.
Тот, кто хоть немного соприкасался с ФЗ «О персональных данных», понимает, что в этой сфере вообще не идет речи об однозначных ответах, сплошные тонкости.
Однако, есть и база.
Сегодня база об условиях сбора персональных данных на сайте (формы обратной связи, подписка на новости, регистрация и т.п).
На кого зарегистрировали сайт – это вообще без разницы. Индивидуальный предприниматель, физическое или юридическое лицо, Роскомнадзор или прокуратура спросят с любого: законно ли осуществляется обработка персональных данных?
Полный перечень условий обработки персональных данных определен в ч. 1ст. 6 ФЗ «О персональных данных» (не берем в расчет биометрию и специальные категории).
Сегодня остановимся на неправильном получении согласия на обработку персональных данных. Согласие субъекта персональных данных в перечне условий - первое, но мой бесплатный совет: поищите другое подходящее условие. Например, оферта или пользовательское соглашение/регламент работы сайта и т.п.
Частая ошибка при получении согласия на обработку персональных данных на сайте – вписать его в текст Политики конфиденциальности и галочка «Нажимая на кнопку, вы соглашаетесь с Политикой конфиденциальности».
Почему так нельзя?
Запоминайте!
Политика – для всех, и с ней можно только ознакомиться, а не подписать или согласиться с ее условиями. Это обязательный документ, в котором оператор определяет правила обработки персональных данных.
Согласие – каждый индивидуально за себя подпишет/кликнет мышью и волю свою изъявит, а потом отзовет, если захочет.
*И все-таки...😁
Обратиться за консультацией:
Telegram
MAX
ВК
#персональныеданные
#согласиенаобработку
#политикаконфиденциальности
Но я с собой борюсь, наверное, поэтому мне и попался отличный анекдот.
- Саша, хотел у тебя спросить совета.
- Погоди, тебе совет или консультацию?
- А в чем разница?
- Совет бесплатный, а консультация за деньги.
- Тогда совет, конечно!
- Мой тебе совет: запишись на консультацию! (*здесь могла бы быть Ваша (читай «моя») реклама😁)
Я это все к чему? Если на вопрос сходу и однозначно нельзя ответить да или нет, скорее всего коротким советом не обойтись.
Тот, кто хоть немного соприкасался с ФЗ «О персональных данных», понимает, что в этой сфере вообще не идет речи об однозначных ответах, сплошные тонкости.
Однако, есть и база.
Сегодня база об условиях сбора персональных данных на сайте (формы обратной связи, подписка на новости, регистрация и т.п).
На кого зарегистрировали сайт – это вообще без разницы. Индивидуальный предприниматель, физическое или юридическое лицо, Роскомнадзор или прокуратура спросят с любого: законно ли осуществляется обработка персональных данных?
Полный перечень условий обработки персональных данных определен в ч. 1ст. 6 ФЗ «О персональных данных» (не берем в расчет биометрию и специальные категории).
Сегодня остановимся на неправильном получении согласия на обработку персональных данных. Согласие субъекта персональных данных в перечне условий - первое, но мой бесплатный совет: поищите другое подходящее условие. Например, оферта или пользовательское соглашение/регламент работы сайта и т.п.
Частая ошибка при получении согласия на обработку персональных данных на сайте – вписать его в текст Политики конфиденциальности и галочка «Нажимая на кнопку, вы соглашаетесь с Политикой конфиденциальности».
Почему так нельзя?
Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или)подписывает субъект персональных данных. (ч. 1 ст. 9 ФЗ "О персональных данных"
Запоминайте!
Политика – для всех, и с ней можно только ознакомиться, а не подписать или согласиться с ее условиями. Это обязательный документ, в котором оператор определяет правила обработки персональных данных.
Согласие – каждый индивидуально за себя подпишет/кликнет мышью и волю свою изъявит, а потом отзовет, если захочет.
*И все-таки...😁
Обратиться за консультацией:
Telegram
MAX
ВК
#персональныеданные
#согласиенаобработку
#политикаконфиденциальности
👍11❤8🔥7👌6
Повод НЕ взять согласие на обработку персональных данных
За 13 лет работы я с разных сторон заглянула в процессы обработки персональных данных как крупных предприятий и органов власти, так и самозанятых. Проблема одна на всех – нет понимания, когда обработка персональных данных разрешена или допустима в соответствии с законодательством. Отсюда поголовное получение согласий, везде и пачками.
