⚖️ Штрафовать работодателей за нарушения в сфере персональных данных теперь будут мировые суды.

Раньше дела по ст. 13.11 КоАП РФ рассматривались районными судами — это создавало задержки. После изменений подсудность передана мировым судьям, что ускорит рассмотрение дел и, вероятно, увеличит их общее число.

Для работодателей это означает одно: вероятность получить реальный штраф — а не дождаться прекращения дела по процессуальным основаниям — теперь выше. Кадровые данные сотрудников (паспорта, СНИЛС, медкнижки, анкеты) — полноценные персональные данные, и их обработка без надлежащего оформления по-прежнему нарушение.

#152ФЗ #РКН #штрафы #HR #работодатель

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

📌 Если вы собираете данные клиентов — вы оператор персональных данных. Со всеми вытекающими обязанностями по 152-ФЗ.

Оператор — это любая организация или ИП, которая самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это почти любой бизнес: интернет-магазин, кофейня с картой лояльности, HR-отдел, бухгалтерия, сайт с формой заявки.

Что обязан делать оператор:
— Подать уведомление в РКН до начала обработки данных. Реестр операторов ведётся на portal.rkn.gov.ru. Отсутствие уведомления — штраф до 300 000 ₽ для юрлица по ч. 1 ст. 13.11 КоАП РФ.
— Опубликовать политику обработки персональных данных — документ должен быть доступен по прямой ссылке на сайте.
— Получать согласие субъектов ПДн до начала обработки — отдельная галочка на каждой форме, не предустановленная.
— Хранить данные граждан РФ на серверах в России — требование ч. 5 ст. 18 152-ФЗ.
— Уведомить РКН в течение 24 часов при утечке данных — иначе штраф от 1 до 3 млн ₽.

Важный нюанс 2026 года: после поправок в 152-ФЗ требования к содержанию уведомления в РКН расширились. Проверьте, что ваша запись в реестре актуальна — если данные изменились, уведомление нужно обновить.

#152ФЗ #персональныеданные #РКН #операторПДн #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

📌 5 ошибок на сайте, за которые штрафует РКН — и как их исправить

Большинство нарушений 152-ФЗ на сайтах — не злой умысел, а невнимание к деталям. Вот что проверяющие находят чаще всего:

1. Политика обработки ПДн есть, но не там
Документ лежит где-то в подвале сайта, без прямой ссылки с каждой формы. Требование ч. 2 ст. 18.1 152-ФЗ — политика должна быть доступна на странице, где собираются данные.

2. Чек-бокс согласия проставлен по умолчанию
Если галочка уже стоит — это не согласие. Согласие должно быть активным действием пользователя (ч. 1 ст. 9 152-ФЗ).

3. Одна галочка на всё
«Согласен с условиями и политикой ПДн» — распространённая схема, которая не работает. Согласие на обработку данных должно быть отдельным от согласия с договором или офертой.

4. Нет уведомления в РКН
Многие компании не знают, что обязаны уведомить регулятора до начала обработки данных. Отсутствие записи в реестре операторов — штраф до 300 000 ₽ для юрлица по ч. 1 ст. 13.11 КоАП.

5. Данные хранятся за рубежом
Формы, подключённые к иностранным CRM или email-сервисам с серверами вне РФ, нарушают требование локализации (ч. 5 ст. 18 152-ФЗ). Штраф — до 18 млн ₽ при повторном нарушении.

Проверьте эти пять пунктов — они закрывают большую часть претензий РКН к типовому сайту.

#152ФЗ #РКН #сайт #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Согласие на обработку персональных данных суд может признать недействительным — и тогда вся обработка окажется незаконной.

Это не теория: суды уже отменяли согласия, которые были оформлены с нарушениями. Типичные основания:
— Согласие «зашито» в договор или оферту — человек подписал общий документ, не осознавая, что даёт разрешение на обработку ПДн
— Не указаны конкретные цели обработки — формулировка «в целях исполнения договора и иных законных целей» слишком размытая
— Галочка была проставлена по умолчанию — это прямое нарушение ч. 1 ст. 9 152-ФЗ, согласие должно быть добровольным и активным
— Не указан перечень третьих лиц, которым передаются данные — если вы отдаёте данные подрядчикам, это должно быть прописано явно

Последствие признания согласия недействительным: оператор обязан прекратить обработку и уничтожить данные. Плюс — административная ответственность по ст. 13.11 КоАП РФ до 700 000 ₽ за первое нарушение.

