📌 HR-данные нельзя хранить «пока не понадобятся» — срок обработки определяется целью, и это требование 152-ФЗ

По ст. 5 152-ФЗ обработка персональных данных должна быть ограничена достижением конкретной, заранее определённой цели. Как только цель достигнута — обработку нужно прекратить, а данные уничтожить. Срок на это — не более 30 дней (ч. 4 ст. 21 152-ФЗ).

На практике это значит: у каждого HR-процесса должна быть своя цель обработки, и именно она задаёт срок.

Проверьте себя по четырём вопросам:

1. Есть ли у каждого HR-процесса конкретная цель? Например: «подбор кандидата на вакантную должность». Если цель размытая — срок определить корректно не выйдет.

2. С какого момента начинается обработка? В подборе — с получения резюме: через сайт, hh.ru, почту или агентство.

3. Зафиксировано ли событие, после которого цель считается достигнутой? Для подбора — это решение о приёме или отказе в трудоустройстве.

4. Что происходит с данными после достижения цели? Здесь ошибаются чаще всего: данные продолжают лежать без правового основания.

💡 Если после отказа кандидату его резюме продолжает храниться «на всякий случай» — это уже нарушение. Либо переводите данные в другой процесс на самостоятельном основании, либо уничтожайте в течение 30 дней.

Отдельный случай — отзыв согласия: по ч. 5 ст. 21 152-ФЗ тот же срок — 30 дней с даты поступления отзыва.

#152ФЗ #HR #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Что проверяет РКН в 2025 году — и к чему готовиться до прихода инспектора

Роскомнадзор ведёт плановые и внеплановые проверки операторов персональных данных. По актуальной практике, инспекторы смотрят на несколько ключевых вещей:

— Уведомление в реестре операторов ПДн. Если вы собираете данные, но уведомления нет — штраф до 300 000 ₽ по ч. 1 ст. 13.11 КоАП РФ. Подать можно через portal.rkn.gov.ru, бесплатно.

— Политика обработки персональных данных. Должна быть опубликована на сайте, доступна по прямой ссылке с каждой страницы, где есть форма. Не PDF «в ящике» — а рабочая ссылка.

— Согласие субъекта. Отдельный чек-бокс, не предустановленный, со ссылкой на политику. «Галочка по умолчанию» или согласие, зашитое в оферту, — не считается.

— Локализация данных. Первичный сбор — только на серверах в РФ. Зарубежные формы, CRM и email-сервисы для первичного сбора данных граждан РФ под запретом (ч. 5 ст. 18 152-ФЗ).

— Внутренние документы. Приказ о назначении ответственного за ПДн, регламент обработки, инструкции сотрудников — проверяются при выездной проверке.

💡 Внеплановая проверка может прийти после жалобы одного клиента или сотрудника. Плановые — смотрите в реестре проверок на сайте РКН.

#152ФЗ #РКН #проверка #compliance #бизнес

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Уведомить РКН об обработке персональных данных — обязанность почти любого бизнеса. Разбираемся, кто именно и в какие сроки.

По ст. 22 152-ФЗ, оператор персональных данных обязан направить уведомление в Роскомнадзор до начала обработки данных. Не после запуска сайта, не «когда дойдут руки» — а до.

Кого это касается:
— Любое юрлицо или ИП, у которого есть сайт с формой, CRM, база клиентов или сотрудников
— Самозанятые — если собирают данные клиентов для оказания услуг
— НКО и госструктуры — тоже операторы ПДн

Есть исключения, когда уведомление не нужно (ч. 2 ст. 22 152-ФЗ):
— Данные обрабатываются только в рамках трудового договора
— Данные получены при заключении разового договора и не передаются третьим лицам
— Данные касаются исключительно членов самой организации

Но исключения — узкие. Если есть сайт с формой обратной связи или база клиентов — скорее всего, вы под общее правило.

💡 Как подать: через portal.rkn.gov.ru, бесплатно, электронно. Обрабатывать данные можно сразу после отправки уведомления — ждать внесения в реестр (до 30 дней) не нужно.

Отсутствие уведомления — штраф до 300 000 ₽ для юрлица по ч. 1 ст. 13.11 КоАП РФ.

#152ФЗ #РКН #уведомление #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

⚠️ Email-адрес — это персональные данные, даже если рядом нет ни имени, ни телефона.