Поэтому решила каждую неделю обращать ваше внимание на то, когда согласие брать не требуется. Пусть в этом суетном мире станет одной ненужной бумажкой меньше!
Начнем с нетривиального…
Правительство РФ утвердило Правила ведения Федерального регистра лиц с отдельными заболеваниями (постановлением от 31 мая 2025 г. № 822, с 01.03.2026).
Государство формирует систему учета пациентов – для контроля оказания медицинской помощи и планирования бюджетных расходов, в том числе на дорогостоящее лечение и лекарственное обеспечение.
О ком будут внесены данные в регистр?
В регистр попадет значительная часть населения, в том числе все женщины, с которыми случились беременность и роды (🙋), а также пациенты с онкологическими заболеваниями, сахарным диабетом, психическими расстройствами, сердечно-сосудистыми заболеваниями, болезнями печени, хроническими обструктивными болезнями легких. Это если в общих чертах.
В регистр будут внесены как общие сведения о пациентах (фамилия, имя, отчество; пол; дата рождения; место рождения; гражданство; данные документа, удостоверяющего личность; место жительства; место регистрации; дата регистрации; СНИЛС; номер полиса обязательного медицинского страхования застрахованного лица), так и конкретика по заболеванию и его лечению.
Существование Федерального регистра лиц с отдельными заболеваниями обусловлено положениями Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», порядок ведения - Постановлением Правительства РФ от 31 мая 2025 г. № 822.
Участники информационного взаимодействия, поставщики и пользователи, функции определены законодательством, поэтому согласие пациента на включение его данных в такой регистр не требуется. Более того, исключение записей из регистра не предусмотрено!
П.С. Можете и бубубу на тему, что нас опять куда-то включили, написать)
#персональныеданные
#согласиенаобработку
Оставайся на связи
ВК
Telegram
За 13 лет работы я с разных сторон заглянула в процессы обработки персональных данных как крупных предприятий и органов власти, так и самозанятых. Проблема одна на всех – нет понимания, когда обработка персональных данных разрешена или допустима в соответствии с законодательством. Отсюда поголовное получение согласий, везде и пачками.
Поэтому решила каждую неделю обращать ваше внимание на то, когда согласие брать не требуется. Пусть в этом суетном мире станет одной ненужной бумажкой меньше!
Начнем с нетривиального…
Правительство РФ утвердило Правила ведения Федерального регистра лиц с отдельными заболеваниями (постановлением от 31 мая 2025 г. № 822, с 01.03.2026).
Государство формирует систему учета пациентов – для контроля оказания медицинской помощи и планирования бюджетных расходов, в том числе на дорогостоящее лечение и лекарственное обеспечение.
О ком будут внесены данные в регистр?
В регистр попадет значительная часть населения, в том числе все женщины, с которыми случились беременность и роды (🙋), а также пациенты с онкологическими заболеваниями, сахарным диабетом, психическими расстройствами, сердечно-сосудистыми заболеваниями, болезнями печени, хроническими обструктивными болезнями легких. Это если в общих чертах.
В регистр будут внесены как общие сведения о пациентах (фамилия, имя, отчество; пол; дата рождения; место рождения; гражданство; данные документа, удостоверяющего личность; место жительства; место регистрации; дата регистрации; СНИЛС; номер полиса обязательного медицинского страхования застрахованного лица), так и конкретика по заболеванию и его лечению.
Существование Федерального регистра лиц с отдельными заболеваниями обусловлено положениями Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», порядок ведения - Постановлением Правительства РФ от 31 мая 2025 г. № 822.
Участники информационного взаимодействия, поставщики и пользователи, функции определены законодательством, поэтому согласие пациента на включение его данных в такой регистр не требуется. Более того, исключение записей из регистра не предусмотрено!
П.С. Можете и бубубу на тему, что нас опять куда-то включили, написать)
#персональныеданные
#согласиенаобработку
Оставайся на связи
ВК
Telegram
Telegram
Про персональные данные | Маргарита Лысова
Эксперт по защите персональных данных, юрист, 12 лет в деле
Автор канала: https://t.me/margarita_lysova
Автор канала: https://t.me/margarita_lysova
❤14🔥14🙏12👍3🤔1
Соседские разборки или «А давайте скинемся на штраф?!»
