📌 Пришло предписание от Роскомнадзора — что делать и сколько есть времени

Предписание РКН — это не штраф, но обязательный документ. Его игнорирование автоматически превращается в отдельное нарушение по ст. 19.5 КоАП РФ — штраф для юрлица до 500 000 ₽.

Порядок действий:

1. Прочитайте внимательно, что именно нарушено. В предписании должно быть указано конкретное требование 152-ФЗ — отсутствие политики, неверное согласие, отсутствие уведомления в РКН и т.д.

2. Зафиксируйте срок исполнения. Обычно РКН даёт от 10 до 30 дней. Срок указан в самом документе — считайте с даты получения, а не отправки.

3. Устраните нарушение и подготовьте ответ. Исполнение предписания нужно подтвердить письменно — в РКН направляется ответ с приложением доказательств: скриншоты сайта, обновлённые документы, выписка из реестра операторов.

4. Направьте ответ в срок. Способ отправки — тот же канал, через который пришло предписание (портал РКН, почта, личный кабинет).

⚠️ Если не согласны с предписанием — его можно обжаловать в суде, но это не отменяет обязанность исполнить в срок. Обжалование и исполнение идут параллельно.

#152ФЗ #РКН #предписание #compliance #бизнес

#152ФЗ #РКН #предписание #compliance #бизнес

💡 100% выигранных исков — такую статистику публикует Центр правовой помощи гражданам в цифровой среде по итогам 2025 года.

Центр создан по инициативе РКН в 2021 году и оказывает бесплатную юридическую помощь гражданам. За прошлый год туда обратились 11 тыс. человек — на 44% больше, чем в 2024-м. Суды удовлетворили исковые требования на 6,24 млн ₽, ещё 6,04 млн ₽ взыскано в досудебном порядке.

📌 Для бизнеса важна структура обращений: 8% жалоб — это обработка персональных данных без ведома или согласия гражданина. Ещё 23% — смежные темы: защита ПДн, нежелательная реклама, репутация. То есть каждый третий случай так или иначе связан с тем, как компании обращаются с данными пользователей.

Центр готовит претензии, жалобы и представляет интересы граждан в суде — бесплатно. Это прямой канал, через который недовольный пользователь может подать претензию к вашей компании без каких-либо затрат с его стороны.

Источник: РКН · Сайт Центра

#152ФЗ #РКН #персональныеданные #штрафы #compliance

#152ФЗ #РКН #персональныеданные #штрафы #compliance

🔍 Сотрудник вставил данные клиентов в ChatGPT — и это уже утечка персональных данных

Практика показывает: один из самых частых каналов утечек сегодня — не взломы, а сами сотрудники, которые загружают клиентские базы, договоры и переписку в публичные нейросети для «удобной обработки».

С точки зрения 152-ФЗ это передача персональных данных третьей стороне без согласия субъектов и без договора поручения обработки. Квалифицируется по ч. 1 ст. 13.11 КоАП — штраф до 700 000 ₽ для юрлица. Если данных утекло много — возможна и уголовная ответственность по ст. 272 УК РФ.

Что это значит на практике:
— Регламент использования ИИ-инструментов — уже не «хорошая практика», а необходимость. Сотрудники должны знать: загружать ПДн клиентов в публичные LLM нельзя
— Если инцидент всё же произошёл — у вас 24 часа на уведомление РКН. Не уведомили вовремя — отдельный штраф от 1 до 3 млн ₽

Минимум: внесите запрет на передачу ПДн в публичные нейросети в инструкцию по обработке данных и ознакомьте сотрудников под подпись.

#152ФЗ #утечка #РКН #персональныеданные #compliance

⚖️ Передали данные подрядчику — ответственность не ушла вместе с ними

Это одно из самых распространённых заблуждений: «мы данные не храним, их хранит наш CRM-провайдер / колл-центр / аналитическое агентство — значит, и отвечают они». По 152-ФЗ это не так.

Если вы передаёте данные третьей стороне для обработки в ваших интересах — эта сторона называется поручителем (ст. 6 152-ФЗ). Вы остаётесь оператором и несёте ответственность перед субъектом данных за всё, что происходит с его данными у подрядчика.

💡 Что это означает на практике:
— С поручителем нужно заключить отдельный договор, где прописаны: цели обработки, перечень данных, обязанность соблюдать 152-ФЗ и уничтожить данные после окончания работ
— Если подрядчик допустил утечку — РКН придёт к вам, а не к нему
— Пункт «мы не несём ответственности за действия третьих лиц» в договоре с клиентом вас не защитит

Перед тем как передать базу подрядчику, проверьте три вещи: есть ли с ним договор-поручение, где физически находятся его серверы (требование локализации распространяется и на него), и что происходит с данными после окончания контракта.

#152ФЗ #персональныеданные #подрядчики #compliance #операторПДн

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Используете SaaS? Вы всё равно несёте ответственность за данные — но не за всё подряд

Компания — оператор ПДн. Использует CRM, облако, аутсорсинговую бухгалтерию. Вопрос: нужно ли считать каждый SaaS-сервис своей информационной системой персональных данных (ИСПДн), писать модели угроз и акты?