Практический вывод: проверьте, не «растворено» ли согласие у вас в договоре или общей политике. Особенно актуально для HR — трудовые договоры с согласием на ПДн внутри текста суды отменяют чаще всего.

#152ФЗ #согласие #персональныеданные #HR #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Работодателей за утечки персданных штрафуют мягче, чем можно ожидать — суды системно снижают санкции.

По данным издания «Кадровое Дело», суды при рассмотрении дел об утечках персональных данных у работодателей нередко назначают штрафы ниже максимального порога или заменяют их предупреждением. Суды учитывают: впервые ли допущено нарушение, приняты ли меры после инцидента, насколько велик реальный ущерб субъектам ПДн.

Что это означает на практике:
— Смягчение наказания не отменяет сам штраф. Даже «лояльный» суд может назначить санкцию по ч. 6 ст. 13.11 КоАП — до 300 000 ₽ для юрлица за необеспечение безопасности ПДн, а за повторное нарушение — до 500 000 ₽.
— Ключевой фактор смягчения — задокументированные меры защиты до инцидента и оперативное уведомление РКН после. Компании, у которых нет ни политики, ни журналов, ни назначенного ответственного, теряют главный аргумент в суде.

Вывод простой: судебная лояльность — не повод расслабиться, а повод грамотно выстроить документальную базу заранее.

#152ФЗ #утечка #штрафы #HR #персональныеданные

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

🔍 РКН утвердил требования к обезличиванию персональных данных

Роскомнадзор утвердил методы и критерии обезличивания персональных данных. Документ устанавливает, каким способом оператор должен лишать данные идентификационных признаков, чтобы они официально перестали считаться персональными. Обезличенные данные можно обрабатывать свободнее: для них не нужно согласие, не применяются требования о локализации и часть других обязанностей по 152-ФЗ.

Что это значит на практике:
— Если вы работаете с аналитикой, исследованиями или передаёте массивы данных партнёрам — теперь есть официальная планка того, что считается «настоящим» обезличиванием. Просто удалить ФИО недостаточно: требования описывают конкретные методы, при которых восстановить личность человека по остаточным данным невозможно.
— Для HR, маркетинга и аналитических отделов это ориентир: если ваши данные соответствуют требованиям — часть регуляторной нагрузки снимается. Если нет — обрабатывать их как «обезличенные» рискованно.

Документ опубликован на сайте РКН. До его появления операторы ориентировались на устаревший приказ Роскомнадзора № 996 от 2013 года — теперь стандарт обновлён.

#152ФЗ #РКН #персональныеданные #обезличивание #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Оборотные штрафы за утечку данных: до 3% годовой выручки — и это уже не теория

С 30 мая 2025 года в России действуют оборотные штрафы за утечку персональных данных. Если компания допустила утечку крупной базы (от 100 000 субъектов) или это произошло повторно — штраф может составить от 1 до 3% годовой выручки, но не менее 20 млн ₽ и не более 500 млн ₽ (ч. 13–14 ст. 13.11 КоАП РФ).

💡 Что реально снижает риск и может смягчить ответственность:

— Уведомить РКН в течение 24 часов после обнаружения инцидента. Это отдельное требование, и его нарушение — отдельный штраф до 3 млн ₽, даже если основной ущерб невелик
— Иметь актуальную политику обработки ПДн и внутренние регламенты — суды и РКН смотрят на это при определении размера санкции
— Применять технические меры защиты: шифрование баз, разграничение прав доступа, журналирование — их наличие фиксируется как смягчающее обстоятельство
— Провести обучение сотрудников: значительная часть утечек — человеческий фактор, и это учитывается при проверках

Покрыть все эти требования одним документом не получится — нужна система. Но начать можно с малого: проверить, уведомлена ли ваша компания в реестре РКН и актуальна ли политика на сайте.

#152ФЗ #утечка #штрафы #РКН #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Утечка данных — что обязана сделать компания в первые 24 часа

По ч. 3.1 ст. 21 152-ФЗ оператор обязан уведомить РКН об утечке в течение 24 часов с момента обнаружения инцидента. Ещё 72 часа даётся на второе уведомление — уже с результатами внутреннего расследования.