ТСЖ опубликовало в мессенджере Telegram фамилию, инициалы имени и отчества, номер квартиры одного из жильцов, который не давал на это согласие. Гражданин возмутился и пожаловался в Роскомнадзор.
Спойлер в заголовке – для ТСЖ закончилось плохо.
ТСЖ утверждало, что законно обрабатывало персональные данные гражданина в соответствии с пп. 2 и 7 ч. 1 ст. 6 ФЗ «О персональных данных» (обработка разрешена или необходима согласно законодательству, обработка персональных данных осуществляется для осуществления прав и законных интересов оператора).
Суд с этим не согласился, указав на то, что такое раскрытие информации вне закона, усилив позицию ст. 152.2 Гражданского кодекса Российской Федерации: если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
Решением Арбитражного суда Краснодарского края ТСЖ привлечено к административной ответственности по ч. 1.1 ст. 13.11 КоАП РФ в виде штрафа в размере 150 000 рублей.
Суд апелляционной инстанции не усмотрел оснований для иного вывода.
Почему нарушение квалифицировано по ч. 1.1 ст. 13.11 КоАП РФ?
Ранее ТСЖ привлекалось к административной ответственности за незаконную обработку персональных данных (по ч. 1 ст. 13.11 КоАП РФ). Имело место отягчающее обстоятельство – повторное однородное нарушение в течение одного года. Прошла неделя с вступления в силу постановления по первому нарушению до новой публикации…
❗️ Подведем черту
Используйте общедомовые/соседские/дачные чаты для цивилизованного решения общих вопросов, без указания каких-либо данных соседей или будьте готовы к претензиям и штрафам.
Размещение персональных данных в открытом доступе создает угрозу причинения имущественного вреда субъекту персональных данных.
Если ТСЖ получило штраф, то источником для его уплаты являются взносы членов товарищества.
Получается, что сосед (если он, конечно, собственник) жалобой в Роскомнадзор сам выстрелил себе в колено.
#персональныеданные
#фз152
ТСЖ опубликовало в мессенджере Telegram фамилию, инициалы имени и отчества, номер квартиры одного из жильцов, который не давал на это согласие. Гражданин возмутился и пожаловался в Роскомнадзор.
Спойлер в заголовке – для ТСЖ закончилось плохо.
ТСЖ утверждало, что законно обрабатывало персональные данные гражданина в соответствии с пп. 2 и 7 ч. 1 ст. 6 ФЗ «О персональных данных» (обработка разрешена или необходима согласно законодательству, обработка персональных данных осуществляется для осуществления прав и законных интересов оператора).
Суд с этим не согласился, указав на то, что такое раскрытие информации вне закона, усилив позицию ст. 152.2 Гражданского кодекса Российской Федерации: если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни.
Решением Арбитражного суда Краснодарского края ТСЖ привлечено к административной ответственности по ч. 1.1 ст. 13.11 КоАП РФ в виде штрафа в размере 150 000 рублей.
Суд апелляционной инстанции не усмотрел оснований для иного вывода.
Почему нарушение квалифицировано по ч. 1.1 ст. 13.11 КоАП РФ?
Ранее ТСЖ привлекалось к административной ответственности за незаконную обработку персональных данных (по ч. 1 ст. 13.11 КоАП РФ). Имело место отягчающее обстоятельство – повторное однородное нарушение в течение одного года. Прошла неделя с вступления в силу постановления по первому нарушению до новой публикации…
Используйте общедомовые/соседские/дачные чаты для цивилизованного решения общих вопросов, без указания каких-либо данных соседей или будьте готовы к претензиям и штрафам.
Размещение персональных данных в открытом доступе создает угрозу причинения имущественного вреда субъекту персональных данных.
Если ТСЖ получило штраф, то источником для его уплаты являются взносы членов товарищества.
Получается, что сосед (если он, конечно, собственник) жалобой в Роскомнадзор сам выстрелил себе в колено.
#персональныеданные
#фз152
Please open Telegram to view this post
VIEW IN TELEGRAM
👍25🔥24💯19❤8🥰1🙏1
This media is not supported in your browser
VIEW IN TELEGRAM
👍22🔥15🍌15
Благими намерениями вымощена дорога в суд или хотели как лучше, получилось как всегда…
Женщина письменно обратилась в Министерство спорта Республики М... (это я так силюсь не вгонять никого в краску) и не получила ответ.