Короткие ответы:

📌 Включать SaaS в реестр ИСПДн — да. Не формальность, а фиксация зоны ответственности: цели обработки, объём данных, ссылка на договор с провайдером.

📌 Определять уровень защищённости — да. Иначе нечем обосновать требования к SaaS-провайдеру и нечего у него потребовать.

📌 Составлять акт определения УЗ как для собственной ИСПДн — нет. Вы пользователь сервиса, не его владелец. Владелец ИСПДн — обработчик.

📌 Писать модель угроз — частично. В своей части: риски на стороне оператора (доступ к учётным записям, права пользователей, защита рабочих мест).

⚠️ Если SaaS-провайдер отказывается подписывать поручение на обработку ПДн — это красный флаг. При утечке штраф получит оператор, а не провайдер.

Рабочая модель на практике:
— зафиксировать сервис в перечне систем
— понять уровень защищённости передаваемых данных
— предъявить провайдеру требования и получить подтверждение их соблюдения
— подписать поручение на обработку
— заранее договориться о порядке действий при утечке

SaaS не снимает с оператора ответственности — он только перераспределяет её часть на обработчика. Но только если это правильно оформлено.

#152ФЗ #SaaS #ИСПДн #обработчик #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Что суды делают с компаниями после утечек персональных данных — практика 2022–2025

Судебная практика по утечкам ПДн за три года заметно ужесточилась. Если в 2022–2023 годах компании отделывались минимальными штрафами по ч. 1 ст. 13.11 КоАП РФ, то к 2024–2025 суды стали активнее применять составы с более высокими санкциями — особенно когда оператор не уведомил РКН в положенный срок.

Три устойчивых тренда из практики:

🔍 Неуведомление РКН бьёт сильнее, чем сама утечка. Суды фиксируют отдельный состав по ч. 11 ст. 13.11 КоАП — штраф от 1 до 3 млн ₽ для юрлица — именно за то, что компания не сообщила об инциденте в течение 24 часов. Это самостоятельное нарушение, не связанное с размером утечки.

📊 Объём утечки влияет на квалификацию. При утечке более 1 000 записей суды квалифицируют нарушение по более тяжкой части статьи. Чем больше субъектов пострадало — тем выше штраф и выше вероятность повторной проверки.

💡 Технические меры защиты — ключевой аргумент защиты. Компаниям, которые смогли документально подтвердить наличие СУИБ, политик безопасности и журналов доступа, суды снижали штрафы или прекращали дела. Отсутствие документации — автоматически отягчающее обстоятельство.

Практический вывод: план реагирования на инцидент (кто звонит в РКН, кто фиксирует объём, кто уведомляет пострадавших) нужно написать заранее — не после того, как база уже ушла в сеть.

#152ФЗ #утечка #судебнаяпрактика #РКН #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Штрафовать работодателей за нарушения в сфере персональных данных теперь будут мировые суды.

Раньше дела по ст. 13.11 КоАП РФ рассматривались районными судами — это создавало задержки. После изменений подсудность передана мировым судьям, что ускорит рассмотрение дел и, вероятно, увеличит их общее число.

Для работодателей это означает одно: вероятность получить реальный штраф — а не дождаться прекращения дела по процессуальным основаниям — теперь выше. Кадровые данные сотрудников (паспорта, СНИЛС, медкнижки, анкеты) — полноценные персональные данные, и их обработка без надлежащего оформления по-прежнему нарушение.

#152ФЗ #РКН #штрафы #HR #работодатель

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

📌 Если вы собираете данные клиентов — вы оператор персональных данных. Со всеми вытекающими обязанностями по 152-ФЗ.

Оператор — это любая организация или ИП, которая самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это почти любой бизнес: интернет-магазин, кофейня с картой лояльности, HR-отдел, бухгалтерия, сайт с формой заявки.

Что обязан делать оператор:
— Подать уведомление в РКН до начала обработки данных. Реестр операторов ведётся на portal.rkn.gov.ru. Отсутствие уведомления — штраф до 300 000 ₽ для юрлица по ч. 1 ст. 13.11 КоАП РФ.
— Опубликовать политику обработки персональных данных — документ должен быть доступен по прямой ссылке на сайте.
— Получать согласие субъектов ПДн до начала обработки — отдельная галочка на каждой форме, не предустановленная.
— Хранить данные граждан РФ на серверах в России — требование ч. 5 ст. 18 152-ФЗ.
— Уведомить РКН в течение 24 часов при утечке данных — иначе штраф от 1 до 3 млн ₽.

Важный нюанс 2026 года: после поправок в 152-ФЗ требования к содержанию уведомления в РКН расширились. Проверьте, что ваша запись в реестре актуальна — если данные изменились, уведомление нужно обновить.