Позиция РКН и актуальная судебная практика однозначны: любой идентификатор, позволяющий выйти на конкретного человека, подпадает под действие 152-ФЗ. Email под это определение попадает.

На практике это означает: форма «оставьте почту — пришлём КП» требует политики обработки персональных данных, отдельной галочки согласия и уведомления в РКН. Не «желательно» — обязательно.

#152ФЗ #персональныеданные #email #формы

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

Суд в Москве привлек к административной ответственности иностранную компанию за нарушение российского законодательства в области персональных данных

Постановлением мирового судьи судебного участка № 422 Таганского района города Москвы
от 14 мая 2026 года признана виновной в совершении административного правонарушения
по ч. 8 ст. 13.11 КоАП РФ 
Эмбресер Груп АБ
(Embracer Group AB).
Суд назначил наказание в виде административного штрафа в размере 1 000 000 рублей.

#таганский2026 #адм2026 #мировойсуд2026

📌 РКН публикует план проверок на 2026 год — ваша организация может быть в списке

Роскомнадзор формирует плановые проверки операторов персональных данных на следующий год. Список публикуется на сайте РКН и proverki.gov.ru — любая компания может заранее узнать, попала ли она под плановый контроль.

Что проверяют:
— Наличие уведомления об обработке ПДн в реестре РКН
— Политику обработки персональных данных на сайте
— Согласия субъектов: оформление, содержание, отдельные чек-боксы
— Локализацию данных: серверы должны быть в РФ
— Внутренние документы — приказы, регламенты, назначение ответственного

Даже если в списке на 2026 год вас нет — внеплановые проверки РКН вправе проводить по жалобам субъектов персональных данных в любой момент. Разница только в том, что о плановой проверке уведомляют за 3 рабочих дня, а внеплановая может начаться внезапно.

Практический совет: проверьте себя в реестре на pd.rkn.gov.ru и сверьтесь с базовым чек-листом — политика на сайте, согласия на формах, уведомление подано.

#152ФЗ #РКН #проверки #compliance #бизнес

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Персональные данные сотрудников и соискателей — отдельная зона риска для работодателя по 152-ФЗ

Работодатель — оператор ПДн автоматически, как только открывает вакансию или принимает резюме. ФИО, телефон, email, трудовая история, паспортные данные, ИНН, СНИЛС — всё это персональные данные, и требования к их хранению жёсткие.

Что важно проверить прямо сейчас:

— Где физически хранятся данные. HR-системы, CRM с базой соискателей, таблицы в Google Sheets или Notion — если серверы за рубежом, это нарушение ч. 5 ст. 18 152-ФЗ. Штраф до 18 млн ₽.

— Есть ли согласие на обработку. Соискатель, приславший резюме, не даёт автоматического согласия на хранение и использование данных. Нужен отдельный документ — при отклике онлайн или бумажная форма при очном собеседовании.

— Как долго хранятся данные. Данные отклонённых соискателей нельзя держать вечно «на всякий случай». Без отдельного согласия на хранение в кадровом резерве — данные нужно уничтожить после завершения подбора.

— Кто имеет доступ. Доступ к базе должен быть только у тех, кому это необходимо по должности. Журнал доступа и разграничение прав — обязательны.

Отдельная история — данные уволенных сотрудников. Часть документов хранится по требованиям Трудового кодекса и архивного законодательства, но это не значит, что их можно хранить где угодно и как угодно.

#152ФЗ #HR #персональныеданные #работодатель #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

💡 Одно согласие на несколько целей — законно, но с условиями

152-ФЗ не запрещает указывать в одном согласии сразу несколько целей обработки персональных данных. Но каждая цель должна быть прописана явно и понятно — так, чтобы человек понимал, на что именно он соглашается.

Где это ломается на практике:
— Цели написаны слишком широко: «для улучшения качества обслуживания» без конкретики — это не цель, это отписка
— Одна из целей — маркетинговая рассылка. По ч. 1 ст. 18 152-ФЗ согласие на рекламу должно быть получено отдельно и явно — смешивать его с «исполнением договора» рискованно
— Человек не может отозвать согласие на одну из целей, не отзывая всё остальное. Если цели «склеены» в один монолит — это проблема

Практическое правило: если цели разные по природе (обработка для выполнения заказа + рассылка акций + передача партнёрам) — делайте отдельные согласия или минимум отдельные чекбоксы под каждую цель. Это снижает риск претензий со стороны РКН и упрощает работу с отзывами согласий.