Заявительница в комментариях под постом на официальной странице Главы Республики М… в социальной сети обнаружила, что Министерство ведет дискуссию по вопросу, указанному в ее обращении, с пользователем социальной сети, которая представилась родственницей заявительницы (фамилия совпадает).
Родственница вела переписку о неполучении от Минспорта ответа на обращение заявительницы.
Минспорта запросили у родственницы-комментатора адрес электронной почты для дублирования ответа на обращение.
Таким образом, родственнице на ее электронную почту, направленную в личные сообщения, Минспортом был направлен ответ на чужое обращение, заявителем по которому она не являлась.
Указанный документ содержал персональные данные заявительницы, а именно: Ф.И.О. полностью, адрес регистрации/проживания. Согласие на предоставление персональных данных заявительницы третьим лицам отсутствовало.
История умалчивает о том, какие взаимоотношения между заявительницей и неравнодушной родственницей, но факт остается фактом – персональные данные переданы без правовых оснований третьему лицу, конфиденциальность нарушена.
Вопреки доводам Министерства, суд отказал в применении положений статьи 2.9 КоАП РФ о малозначительности. Однако, штраф был заменен на предупреждение.
Финансовых потерь удалось избежать на этот раз, но так больше не повезет, если в течение года Министерством будет допущено нарушение, связанное с незаконной обработкой персональных данных.
❗️ Подведем черту
🔹Кто обратился, тому и необходимо направить ответ на обращение, даже если очень хочется стать ближе к людям и снизить градус бюрократии.
🔹Воздержитесь от предоставления в социальных сетях развернутых комментариев по ранее направленным официальным обращениям, тем более от дублирования ответов на адреса, отличающиеся от указанных в обращении.
Больше всех на эти «братские» крючки рискуют попасть медицинские организации и схлопотать штраф до 700 000 рублей.
Направьте этот пост всем, кто непосредственно работает с людьми, и может «перестараться». А то я не хочу говорить, что предупреждала😁
#персональныеданные
#фз152
Женщина письменно обратилась в Министерство спорта Республики М... (это я так силюсь не вгонять никого в краску) и не получила ответ.
Заявительница в комментариях под постом на официальной странице Главы Республики М… в социальной сети обнаружила, что Министерство ведет дискуссию по вопросу, указанному в ее обращении, с пользователем социальной сети, которая представилась родственницей заявительницы (фамилия совпадает).
Родственница вела переписку о неполучении от Минспорта ответа на обращение заявительницы.
Минспорта запросили у родственницы-комментатора адрес электронной почты для дублирования ответа на обращение.
Таким образом, родственнице на ее электронную почту, направленную в личные сообщения, Минспортом был направлен ответ на чужое обращение, заявителем по которому она не являлась.
Указанный документ содержал персональные данные заявительницы, а именно: Ф.И.О. полностью, адрес регистрации/проживания. Согласие на предоставление персональных данных заявительницы третьим лицам отсутствовало.
История умалчивает о том, какие взаимоотношения между заявительницей и неравнодушной родственницей, но факт остается фактом – персональные данные переданы без правовых оснований третьему лицу, конфиденциальность нарушена.
Операторы и иные лица, получившие доступ к персональным данным,
обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (ст. 7 ФЗ «О персональных данных»).
Вопреки доводам Министерства, суд отказал в применении положений статьи 2.9 КоАП РФ о малозначительности. Однако, штраф был заменен на предупреждение.
Финансовых потерь удалось избежать на этот раз, но так больше не повезет, если в течение года Министерством будет допущено нарушение, связанное с незаконной обработкой персональных данных.
🔹Кто обратился, тому и необходимо направить ответ на обращение, даже если очень хочется стать ближе к людям и снизить градус бюрократии.
🔹Воздержитесь от предоставления в социальных сетях развернутых комментариев по ранее направленным официальным обращениям, тем более от дублирования ответов на адреса, отличающиеся от указанных в обращении.
Больше всех на эти «братские» крючки рискуют попасть медицинские организации и схлопотать штраф до 700 000 рублей.
Направьте этот пост всем, кто непосредственно работает с людьми, и может «перестараться». А то я не хочу говорить, что предупреждала😁
#персональныеданные
#фз152
Please open Telegram to view this post
VIEW IN TELEGRAM
👍23🕊19💘18✍12🐳3❤1🙏1💯1
За последнюю неделю мне столько прилетело «смотри, это же нарушение ФЗ «О персональных данных?», что уже за голову хочется схватиться.