#152ФЗ #персональныеданные #РКН #операторПДн #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

📌 5 ошибок на сайте, за которые штрафует РКН — и как их исправить

Большинство нарушений 152-ФЗ на сайтах — не злой умысел, а невнимание к деталям. Вот что проверяющие находят чаще всего:

1. Политика обработки ПДн есть, но не там
Документ лежит где-то в подвале сайта, без прямой ссылки с каждой формы. Требование ч. 2 ст. 18.1 152-ФЗ — политика должна быть доступна на странице, где собираются данные.

2. Чек-бокс согласия проставлен по умолчанию
Если галочка уже стоит — это не согласие. Согласие должно быть активным действием пользователя (ч. 1 ст. 9 152-ФЗ).

3. Одна галочка на всё
«Согласен с условиями и политикой ПДн» — распространённая схема, которая не работает. Согласие на обработку данных должно быть отдельным от согласия с договором или офертой.

4. Нет уведомления в РКН
Многие компании не знают, что обязаны уведомить регулятора до начала обработки данных. Отсутствие записи в реестре операторов — штраф до 300 000 ₽ для юрлица по ч. 1 ст. 13.11 КоАП.

5. Данные хранятся за рубежом
Формы, подключённые к иностранным CRM или email-сервисам с серверами вне РФ, нарушают требование локализации (ч. 5 ст. 18 152-ФЗ). Штраф — до 18 млн ₽ при повторном нарушении.

Проверьте эти пять пунктов — они закрывают большую часть претензий РКН к типовому сайту.

#152ФЗ #РКН #сайт #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Согласие на обработку персональных данных суд может признать недействительным — и тогда вся обработка окажется незаконной.

Это не теория: суды уже отменяли согласия, которые были оформлены с нарушениями. Типичные основания:
— Согласие «зашито» в договор или оферту — человек подписал общий документ, не осознавая, что даёт разрешение на обработку ПДн
— Не указаны конкретные цели обработки — формулировка «в целях исполнения договора и иных законных целей» слишком размытая
— Галочка была проставлена по умолчанию — это прямое нарушение ч. 1 ст. 9 152-ФЗ, согласие должно быть добровольным и активным
— Не указан перечень третьих лиц, которым передаются данные — если вы отдаёте данные подрядчикам, это должно быть прописано явно

Последствие признания согласия недействительным: оператор обязан прекратить обработку и уничтожить данные. Плюс — административная ответственность по ст. 13.11 КоАП РФ до 700 000 ₽ за первое нарушение.

Практический вывод: проверьте, не «растворено» ли согласие у вас в договоре или общей политике. Особенно актуально для HR — трудовые договоры с согласием на ПДн внутри текста суды отменяют чаще всего.

#152ФЗ #согласие #персональныеданные #HR #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

⚖️ Работодателей за утечки персданных штрафуют мягче, чем можно ожидать — суды системно снижают санкции.

По данным издания «Кадровое Дело», суды при рассмотрении дел об утечках персональных данных у работодателей нередко назначают штрафы ниже максимального порога или заменяют их предупреждением. Суды учитывают: впервые ли допущено нарушение, приняты ли меры после инцидента, насколько велик реальный ущерб субъектам ПДн.

Что это означает на практике:
— Смягчение наказания не отменяет сам штраф. Даже «лояльный» суд может назначить санкцию по ч. 6 ст. 13.11 КоАП — до 300 000 ₽ для юрлица за необеспечение безопасности ПДн, а за повторное нарушение — до 500 000 ₽.
— Ключевой фактор смягчения — задокументированные меры защиты до инцидента и оперативное уведомление РКН после. Компании, у которых нет ни политики, ни журналов, ни назначенного ответственного, теряют главный аргумент в суде.

Вывод простой: судебная лояльность — не повод расслабиться, а повод грамотно выстроить документальную базу заранее.

#152ФЗ #утечка #штрафы #HR #персональныеданные

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд

🔍 РКН утвердил требования к обезличиванию персональных данных

Роскомнадзор утвердил методы и критерии обезличивания персональных данных. Документ устанавливает, каким способом оператор должен лишать данные идентификационных признаков, чтобы они официально перестали считаться персональными. Обезличенные данные можно обрабатывать свободнее: для них не нужно согласие, не применяются требования о локализации и часть других обязанностей по 152-ФЗ.

Что это значит на практике:
— Если вы работаете с аналитикой, исследованиями или передаёте массивы данных партнёрам — теперь есть официальная планка того, что считается «настоящим» обезличиванием. Просто удалить ФИО недостаточно: требования описывают конкретные методы, при которых восстановить личность человека по остаточным данным невозможно.
— Для HR, маркетинга и аналитических отделов это ориентир: если ваши данные соответствуют требованиям — часть регуляторной нагрузки снимается. Если нет — обрабатывать их как «обезличенные» рискованно.

Документ опубликован на сайте РКН. До его появления операторы ориентировались на устаревший приказ Роскомнадзора № 996 от 2013 года — теперь стандарт обновлён.

#152ФЗ #РКН #персональныеданные #обезличивание #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
#1опд