Что важно понимать на практике:
— Уведомлять нужно сразу, не дожидаясь полной картины. Лучше подать форму с тем, что известно сейчас, и дополнить позже.
— Штраф за неуведомление — от 1 до 3 млн ₽ по ч. 11 ст. 13.11 КоАП РФ. Это часто больше, чем штраф за саму утечку.
— Параллельно с уведомлением РКН нужно известить пострадавших субъектов ПДн — это отдельное требование того же закона.

Судебная практика последних лет показывает: суды не смягчают ответственность за просрочку уведомления, даже если компания докажет, что сам инцидент был незначительным. Процедурное нарушение фиксируется отдельно от нарушения по существу.

📌 Форма уведомления подаётся через portal.rkn.gov.ru.

#152ФЗ #утечка #РКН #compliance #штрафы

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

📌 Биометрия в СКУД — это не просто «удобный турникет». Это обработка специальной категории персональных данных.

По ст. 11 152-ФЗ биометрические данные (изображение лица, отпечаток пальца) можно обрабатывать только с письменного согласия сотрудника. Устная договорённость или пункт в трудовом договоре — не считается.

Что обязательно проверить, если СКУД работает на биометрии:

— Согласие — отдельный письменный документ, подписанный каждым сотрудником до начала обработки
— Альтернатива — сотрудник вправе отказаться от биометрии; в этом случае должен быть другой способ прохода (карта, код, пропуск). Отказ не может быть основанием для дисциплинарных мер
— Документы — политика обработки ПДн, регламент использования СКУД, приказ об ответственном за обработку биометрии
— Локализация — данные хранятся на серверах в РФ, доступ ограничен
— Уведомление РКН — обработка биометрии требует отдельного указания в уведомлении об операторе

Штраф за обработку биометрии без согласия — до 700 000 ₽ для юрлица по ч. 2 ст. 13.11 КоАП РФ.

#152ФЗ #биометрия #СКУД #персональныеданные #HR #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

💡 73,5 млн человек уже дали согласие на передачу данных через Госуслуги — и бизнес может использовать это законно.

Минцифры сообщает: цифровой профиль на Госуслугах выдал 210 млн согласий от физлиц на передачу сведений из государственных информационных систем. Механизм работает на основе Федерального закона № 152-ФЗ: пользователь сам даёт согласие, сам выбирает, какие данные и кому передать, и может отозвать его в любой момент.

Для бизнеса это важно в двух смыслах:

🔹 Готовая инфраструктура согласий. Если ваш продукт интегрирован с Госуслугами (банки, страховые, финансовые платформы) — согласие на обработку ПДн уже получено через верифицированный государственный механизм. Это снимает часть рисков по ч. 1 ст. 13.11 КоАП.

🔹 Но только в рамках конкретной операции. Данные из цифрового профиля передаются строго под заявленную цель. Использовать их для других целей — например, для маркетинговых рассылок — без отдельного согласия нельзя. Это классическое требование принципа целеограничения из ст. 5 152-ФЗ.

Если вы не интегрированы с Госуслугами и собираете данные самостоятельно — требования стандартные: отдельная галочка согласия на каждой форме, политика обработки ПДн, уведомление в РКН.

Источник: Минцифры

#152ФЗ #персональныеданные #Госуслуги #согласие #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

🎖️ С Днём Победы!

Сегодня — день, когда слова «помним» и «гордимся» говорят все. Мы тоже.

Пусть этот день будет тихим и светлым. Обнимите близких.

#деньпобеды #9мая

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚠️ Оборотные штрафы для хостинг-провайдеров — за несоблюдение требований ФСБ по СОРМ и хранению данных.

По информации CNews, законодатели готовят поправки, которые введут для хостинг-провайдеров штрафы в процентах от выручки — по аналогии с оборотными штрафами за утечки ПДн. Точные размеры и сроки вступления в силу в источнике не указаны.

Что это значит для бизнеса: если ваш сайт или CRM работает на хостинге, который не выполняет требования регуляторов — ответственность провайдера вырастет. Это ускорит уход мелких игроков с рынка и повысит требования при выборе хостинга. При выборе провайдера стоит проверять наличие у него лицензий ФСБ и соответствие требованиям 149-ФЗ.