Рада, что мои читатели, даже те, кто совсем далек от сферы права, настолько в теме, что сами видят огрехи. В том числе для этого и затевалась моя публичность.
Накануне годовщины работы в коммерции гоняю мысли достигла ли я того, чего хотела…. Еще немного погоняю, и торжественно расскажу 1 апреля.
Вы пока подумайте над тем относятся ли фотографии бьюти-мастеров на тему «ногти, отдельные части тела, брови, ресницы и т.п.» к персональным данным? 🤔
Такое домашнее задание, а я потом расскажу.
Рада, что мои читатели, даже те, кто совсем далек от сферы права, настолько в теме, что сами видят огрехи. В том числе для этого и затевалась моя публичность.
Накануне годовщины работы в коммерции гоняю мысли достигла ли я того, чего хотела…. Еще немного погоняю, и торжественно расскажу 1 апреля.
Вы пока подумайте над тем относятся ли фотографии бьюти-мастеров на тему «ногти, отдельные части тела, брови, ресницы и т.п.» к персональным данным? 🤔
Такое домашнее задание, а я потом расскажу.
❤14👌10⚡7🐳5👍1
Люблю праздники, поэтому с удовольствием отмечу тот факт, что сегодня 1 год работы в ООО «Стандарт безопасности»❤️
Долгих рассуждений и сравнений с «бывшим» не будет.
Решает не место, а люди!
По большому счету все равно где работать, главное - с кем.
Посмотрим, сможем ли мы трудиться вместе до пенсии😁
Про цели … главная достигнута - произошел уход от мышления в формате административных регламентов. Гораздо шире посмотрели на ФЗ «О персональных данных», теперь думаем не только о том, как правильно, но и чтоб работать не мешало.
Однажды нареченнные ПДшными ведьмами*, ими и остаемся.
*в хорошем смысле этого слова: ведьмы - ведают знаниями 🪄
Долгих рассуждений и сравнений с «бывшим» не будет.
Решает не место, а люди!
По большому счету все равно где работать, главное - с кем.
Посмотрим, сможем ли мы трудиться вместе до пенсии😁
Про цели … главная достигнута - произошел уход от мышления в формате административных регламентов. Гораздо шире посмотрели на ФЗ «О персональных данных», теперь думаем не только о том, как правильно, но и чтоб работать не мешало.
Однажды нареченнные ПДшными ведьмами*, ими и остаемся.
*в хорошем смысле этого слова: ведьмы - ведают знаниями 🪄
❤32👍31🎉30🌚4
Да здравствует наш суд, самый гуманный суд в мире!
Вопрос почему там, где санкция - штраф от 3 млн руб, назначено предупреждение, останется без ответа (без моего точно), но это решение по ч. 12 ст. 13.11 КоАП РФ в отношении оператора связи все же имеет ценность.
В Роскомнадзор поступило уведомление об инциденте, из которого следовало, что в результате DDOS-атаки неустановленных лиц на инфраструктуру оператора связи нарушены права субъектов персональных данных, обрабатываемых оператором.
Неустановленными лицами получен доступ к персональным данным абонентов: ФИО, серия и номер паспорта, дата рождения, адрес. Количество скомпрометированных строк - 4226.
Из дополнительного уведомления оператора в Роскомнадзор следовало, что в результате атаки злоумышленники получили доступ к сетевому оборудованию, физическим серверам и виртуальной инфраструктуре.
Данные оказались слиты в Telegram в группе хакерской группировки и содержали данные абонентов из биллинговой системы, в том числе их логины и пароли.
❗️ Разгромной развязки не будет, но обращу внимание на следующие аспекты
🔷Оператор связи был признан потерпевшим в уголовном деле по ст. 272.1 УК РФ, но это не исключает его вину за собственное бездействие, повлекшее инцидент, и административную ответственность по ст. 13.11 КоАП РФ.
🔷Датой правонарушения (а это влияет на срок привлечения к административной ответственности) признана дата выявления новости в телеграмм-канале, а не момент взлома.