#152ФЗ #согласие #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Используете зарубежные сервисы на сайте? Вот что нужно проверить прямо сейчас

Google Analytics, Mailchimp, Tilda с CDN за рубежом, Typeform, HubSpot — всё это может стать поводом для штрафа по ч. 5 ст. 18 152-ФЗ, которая требует хранить и собирать первичные данные граждан РФ на серверах в России.

Практический чек-лист:

1. Аналитика. Google Analytics и аналоги отправляют данные на зарубежные серверы. Замените на Яндекс.Метрику — она соответствует требованиям локализации.

2. Email-рассылки. Mailchimp, SendGrid, ActiveCampaign — нельзя для первичного сбора адресов российских пользователей. Альтернативы: Unisender, Sendsay, DashaMail.

3. CRM и формы. Если данные из форм уходят в иностранный сервис — это нарушение. Bitrix24 и AmoCRM с российскими серверами здесь в порядке.

4. Чат-виджеты и коллбэки. Уточните у провайдера, где хранятся записи разговоров и контакты. Если ответа нет — считайте, что риск есть.

5. Согласие и политика. Даже если перешли на российские сервисы — без отдельной галочки согласия и актуальной политики обработки ПДн на каждой форме штраф всё равно возможен по ч. 1 ст. 13.11 КоАП — до 700 000 ₽ для юрлица.

Максимальный штраф за нарушение требований локализации — 18 000 000 ₽. Проверка каждого подключённого сервиса занимает меньше времени, чем разбирательство с РКН.

#152ФЗ #локализация #штрафы #сайт #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 HR-системы стали главной мишенью для утечек — и регулятор это учитывает

Кадровые данные — это концентрат персональных данных: паспорта, СНИЛС, ИНН, медицинские справки, зарплаты, адреса. Одна утечка из HR-системы может затронуть всех сотрудников сразу.

Почему это важно именно сейчас:
— Штрафы за утечку по ч. 6 и 7 ст. 13.11 КоАП — до 15 млн ₽ для юрлица (и до 500 млн ₽, если утекли данные более 1 млн человек)
— Сотрудники — такие же субъекты ПДн, как и клиенты. Их данные требуют того же уровня защиты
— РКН при проверках запрашивает в том числе внутренние HR-документы: приказы о назначении ответственного, регламенты доступа к данным

Что стоит проверить в первую очередь:
1. Кто в компании имеет доступ к личным делам и базе сотрудников — и задокументирован ли этот доступ
2. Где физически хранится HR-система или кадровый сервис — серверы должны быть в РФ
3. Есть ли отдельное согласие на обработку ПДн при трудоустройстве — не «зашитое» в трудовой договор, а самостоятельный документ

HR — не менее рискованная зона, чем публичный сайт с формами. Но проверяют её реже, и именно поэтому там чаще находят нарушения.

#152ФЗ #HR #утечка #персональныеданные #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд

📌 Персональные данные сотрудников — отдельная зона риска для работодателя

Работодатель — такой же оператор персональных данных, как и любой бизнес с сайтом. Только данных здесь больше: паспорт, СНИЛС, ИНН, медсправки, сведения о родственниках. И штрафы за нарушения те же — до 700 000 ₽ за первичное нарушение по ст. 13.11 КоАП, до 1,5 млн ₽ за повторное.

Что обязан сделать каждый работодатель:

— Получить письменное согласие сотрудника на обработку ПДн при трудоустройстве. Отдельный документ, не пункт в трудовом договоре.
— Утвердить внутренний документ — «Положение об обработке персональных данных работников» — и ознакомить с ним каждого под подпись.
— Ограничить доступ к данным: HR-документы не должны лежать в общих папках, куда заходят все сотрудники.
— Подать уведомление в РКН через portal.rkn.gov.ru. Обработка данных сотрудников — основание для включения в реестр операторов.
— Хранить данные на серверах в РФ. Если используете облачную HR-систему или кадровый сервис — проверьте, где физически расположены серверы.

💡 При проверке РКН запрашивает именно эти документы первым делом. Отсутствие Положения или согласий — почти гарантированный штраф.

#152ФЗ #персональныеданные #HR #РКН #compliance

———
👉 @opdone — про защиту персональных данных и 152-ФЗ для бизнеса
🔍 @opdone_check_bot — бесплатная проверка сайта на соответствие 152-ФЗ
#1опд