Источник: CNews.ru

#хостинг #ФСБ #СОРМ #штрафы #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 HR-данные нельзя хранить «пока не понадобятся» — срок обработки определяется целью, и это требование 152-ФЗ

По ст. 5 152-ФЗ обработка персональных данных должна быть ограничена достижением конкретной, заранее определённой цели. Как только цель достигнута — обработку нужно прекратить, а данные уничтожить. Срок на это — не более 30 дней (ч. 4 ст. 21 152-ФЗ).

На практике это значит: у каждого HR-процесса должна быть своя цель обработки, и именно она задаёт срок.

Проверьте себя по четырём вопросам:

1. Есть ли у каждого HR-процесса конкретная цель? Например: «подбор кандидата на вакантную должность». Если цель размытая — срок определить корректно не выйдет.

2. С какого момента начинается обработка? В подборе — с получения резюме: через сайт, hh.ru, почту или агентство.

3. Зафиксировано ли событие, после которого цель считается достигнутой? Для подбора — это решение о приёме или отказе в трудоустройстве.

4. Что происходит с данными после достижения цели? Здесь ошибаются чаще всего: данные продолжают лежать без правового основания.

💡 Если после отказа кандидату его резюме продолжает храниться «на всякий случай» — это уже нарушение. Либо переводите данные в другой процесс на самостоятельном основании, либо уничтожайте в течение 30 дней.

Отдельный случай — отзыв согласия: по ч. 5 ст. 21 152-ФЗ тот же срок — 30 дней с даты поступления отзыва.

#152ФЗ #HR #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Что проверяет РКН в 2025 году — и к чему готовиться до прихода инспектора

Роскомнадзор ведёт плановые и внеплановые проверки операторов персональных данных. По актуальной практике, инспекторы смотрят на несколько ключевых вещей:

— Уведомление в реестре операторов ПДн. Если вы собираете данные, но уведомления нет — штраф до 300 000 ₽ по ч. 1 ст. 13.11 КоАП РФ. Подать можно через portal.rkn.gov.ru, бесплатно.

— Политика обработки персональных данных. Должна быть опубликована на сайте, доступна по прямой ссылке с каждой страницы, где есть форма. Не PDF «в ящике» — а рабочая ссылка.

— Согласие субъекта. Отдельный чек-бокс, не предустановленный, со ссылкой на политику. «Галочка по умолчанию» или согласие, зашитое в оферту, — не считается.

— Локализация данных. Первичный сбор — только на серверах в РФ. Зарубежные формы, CRM и email-сервисы для первичного сбора данных граждан РФ под запретом (ч. 5 ст. 18 152-ФЗ).

— Внутренние документы. Приказ о назначении ответственного за ПДн, регламент обработки, инструкции сотрудников — проверяются при выездной проверке.

💡 Внеплановая проверка может прийти после жалобы одного клиента или сотрудника. Плановые — смотрите в реестре проверок на сайте РКН.

#152ФЗ #РКН #проверка #compliance #бизнес

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Уведомить РКН об обработке персональных данных — обязанность почти любого бизнеса. Разбираемся, кто именно и в какие сроки.

По ст. 22 152-ФЗ, оператор персональных данных обязан направить уведомление в Роскомнадзор до начала обработки данных. Не после запуска сайта, не «когда дойдут руки» — а до.

Кого это касается:
— Любое юрлицо или ИП, у которого есть сайт с формой, CRM, база клиентов или сотрудников
— Самозанятые — если собирают данные клиентов для оказания услуг
— НКО и госструктуры — тоже операторы ПДн

Есть исключения, когда уведомление не нужно (ч. 2 ст. 22 152-ФЗ):
— Данные обрабатываются только в рамках трудового договора
— Данные получены при заключении разового договора и не передаются третьим лицам
— Данные касаются исключительно членов самой организации

Но исключения — узкие. Если есть сайт с формой обратной связи или база клиентов — скорее всего, вы под общее правило.

💡 Как подать: через portal.rkn.gov.ru, бесплатно, электронно. Обрабатывать данные можно сразу после отправки уведомления — ждать внесения в реестр (до 30 дней) не нужно.

Отсутствие уведомления — штраф до 300 000 ₽ для юрлица по ч. 1 ст. 13.11 КоАП РФ.

#152ФЗ #РКН #уведомление #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

⚠️ Email-адрес — это персональные данные, даже если рядом нет ни имени, ни телефона.

Позиция РКН и актуальная судебная практика однозначны: любой идентификатор, позволяющий выйти на конкретного человека, подпадает под действие 152-ФЗ. Email под это определение попадает.