🔷Оператор предоставил в Роскомнадзор отчет ООО «БИЗон» о расследовании инцидента, на основании которого суд заключил, что оператор крайне пренебрежительно относился к требованиям информационной безопасности: своевременно не изменял пароли учетных записей пользователей, не деактивировал учетные записи уволенных сотрудников, использовал программное обеспечение, имеющее критические уязвимости, а также использовал некорректную конфигурацию системы безопасности в операционной системе, чем создавал угрозу утечки персональных данных большого количества пользователей.
Сколько пальцев загнули?🤔
Хакеры получили доступ к инфраструктуре оператора как минимум 30.05.2025, а оператор обнаружил утечку спустя практически 2 недели, когда система легла.
🔷Вишенка на торте - оператор связи является субъектом критической информационной инфраструктуры и ссылался на то, что Приказ ФСТЭК России от 11.02.2013 № 17* допускает утечку данных в информационных системах 3 класса защищенности😱
Судом данный довод отклонен на основании того, что ни в одном из нормативных правовых актов Российской Федерации не содержится допущение утечки информации, содержащей персональные данные третьих лиц для какой-либо из категорий объектов критической информационной инфраструктуры Российской Федерации. Отнесение общества к какой-либо категории критической информационной инфраструктуры Российской Федерации не дает ему право нарушать права субъектов персональных данных.
*Напоминаю, что с 1 марта 2026 вступил в силу Приказ ФСТЭК № 117, утвердивший новые Требования о защите информации в государственных информационных системах, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений.
Но это уже совершенно другая история😊
П.С.
Посмотреть вебинар по КИИ
Вопрос почему там, где санкция - штраф от 3 млн руб, назначено предупреждение, останется без ответа (без моего точно), но это решение по ч. 12 ст. 13.11 КоАП РФ в отношении оператора связи все же имеет ценность.
В Роскомнадзор поступило уведомление об инциденте, из которого следовало, что в результате DDOS-атаки неустановленных лиц на инфраструктуру оператора связи нарушены права субъектов персональных данных, обрабатываемых оператором.
Неустановленными лицами получен доступ к персональным данным абонентов: ФИО, серия и номер паспорта, дата рождения, адрес. Количество скомпрометированных строк - 4226.
Из дополнительного уведомления оператора в Роскомнадзор следовало, что в результате атаки злоумышленники получили доступ к сетевому оборудованию, физическим серверам и виртуальной инфраструктуре.
Данные оказались слиты в Telegram в группе хакерской группировки и содержали данные абонентов из биллинговой системы, в том числе их логины и пароли.
🔷Оператор связи был признан потерпевшим в уголовном деле по ст. 272.1 УК РФ, но это не исключает его вину за собственное бездействие, повлекшее инцидент, и административную ответственность по ст. 13.11 КоАП РФ.
🔷Датой правонарушения (а это влияет на срок привлечения к административной ответственности) признана дата выявления новости в телеграмм-канале, а не момент взлома.
🔷Оператор предоставил в Роскомнадзор отчет ООО «БИЗон» о расследовании инцидента, на основании которого суд заключил, что оператор крайне пренебрежительно относился к требованиям информационной безопасности: своевременно не изменял пароли учетных записей пользователей, не деактивировал учетные записи уволенных сотрудников, использовал программное обеспечение, имеющее критические уязвимости, а также использовал некорректную конфигурацию системы безопасности в операционной системе, чем создавал угрозу утечки персональных данных большого количества пользователей.
Сколько пальцев загнули?🤔
Хакеры получили доступ к инфраструктуре оператора как минимум 30.05.2025, а оператор обнаружил утечку спустя практически 2 недели, когда система легла.
🔷Вишенка на торте - оператор связи является субъектом критической информационной инфраструктуры и ссылался на то, что Приказ ФСТЭК России от 11.02.2013 № 17* допускает утечку данных в информационных системах 3 класса защищенности😱
Судом данный довод отклонен на основании того, что ни в одном из нормативных правовых актов Российской Федерации не содержится допущение утечки информации, содержащей персональные данные третьих лиц для какой-либо из категорий объектов критической информационной инфраструктуры Российской Федерации. Отнесение общества к какой-либо категории критической информационной инфраструктуры Российской Федерации не дает ему право нарушать права субъектов персональных данных.
*Напоминаю, что с 1 марта 2026 вступил в силу Приказ ФСТЭК № 117, утвердивший новые Требования о защите информации в государственных информационных системах, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений.
Но это уже совершенно другая история😊
П.С.
Посмотреть вебинар по КИИ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍25🔥25🤯24🌭9🥴4