На практике это означает: форма «оставьте почту — пришлём КП» требует политики обработки персональных данных, отдельной галочки согласия и уведомления в РКН. Не «желательно» — обязательно.

#152ФЗ #персональныеданные #email #формы

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

Суд в Москве привлек к административной ответственности иностранную компанию за нарушение российского законодательства в области персональных данных

Постановлением мирового судьи судебного участка № 422 Таганского района города Москвы
от 14 мая 2026 года признана виновной в совершении административного правонарушения
по ч. 8 ст. 13.11 КоАП РФ 
Эмбресер Груп АБ
(Embracer Group AB).
Суд назначил наказание в виде административного штрафа в размере 1 000 000 рублей.

#таганский2026 #адм2026 #мировойсуд2026

📌 РКН публикует план проверок на 2026 год — ваша организация может быть в списке

Роскомнадзор формирует плановые проверки операторов персональных данных на следующий год. Список публикуется на сайте РКН и proverki.gov.ru — любая компания может заранее узнать, попала ли она под плановый контроль.

Что проверяют:
— Наличие уведомления об обработке ПДн в реестре РКН
— Политику обработки персональных данных на сайте
— Согласия субъектов: оформление, содержание, отдельные чек-боксы
— Локализацию данных: серверы должны быть в РФ
— Внутренние документы — приказы, регламенты, назначение ответственного

Даже если в списке на 2026 год вас нет — внеплановые проверки РКН вправе проводить по жалобам субъектов персональных данных в любой момент. Разница только в том, что о плановой проверке уведомляют за 3 рабочих дня, а внеплановая может начаться внезапно.

Практический совет: проверьте себя в реестре на pd.rkn.gov.ru и сверьтесь с базовым чек-листом — политика на сайте, согласия на формах, уведомление подано.

#152ФЗ #РКН #проверки #compliance #бизнес

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Персональные данные сотрудников и соискателей — отдельная зона риска для работодателя по 152-ФЗ

Работодатель — оператор ПДн автоматически, как только открывает вакансию или принимает резюме. ФИО, телефон, email, трудовая история, паспортные данные, ИНН, СНИЛС — всё это персональные данные, и требования к их хранению жёсткие.

Что важно проверить прямо сейчас:

— Где физически хранятся данные. HR-системы, CRM с базой соискателей, таблицы в Google Sheets или Notion — если серверы за рубежом, это нарушение ч. 5 ст. 18 152-ФЗ. Штраф до 18 млн ₽.

— Есть ли согласие на обработку. Соискатель, приславший резюме, не даёт автоматического согласия на хранение и использование данных. Нужен отдельный документ — при отклике онлайн или бумажная форма при очном собеседовании.

— Как долго хранятся данные. Данные отклонённых соискателей нельзя держать вечно «на всякий случай». Без отдельного согласия на хранение в кадровом резерве — данные нужно уничтожить после завершения подбора.

— Кто имеет доступ. Доступ к базе должен быть только у тех, кому это необходимо по должности. Журнал доступа и разграничение прав — обязательны.

Отдельная история — данные уволенных сотрудников. Часть документов хранится по требованиям Трудового кодекса и архивного законодательства, но это не значит, что их можно хранить где угодно и как угодно.

#152ФЗ #HR #персональныеданные #работодатель #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

💡 Одно согласие на несколько целей — законно, но с условиями

152-ФЗ не запрещает указывать в одном согласии сразу несколько целей обработки персональных данных. Но каждая цель должна быть прописана явно и понятно — так, чтобы человек понимал, на что именно он соглашается.

Где это ломается на практике:
— Цели написаны слишком широко: «для улучшения качества обслуживания» без конкретики — это не цель, это отписка
— Одна из целей — маркетинговая рассылка. По ч. 1 ст. 18 152-ФЗ согласие на рекламу должно быть получено отдельно и явно — смешивать его с «исполнением договора» рискованно
— Человек не может отозвать согласие на одну из целей, не отзывая всё остальное. Если цели «склеены» в один монолит — это проблема

Практическое правило: если цели разные по природе (обработка для выполнения заказа + рассылка акций + передача партнёрам) — делайте отдельные согласия или минимум отдельные чекбоксы под каждую цель. Это снижает риск претензий со стороны РКН и упрощает работу с отзывами согласий.

#152ФЗ #согласие #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд