Проблема здесь не в самом факте, что после увольнения сведения о человеке еще какое-то время должны оставаться у работодателя. Напротив, часть документов требуется хранить длительно, поскольку это связано с подтверждением стажа, заработка, условий труда, пенсионных прав и расчетов с государственными органами. Риск возникает тогда, когда хранение персональных данных бывших сотрудников ведется без разделения по срокам, без понятной цели и без внутреннего порядка доступа к таким сведениям.

Для бизнеса эта тема имеет вполне прикладное значение. Ошибки в этой сфере обнаруживаются при проверках Роскомнадзора, инспекции труда, в трудовых спорах, в запросах бывших работников, а иногда и в корпоративных конфликтах, когда поднимается вопрос о том, как в компании организованы процессы обработки данных. Поэтому грамотное хранение персональных данных бывших сотрудников относится не к формальной бюрократии, а к системе управления правовыми рисками.

Что регулирует хранение персональных данных бывших сотрудников после увольнения

Базовые правила задает Закон № 152-ФЗ. Согласно статье 5 этого закона обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Там же закреплено, что не допускается обработка, несовместимая с целями сбора данных, а хранение должно осуществляться не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором или иной правовой основой.

Именно здесь у работодателей обычно возникает практический вопрос. Цель трудовых отношений прекращена, сотрудник уволен, но обязанность по сохранению ряда документов сохраняется. Это не противоречие. Закон № 152-ФЗ не требует уничтожать все сведения сразу после увольнения. Он требует, чтобы хранение персональных данных бывших сотрудников продолжалось только в той части и в тот срок, которые прямо оправданы законом и документальной обязанностью работодателя.

Дополнительно нужно учитывать Трудовой кодекс РФ, законодательство об архивном деле и правила организации хранения архивных документов. Существенное значение имеет Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации». Для работодателя он важен не сам по себе, а в связке с перечнями типовых управленческих архивных документов с указанием сроков их хранения, утверждаемыми уполномоченным органом. Именно по ним определяется, какой срок хранения кадровых документов применим к приказам, личным карточкам, табелям, расчетным ведомостям и другим материалам.

Если в компании отсутствует единая модель обработки и хранения сведений о персонале, проблема редко ограничивается только 152-ФЗ. Обычно всплывают и сопутствующие дефекты: нет локального акта по обработке персональных данных, не настроены права доступа, не оформлен порядок передачи дел в архив, а документы уволенных сотрудников лежат вместе с действующим кадровым массивом. В такой ситуации полезен не разовый совет, а полноценный кадровый аудит, который позволяет увидеть не отдельную ошибку, а саму причину повторяющихся нарушений.

Какие документы после увольнения хранятся долго, а какие подлежат удалению

Распространенная ошибка состоит в том, что компания пытается применить один подход ко всем сведениям сразу. Но состав документов неоднороден. Есть массив, который подлежит долгому хранению по архивным правилам и трудовому законодательству, а есть данные, собранные для текущего кадрового администрирования, которые после утраты цели должны быть удалены или обезличены.

Хранение персональных данных бывших сотрудников обычно включает документы, подтверждающие сам факт работы, условия труда, выплаты и кадровые решения работодателя. Это трудовые договоры, дополнительные соглашения, приказы по личному составу, документы по начислению зарплаты, сведения о переводах, отпусках, увольнении, иногда документы по охране труда и результатам обязательных медосмотров, если их сохранение предусмотрено законом или необходимо для защиты прав сторон.

Но рядом с обязательными документами часто остаются лишние копии паспорта, СНИЛС, ИНН, фотографий, резюме, анкеты кандидата, результаты внутренних оценок, сканы личных документов в электронной почте, переписка в мессенджерах, копии документов о составе семьи, которые когда-то собирались для льгот или кадровой проверки. Если цель их хранения прекратилась и федеральный закон не обязывает работодателя сохранять такие материалы, дальнейшее хранение персональных данных бывших сотрудников становится уязвимым с правовой точки зрения.

На практике имеет смысл разделять массив сведений хотя бы на три группы:

• Обязательные к хранению документы, сроки по которым установлены архивными и трудовыми правилами.
• Документы ограниченного срока, где хранение связано с конкретной задачей, например налоговой, бухгалтерской или страховой отчетностью.
• Избыточные материалы, которые больше не нужны для исполнения закона и подлежат удалению, обезличиванию либо изъятию из рабочих массивов.

Такой подход важен не только для бумажного архива. В электронных системах избыточные копии создают даже больший риск. Они остаются в кадровой программе, на сервере, в резервных копиях, в почте конкретного сотрудника, в облачном хранилище подрядчика. Если организация не понимает, где фактически находится архив персональных данных, она не контролирует ни сроки, ни доступ, ни последующее уничтожение персональных данных.

Сроки хранения: почему нельзя ориентироваться только на 152-ФЗ

Когда обсуждается хранение персональных данных бывших сотрудников, многие смотрят только на норму о том, что данные нельзя хранить дольше цели обработки. Для работодателя этого недостаточно. Нужно сопоставлять Закон № 152-ФЗ с отраслевыми обязательствами по хранению документов. Иначе можно допустить две противоположные ошибки: уничтожить то, что нужно хранить годами, либо, наоборот, оставить у себя материалы без законного основания.

Сроки зависят от вида документа. Например, часть документов по личному составу хранится длительно в силу архивных правил, поскольку от них зависят будущие пенсионные и социальные права работника. Бухгалтерские и налоговые документы могут подпадать под иные сроки хранения, связанные с Налоговым кодексом РФ, законодательством о бухгалтерском учете и правилами документального подтверждения выплат. Документы по охране труда, специальной оценке условий труда и расследованию несчастных случаев тоже оцениваются отдельно.

Именно поэтому хранение персональных данных бывших сотрудников нельзя строить на одной формуле «уволился, значит все уничтожаем через короткий срок». Законный срок хранения кадровых документов определяется не общим ощущением целесообразности, а видом документа и нормативным основанием его хранения. Если бывший работник через несколько лет запросит подтверждение стажа, зарплаты или условий труда, отсутствие обязательных документов может обернуться не только спором с ним, но и вопросами со стороны контролирующих органов.

Для рабочей системы полезно свести основные документы и правовые основания их хранения в единый внутренний реестр. Он не заменяет закон, но помогает сотрудникам понимать, какие данные подлежат длительному хранению, а какие должны выводиться из активного оборота после увольнения. Для компаний с большим штатом такая систематизация часто становится частью абонентского юридического обслуживания, когда внутренние процедуры пересматриваются не разово, а по мере изменения законодательства и практики.

Когда хранение персональных данных бывших сотрудников становится нарушением

Нарушение возникает не только тогда, когда документы потеряны или раскрыты третьим лицам. Довольно часто проблема состоит именно в том, что хранение персональных данных бывших сотрудников продолжается без действующей правовой цели. Если организация не может объяснить, зачем хранит конкретный массив сведений и на какую норму опирается, позиция в споре будет слабой.

Статья 21 Закона № 152-ФЗ связывает прекращение обработки с достижением цели обработки, отпадением необходимости в ее достижении или выявлением неправомерной обработки. Если сохранить все без разбора «на всякий случай», это может быть расценено как нарушение принципов обработки персональных данных. Особенно уязвимы ситуации, когда бывший работник обращается с требованием прекратить обработку избыточных сведений, а компания не проводит проверку состава документов и просто отказывает формально.

Отдельная проблема возникает, когда данные используются после увольнения не для архивного хранения, а для новых целей. Например, сведения из личного дела бывшего работника передаются аффилированной компании, используются для внутренней базы «нежелательных кандидатов», направляются контрагенту или размещаются в системе, к которой имеют доступ сотрудники, не связанные с кадровой функцией. Такое хранение персональных данных бывших сотрудников уже выходит за рамки простой технической ошибки и может свидетельствовать о неправомерной обработке.

Внутри бизнеса спор часто обостряется после конфликта с бывшим руководителем, главным бухгалтером, участником общества, совмещавшим трудовую и корпоративную роль. Тогда вопросы обработки данных пересекаются с защитой коммерческой информации, электронной переписки и полномочий должностных лиц. Если ситуация связана с управлением компанией и внутренним конфликтом собственников, правовая оценка выходит за рамки одного кадрового вопроса и может затрагивать сопровождение корпоративных споров.

Ответственность за хранение сверх срока и другие последствия для работодателя

Для работодателя ошибочное хранение персональных данных бывших сотрудников опасно тем, что нарушение редко остается изолированным. Обычно оно тянет за собой сразу несколько блоков последствий: административную ответственность, требования субъекта персональных данных, репутационные потери, а в отдельных случаях проблемы с доказательствами в трудовом или ином судебном споре.

Административная ответственность предусмотрена статьей 13.11 КоАП РФ. Составы в этой статье различаются в зависимости от нарушения: обработка в случаях, не предусмотренных законом, обработка без надлежащего основания, несоблюдение обязанностей оператора при сборе, хранении и защите данных, непредоставление субъекту информации, невыполнение требования об уточнении, блокировании или уничтожении данных. Размер санкции зависит от конкретной части статьи и статуса нарушителя, поэтому в каждой ситуации нужно смотреть фактический состав, а не ссылаться на усредненные цифры.

Помимо этого, статья 90 ТК РФ обязывает работодателя обеспечивать защиту персональных данных работника от неправомерного использования или утраты. Хотя увольнение прекращает трудовые отношения, это не освобождает от ответственности за уже собранные и сохраняемые сведения. Если компания допустила раскрытие данных либо незаконно удерживает избыточный массив сведений, бывший сотрудник может заявить требования о защите прав, об обязании прекратить неправомерную обработку, а при наличии оснований и о компенсации морального вреда.

Фраза ответственность за хранение сверх срока в деловой практике звучит как обобщение, но по сути речь идет о нарушении принципа ограничения сроков обработки, установленного статьей 5 Закона № 152-ФЗ, и о неисполнении обязанности по прекращению обработки или уничтожению персональных данных, когда основания хранения отпали. Если при этом данные еще и оказались доступны посторонним, риск для работодателя становится значительно выше.

В ряде случаев проблема влияет и на судебную перспективу по другим спорам. Когда компания ссылается на документы бывшего сотрудника в конфликте о недостаче, дисциплинарных основаниях увольнения, коммерческой тайне или доступе к информационным системам, суд оценивает не только содержание документов, но и то, как они были получены и сохранялись. Если порядок обработки нарушался, это ослабляет доверие к доказательствам. В сложных делах, где спор уже переходит в экономическую плоскость, нередко требуется сопровождение арбитражного спора, потому что вопрос о персональных данных становится частью более широкого конфликта.

Как организовать архив персональных данных без лишнего формализма

Закон не требует создавать сложную бюрократическую конструкцию ради самих документов. Но хранение персональных данных бывших сотрудников должно быть управляемым. Это означает, что у работодателя должны быть не только папки и сервер, но и понятные правила: какие сведения переходят в архив, кто имеет доступ, на каком основании документ остается в системе, когда проводится проверка сроков и как оформляется исключение из хранения.

Практически надежная модель обычно строится на нескольких элементах. Локальный акт по персональным данным должен описывать цели и состав обрабатываемых сведений, порядок доступа, хранения и прекращения обработки. Номенклатура дел и правила архивного хранения должны быть увязаны с кадровыми и бухгалтерскими процессами. В кадровой системе желательно отделять активный массив работников от архивного сегмента. И, что особенно важно, архив персональных данных должен включать не только бумажные дела, но и электронные массивы, почтовые ящики, сканы, резервные копии и переданные подрядчикам базы.

Если организация использует внешние сервисы для кадрового учета, электронного документооборота или облачного хранения, нужно отдельно проверять договорные условия о поручении обработки персональных данных, уровне защиты, месте хранения и порядке удаления информации после завершения отношений. Иначе компания формально считает, что данные уже удалены, а фактически хранение персональных данных бывших сотрудников продолжается у обработчика без понятного контроля со стороны оператора.

Рабочий минимум внутренней системы обычно включает следующие решения:

• разделение обязательных к хранению документов и избыточных копий, не имеющих самостоятельной цели после увольнения;
• фиксированный порядок передачи дел в архив и ограничения доступа к архивным массивам;
• регулярную проверку сроков хранения по видам документов, а не по дате увольнения как единственному критерию;
• оформленный порядок удаления, обезличивания или уничтожения сведений, которые больше не должны сохраняться.

Такой подход избавляет от крайностей. Компания не уничтожает нужные документы преждевременно, но и не превращает сервер и архив в бессрочное хранилище всех когда-либо полученных копий. Для работодателя это особенно важно при массовом найме, высокой текучести кадров, наличии филиалов и дистанционных работников, где объем сведений растет быстро, а контроль над доступом ослабевает незаметно.

Уничтожение персональных данных бывших сотрудников: когда это обязанность, а не право

Во многих организациях уничтожение персональных данных воспринимается как факультативное действие, которое можно отложить без последствий. С правовой точки зрения это неверно. Если цель обработки достигнута, необходимость в ней отпала, а специальная обязанность по хранению отсутствует, оператор должен прекратить обработку и обеспечить уничтожение данных либо их обезличивание, если иное не предусмотрено законом.

Хранение персональных данных бывших сотрудников и их уничтожение не противоречат друг другу. Эти процессы должны сосуществовать в одной системе. Документы по личному составу, которые требуется хранить длительно, остаются в архиве в установленный срок. Избыточные копии, промежуточные файлы и дубли, не имеющие самостоятельного основания, подлежат удалению. Именно смешение этих двух массивов чаще всего приводит к нарушениям.

С точки зрения доказательств работодателю важно не просто удалить файл или выбросить бумагу, а иметь подтверждение того, что прекращение обработки проведено надлежащим образом. Для этого используют акты об уничтожении документов, отметки в регистрах, внутренние распоряжения, технические журналы операций, подтверждение удаления из информационной системы или передачи материалов в установленный архив. Набор документов зависит от устройства конкретной компании, но сама логика едина: если оператор обязан прекратить обработку, это должно быть подтверждаемо.

Особенно внимательно нужно относиться к заявлениям бывших работников. Если человек обращается с требованием уточнить, заблокировать или удалить данные, организация должна проверить, какие сведения действительно могут быть удалены, а какие продолжают храниться по закону. Автоматический отказ со ссылкой на то, что «личное дело хранится в архиве», не решает вопрос. Нужно разделять обязательные документы и лишние данные, для которых дальнейшее хранение персональных данных бывших сотрудников уже не имеет основания.

Роль юриста в спорах и в профилактике нарушений

Когда нарушение уже выявлено, задача юриста состоит не в том, чтобы формально сослаться на 152-ФЗ, а в том, чтобы собрать полную правовую картину. Приходится сопоставлять трудовые документы, архивные сроки, локальные акты, переписку с бывшим работником, настройки информационных систем и договоры с подрядчиками. Только после этого можно понять, какие данные действительно должны были сохраняться, где допущено избыточное хранение и можно ли снизить объем претензий.

Если спор дошел до жалобы в Роскомнадзор, трудовой инспекции или до суда, юридическая работа строится вокруг доказательств. Проверяется, была ли у работодателя надлежащая политика обработки данных, утвержден ли порядок доступа, велся ли учет носителей, как оформлялась передача документов в архив, имелись ли основания для продолжения обработки после увольнения. В зависимости от обстоятельств подготавливаются возражения на претензии, ответы в контролирующие органы, правовая позиция по требованиям о прекращении обработки или по искам о защите нарушенных прав.

Профилактика, как правило, обходится дешевле спора. Для бизнеса разумно периодически проверять, как фактически устроено хранение персональных данных бывших сотрудников, совпадают ли внутренние правила с реальными процессами и не хранит ли компания то, что уже должно быть удалено. Такая проверка особенно нужна после смены кадровой системы, перехода на электронный документооборот, реорганизации, передачи функций аутсорсеру или роста числа дистанционных работников.

Сильная юридическая позиция в этой теме строится не на объеме документов, а на их точности. Работодатель должен уметь показать, почему одни сведения хранятся десятилетиями на законном основании, а другие были своевременно исключены из оборота. Если эта логика выстроена заранее, хранение персональных данных бывших сотрудников перестает быть источником хронического риска и становится обычной управляемой функцией компании.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Хранение персональных данных бывших сотрудников: сроки и риски нарушения 152-ФЗ появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Для бизнеса проблема шире, чем публикация формального документа на экране регистрации. Персональные данные в мобильном приложении обрабатываются на каждом этапе: при установке, авторизации, сборе аналитики, отправке push-уведомлений, интеграции с CRM, облачным хранилищем, платежным шлюзом и службой поддержки. Если архитектура сервиса изначально построена без учета требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», исправлять нарушения потом значительно дороже. Нередко приходится менять пользовательские сценарии, переписывать договоры с подрядчиками и пересобирать систему получения согласий.

Почему персональные данные в мобильном приложении становятся предметом юридического риска

Юридическая проблема возникает не в тот момент, когда компания впервые публикует приложение, а раньше, когда определяется состав собираемой информации и цель ее использования. Закон № 152-ФЗ связывает законность обработки не с удобством бизнеса, а с наличием конкретного правового основания, определенной цели обработки, ограничением объема данных и соблюдением принципов, закрепленных в статье 5. Если сервис запрашивает больше, чем нужно для его функций, собирает информацию «на будущее» или не объясняет пользователю, для чего нужен тот или иной доступ, риск нарушения возникает уже на стадии проектирования.

Особенно часто спорные ситуации появляются там, где персональные данные в мобильном приложении собираются не только самим владельцем сервиса, но и через встроенные SDK, рекламные и аналитические инструменты сторонних поставщиков. Формально для бизнеса это может выглядеть как обычная техническая интеграция, но с точки зрения закона речь идет о передаче информации третьим лицам или о поручении обработки. В зависимости от модели взаимодействия потребуются разные документы, условия обработки и уведомления субъектов данных. Для компании, которая регулярно запускает цифровые продукты, такую работу разумно встраивать в систему абонентского юридического обслуживания, чтобы не возвращаться к базовым нарушениям при каждом релизе.

Отдельный риск создает смешение ролей. Заказчик приложения нередко считает, что за соблюдение закона отвечает разработчик, поскольку он создает интерфейс и серверную часть. На практике оператором персональных данных обычно выступает именно владелец сервиса, который определяет цели обработки и состав данных. Разработчик же может быть лицом, осуществляющим обработку по поручению оператора, если это прямо оформлено договором в соответствии с частью 3 статьи 6 Закона № 152-ФЗ. Если такого оформления нет, распределение ответственности становится спорным и неудобным для всех участников проекта.

Какие нормы применяются, когда обрабатываются персональные данные в мобильном приложении

Базовый акт в этой сфере, конечно, Закон № 152-ФЗ. Для мобильных сервисов наибольшее значение имеют статьи 5 и 6, определяющие принципы и условия обработки, статья 9 о согласии субъекта персональных данных, статья 18.1 о мерах, направленных на обеспечение выполнения обязанностей оператора, статья 19 о безопасности персональных данных и статья 22 об уведомлении уполномоченного органа. Если приложение ориентировано на потребителей, дополнительно имеет значение Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», поскольку информация о порядке использования сервиса и обработке пользовательских данных не должна быть вводящей в заблуждение.

Если в приложении используются элементы авторизации, электронного взаимодействия, хранения цифровых документов или идентификации клиента, нередко затрагиваются и положения Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Для медицинских, образовательных, финансовых и иных специализированных сервисов действуют дополнительные отраслевые требования. Например, медицинское приложение может затрагивать не просто общие сведения о пользователе, а данные о состоянии здоровья, которые по статье 10 Закона № 152-ФЗ относятся к специальным категориям персональных данных и требуют повышенного внимания к основанию обработки.

На уровне ответственности основным актом выступает КоАП РФ. Вопросы, связанные с нарушением законодательства о персональных данных, регулируются статьей 13.11 КоАП РФ. Конкретный состав зависит от характера нарушения: отсутствие правового основания, избыточный сбор сведений, непредоставление обязательной информации субъекту, несоблюдение требований к опубликованию политики обработки, нарушение обязанностей по обеспечению безопасности. Поэтому персональные данные в мобильном приложении нельзя оценивать по принципу «документ есть или документа нет». Один и тот же сервис может одновременно допускать несколько разных нарушений.

Согласие в приложении и правовые основания обработки

Одна из самых частых ошибок связана с тем, что согласие в приложении подменяет собой весь правовой анализ. Между тем статья 6 Закона № 152-ФЗ допускает обработку персональных данных не только на основании согласия, но и в иных случаях, прямо предусмотренных законом, например для исполнения договора, стороной которого является субъект данных. Это важно для мобильных сервисов электронной торговли, доставки, записи на услуги, банковского обслуживания или телемедицины. Если пользователь оформляет заказ, часть сведений действительно может обрабатываться как необходимая для исполнения договора. Но это не дает права бесконтрольно расширять объем собираемой информации.

Согласие в приложении требуется там, где выбранное действие не может быть обосновано иным законным основанием. Типичный пример, маркетинговые рассылки, рекламный профиль пользователя, передача сведений партнерам, использование геолокации вне минимально необходимой функции сервиса, доступ к контактам, фотографиям или микрофону при отсутствии прямой связи с услугой. Для таких случаев необходимо не просто формально получить согласие, а обеспечить его конкретность, информированность, сознательность и однозначность. Это следует из статьи 9 Закона № 152-ФЗ.

Практически это означает, что согласие в приложении не должно быть спрятано внутри общего текста пользовательского соглашения. Пользователь должен понимать, какие данные собираются, в каких целях, кому они могут передаваться, как долго хранятся и каким образом согласие можно отозвать. Отдельное значение имеет возможность доказать факт получения согласия. Для спора с пользователем или для ответа на запрос регулятора недостаточно утверждать, что интерфейс это предусматривал. Нужны логи, версии экранов, дата акцепта, идентификатор пользователя и связка конкретной редакции документа с моментом совершения действия.

• если обработка нужна для исполнения договора, это основание должно быть отделено от маркетинговых и дополнительных целей;
• если приложение запрашивает чувствительные разрешения устройства, цель доступа должна быть раскрыта до получения такого разрешения;
• если используются партнерские сервисы и внешняя аналитика, пользователь должен быть проинформирован об этом в понятной форме;
• если предусмотрен отзыв согласия, механизм отзыва не должен быть сложнее механизма его предоставления.

Когда проект работает с корпоративными клиентами, ситуация усложняется. В B2B-сегменте приложение может использоваться работниками контрагентов, курьерами, представителями поставщиков, соискателями, кандидатами на пропуск или лицами, действующими по доверенности. Здесь уже затрагиваются не только отношения с пользователем как потребителем, но и вопросы договорной ответственности между компаниями. В цифровых сервисах, встроенных в бизнес-процессы, нередко требуется комплексная юридическая поддержка бизнеса, чтобы правильно разделить обязанности оператора, подрядчика и заказчика данных.

Доступ приложения к данным: принцип минимизации и пределы допустимого сбора

С технической точки зрения приложение может запросить почти любую информацию, если пользователь нажмет кнопку согласия в интерфейсе операционной системы. Но доступ приложения к данным сам по себе не делает их сбор законным. Закон оценивает не возможность устройства, а необходимость обработки для заранее определенной и законной цели. Статья 5 Закона № 152-ФЗ требует, чтобы содержание и объем обрабатываемых данных соответствовали заявленным целям обработки, а сами данные не были избыточными.

Именно здесь у многих сервисов возникает системная проблема. Например, приложение службы доставки запрашивает постоянную геолокацию, хотя для оформления заказа достаточно однократного определения адреса. Маркетплейс пытается получить доступ к телефонной книге, хотя функция приглашения контактов не является обязательной для покупки товара. Медицинский сервис сохраняет изображения документов и медицинских заключений без четкого разграничения сроков хранения и цели последующего использования. Во всех таких случаях доступ приложения к данным должен проходить отдельную юридическую оценку, а не только проверку продуктовой команды.

Для владельца приложения важно учитывать не только то, что пользователь ввел вручную, но и метаданные: IP-адрес, идентификаторы устройства, cookie и иные сетевые идентификаторы, данные о действиях внутри интерфейса, технические журналы событий. В ряде случаев такие сведения также могут относиться к персональным данным, если позволяют идентифицировать пользователя прямо или в совокупности с другими сведениями. Персональные данные в мобильном приложении поэтому включают гораздо более широкий массив информации, чем кажется на первом этапе разработки.

С правовой точки зрения полезно заранее разделить сведения на несколько групп. Одни данные необходимы для основной функции сервиса. Другие нужны для безопасности и предотвращения злоупотреблений. Третьи используются для аналитики, персонализации и рекламы. Если это не сделать, приложение начинает жить по технической логике, а не по юридической. Потом именно это мешает подготовить корректные документы, объяснить Роскомнадзору модель обработки и доказать, что объем данных не был избыточным.

Политика конфиденциальности приложения и документы, которые должны работать в связке

Политика конфиденциальности приложения часто превращается в формальный текст, который копируют из чужих сервисов без понимания фактических процессов. Для оператора это одна из самых опасных ошибок. Документ должен описывать реальную модель обработки, а не абстрактные положения. Если политика не совпадает с тем, как сервис собирает и использует сведения, компания одновременно создает регуляторный риск и ослабляет свою позицию в споре с пользователем.

По статье 18.1 Закона № 152-ФЗ оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, а также к сведениям о реализуемых требованиях к защите персональных данных. Для мобильного сервиса этого недостаточно в виде ссылки где-то на сайте. Политика конфиденциальности приложения должна быть доступна внутри самого приложения или на этапе, когда пользователь фактически вступает во взаимодействие с сервисом и передает сведения.

При этом политика конфиденциальности приложения не заменяет собой иные документы. На практике обычно требуется несколько взаимосвязанных уровней регулирования. Внешний уровень, адресованный пользователю, объясняет, кто является оператором, какие данные и зачем обрабатываются, на каком основании, кому передаются и как реализуются права субъекта. Внутренний уровень включает локальные акты оператора: положение об обработке персональных данных, перечни мер защиты, правила доступа сотрудников, порядок реагирования на инциденты, документы о назначении ответственного за организацию обработки персональных данных. Если привлекаются подрядчики, добавляется договорное оформление поручения обработки.

Если приложение создано для сферы с повышенным контролем, например для медицины, страхования, логистики или образования, документарная часть требует особенно тщательной проверки. Здесь недостаточно разместить один универсальный текст. Нужна увязка условий пользования сервисом, модели идентификации клиента, хранения файлов, доступа сотрудников и внешних интеграций. В медицинских цифровых продуктах это часто пересекается с задачами, которые обычно решают медицинские юристы, когда анализируют не только 152-ФЗ, но и отраслевые требования к обращению с чувствительной информацией.

Передача данных через API, подрядчики и трансграничные вопросы

Во многих проектах ключевой риск скрыт не на экране регистрации, а в архитектуре обмена данными между системами. Передача данных через API происходит постоянно: мобильное приложение взаимодействует с backend, CRM, сервисом аналитики, платежной системой, платформой уведомлений, службой техподдержки, системой распознавания документов, сервисом карт и геолокации. Для бизнеса это обычная интеграция. Для юриста это цепочка возможных операций по передаче персональных данных, каждая из которых должна иметь правовое основание и быть описана в документах.

Если сторонний сервис действует строго по поручению оператора и не определяет собственные цели обработки, отношения должны быть оформлены по правилам части 3 статьи 6 Закона № 152-ФЗ. В договоре важно закрепить перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность, требования к безопасности и условия привлечения субподрядчиков. Если же внешний сервис использует сведения для собственных целей, это уже не простое поручение, а самостоятельная передача данных иному лицу, что меняет правовую конструкцию и требования к информированию пользователя.

Передача данных через API особенно чувствительна там, где используются иностранные облачные платформы, сторонние библиотеки аналитики и инструменты push-маркетинга. В таких случаях необходимо отдельно оценивать, происходит ли трансграничная передача персональных данных и соблюдаются ли требования статьи 12 Закона № 152-ФЗ. Для оператора имеет значение не только страна регистрации поставщика, но и то, где физически размещаются серверы, кто имеет доступ к сведениям и как именно организован обмен информацией.

На практике правовая проверка интеграций нередко выявляет две типовые ошибки. Первая, компания не знает полный перечень контрагентов, которые фактически получают данные из приложения. Вторая, техническая команда использует готовые модули и внешние сервисы без сверки с юридическими документами. В результате персональные данные в мобильном приложении обрабатываются по модели, которую сам оператор не может полно и последовательно описать. При проверке это создает серьезные сложности, поскольку регулятор оценивает не намерения бизнеса, а реальную схему обработки.

Какие ошибки чаще всего ухудшают позицию владельца приложения

Наиболее уязвима ситуация, когда юридические документы готовят уже после запуска продукта. Тогда в них пытаются задним числом описать процессы, которые сложились без учета закона. Обычно это приводит к расхождению между текстом документов, настройками интерфейса и серверной логикой. Персональные данные в мобильном приложении начинают регулироваться не системой, а фрагментами несвязанных между собой решений.

Нередко встречается и другая проблема: оператор считает, что если пользователь поставил галочку, значит любые действия с данными допустимы. Это неверно. Даже при наличии согласия сохраняются требования статьи 5 Закона № 152-ФЗ о соразмерности объема данных заявленным целям, точности, достаточности и недопустимости избыточности. Согласие не устраняет обязанности обеспечивать безопасность обработки, ограничивать круг допущенных лиц и актуализировать документы при изменении функционала сервиса.

В практической работе чаще всего повторяются несколько ошибок:

• владелец приложения не разделяет данные, необходимые для услуги, и данные, собираемые для маркетинга или аналитики;
• политика конфиденциальности приложения описывает один процесс, а интерфейс и серверная часть работают по другому сценарию;
• согласие в приложении объединяет сразу несколько целей без возможности отдельного выбора;
• передача данных через API подрядчикам не отражена в договорной документации и не раскрыта пользователю.

Есть и менее заметные, но не менее важные нарушения. Например, отсутствие процедуры ответа на запросы субъекта персональных данных, невозможность корректно удалить учетную запись и связанные сведения, отсутствие сроков хранения разных категорий данных, неполный учет тестовых и резервных копий, где также могут находиться пользовательские сведения. Персональные данные в мобильном приложении должны оцениваться как непрерывный процесс, а не как разовая настройка при релизе.

Как выстроить правовую модель до спора и проверки

Хорошая правовая модель начинается не с шаблонов документов, а с описания реальных потоков данных. Нужно понимать, какие сведения получает приложение, где они хранятся, кто к ним имеет доступ, кому они передаются, на каком основании и как долго используются. Без этого невозможно корректно подготовить ни согласия, ни политику, ни договоры с подрядчиками. Персональные данные в мобильном приложении требуют совместной работы юриста, product-менеджера, разработчика и специалиста по информационной безопасности.

Для бизнеса особенно полезен предварительный аудит цифрового продукта еще до масштабирования или запуска рекламной кампании. Когда приложение начинает быстро расти, число интеграций увеличивается, а вместе с ним растет и цена любой ошибки. Если сервис монетизируется через подписку, медицинские консультации, логистику, маркетплейс или обработку заявок от клиентов, последствия нарушений выходят за рамки административного штрафа. Появляются претензии партнеров, репутационные потери и риск блокирующих требований со стороны регулятора.

Юридическая работа в таких проектах обычно включает анализ основания обработки для каждой функции, проверку того, как оформлено согласие в приложении, оценку того, насколько правомерен доступ приложения к данным устройства, ревизию договоров с подрядчиками, проверку внутренних документов и порядок реагирования на инциденты. Если спор уже возник, важны цифровые доказательства: тексты редакций, журналы событий, скриншоты интерфейса, техническая документация, договорная переписка и сведения о конкретных интеграциях. Когда конфликт переходит в судебную стадию, может потребоваться сопровождение арбитражного спора, если претензии связаны с подрядчиком, заказчиком разработки или коммерческими потерями компании.

На практике наиболее устойчивую позицию получает тот владелец сервиса, который может показать логику обработки от цели до документа и от документа до технической реализации. Если политика конфиденциальности приложения соответствует реальному пользовательскому пути, если передача данных через API оформлена договорами и отражена в модели обработки, если согласие в приложении получено по тем целям, где оно действительно требуется, и если доступ приложения к данным ограничен необходимым объемом, спорная ситуация становится значительно управляемее.

Персональные данные в мобильном приложении нельзя рассматривать как второстепенный раздел пользовательского интерфейса. Для цифрового бизнеса это полноценная зона правовой ответственности, где пересекаются договорное право, комплаенс, информационная безопасность и административные риски. Чем раньше эта работа проводится на уровне архитектуры продукта и договоров с подрядчиками, тем меньше вероятность, что сервис придется срочно перестраивать после жалобы пользователя, претензии контрагента или запроса регулятора.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Персональные данные в мобильном приложении: требования 152-ФЗ для разработчиков и владельцев появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Как связан реестр нарушителей персональных данных с действующим регулированием

Правила обработки персональных данных в России закреплены прежде всего в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Именно этот закон определяет, кто является оператором персональных данных, на каких основаниях допускается обработка, какие меры защиты должны быть приняты, когда требуется согласие субъекта и в каких случаях оператор обязан уведомлять уполномоченный орган. Для большинства компаний ключевое значение имеют статьи 5, 6, 9, 18.1, 19 и 22 указанного закона.

Отдельный блок ответственности связан с КоАП РФ. Нарушения в сфере персональных данных влекут административную ответственность по статье 13.11 КоАП РФ, а при невыполнении законного предписания контролирующего органа может применяться статья 19.5 КоАП РФ. В зависимости от характера нарушения речь может идти о незаконной обработке данных, об отсутствии опубликованной политики оператора, о непредоставлении субъекту обязательной информации, о несоблюдении требований к хранению и защите данных. Именно результаты таких проверок и административных процедур на практике нередко приводят к ситуации, когда сведения о компании оказываются в публично значимом контуре контроля.

Реестр нарушителей персональных данных сам по себе не заменяет производство по делу об административном правонарушении и не отменяет необходимость доказать факт нарушения. Но включение в такой массив сведений обычно опирается на уже установленное нарушение, предписание, судебный акт или иной юридически значимый результат контроля. Для компании это означает важную вещь: спорить приходится не только с последствиями публикации информации, но и с тем правовым основанием, на котором она туда попала.

В корпоративной практике проблема особенно остра для групп компаний, франчайзинговых сетей, онлайн-сервисов, медицинских организаций, работодателей и подрядчиков, которые собирают значительный объем клиентских и кадровых данных. Там, где обработка встроена в бизнес-процесс, один эпизод нарушения может затронуть сразу несколько договорных потоков и повлиять на оценку системы внутреннего контроля. В таких случаях нередко требуется не разовая консультация, а постоянная правовая поддержка в формате абонентского юридического обслуживания, чтобы нарушения устранялись до проверки, а не после нее.

За что компанию могут включить в реестр нарушителей персональных данных

Содержательно речь почти всегда идет не об одном формальном дефекте, а о совокупности нарушений. Контролирующий орган оценивает, есть ли у оператора законное основание для обработки, соответствует ли цель обработки объему собираемых данных, уведомлен ли Роскомнадзор, если уведомление обязательно, утверждены ли обязательные локальные акты, соблюдены ли права субъектов персональных данных на доступ к информации и отзыв согласия.

Реестр нарушителей персональных данных становится реальным риском, когда нарушение уже нельзя объяснить технической неточностью. Например, компания собирает избыточные данные при заключении договора, передает их третьим лицам без надлежащего правового основания, не ограничивает доступ сотрудников к базам, хранит документы дольше необходимого срока или игнорирует запросы субъектов о предоставлении сведений об обработке. Еще один частый сюжет связан с сайтами и мобильными сервисами, где формы сбора данных не содержат корректного согласия, а политика обработки либо отсутствует, либо не соответствует фактическим процессам.

Для работодателей риск нередко возникает на стыке трудового и персонального законодательства. Кадровые службы работают с паспортными данными, сведениями о семье, образовании, здоровье, воинском учете, банковских реквизитах. Если порядок доступа к этим сведениям, сроки хранения и локальные акты оформлены с нарушениями, претензии могут последовать не только от работника, но и от надзорного органа. В такой ситуации полезен предварительный кадровый аудит, поскольку именно в кадровом контуре часто выявляются системные нарушения обработки персональных данных.

Нужно учитывать и то, что включение в реестр нарушителей может быть связано не только с активными действиями компании, но и с бездействием. Если оператор не исполняет ранее выданное предписание, не устраняет выявленные нарушения в установленный срок, не подтверждает принятые меры документально, это резко ухудшает его процессуальное положение. На этой стадии спор уже идет не о том, была ли допущена ошибка, а о том, продемонстрировала ли компания добросовестное поведение после вмешательства регулятора.

Какие последствия влечет включение в реестр нарушителей персональных данных

Для руководителя самый опасный просчет состоит в том, что реестр нарушителей персональных данных воспринимается как дополнительная неприятная запись, но не как фактор, влияющий на оборот. На практике последствия шире. Само включение в реестр нарушителей может повлиять на проверку контрагентом благонадежности компании, на переговоры о заключении договора, на внутренние процедуры комплаенса у заказчика, а в отдельных секторах и на доступ к чувствительным проектам.

Если бизнес работает по модели аутсорсинга, SaaS, медицинских услуг, HR-сервисов, электронной коммерции или маркетинговых платформ, контрагент обычно задает прямой вопрос о соблюдении правил обработки данных. Наличие сведений о нарушении ухудшает переговорную позицию, потому что заказчик оценивает не только цену услуги, но и риск передачи клиентской базы, жалоб субъектов данных и возможных претензий со стороны регулятора. Именно поэтому репутационные риски реестра нельзя считать абстрактными. Они выражаются в пересмотре договорных условий, усилении гарантий и заверений об обстоятельствах, запросах на аудит и более жесткой ответственности исполнителя.

Кроме того, реестр нарушителей персональных данных создает проблему для уже действующих договоров. Многие коммерческие соглашения содержат положения о соблюдении применимого законодательства, об обязанностях по защите конфиденциальной информации и о праве контрагента отказаться от договора при существенном нарушении требований права. Если нарушение обработки персональных данных подтверждено официально, в споре о расторжении или взыскании убытков эта информация может использоваться как доказательственный элемент. Когда конфликт переходит в плоскость суда, важна не только сама публикация сведений, но и вся административная история: акты проверки, предписания, переписка, объяснения, локальные документы. В подобных делах часто требуется сопровождение арбитражного спора, поскольку последствия затрагивают договорные обязательства и финансовые потери компании.

Нельзя исключать и внутренние корпоративные последствия. Если нарушение возникло из-за управленческих решений, отсутствия контроля или неисполнения обязанностей руководителем, участники общества могут поставить вопрос об убытках, о качестве корпоративного управления, о перераспределении полномочий по комплаенсу и внутреннему контролю. Для собственника это уже не узкий спор с регулятором, а вопрос о том, как выстроена ответственность внутри бизнеса.

• Административные санкции по КоАП РФ могут сопровождаться предписаниями об устранении нарушения и необходимостью срочно перестраивать процессы обработки данных.

• Контрагенты получают дополнительный повод требовать заверения, аудит безопасности, специальные условия о конфиденциальности и право на досрочное расторжение договора.

• Банки, инвесторы и крупные заказчики могут учитывать сведения о нарушении при оценке комплаенс-рисков компании.

• Руководству приходится доказывать собственникам, что нарушение не носит системный характер и не ставит под угрозу ключевые договоры.

Почему после попадания в реестр нарушителей персональных данных возрастает контроль

После того как нарушение зафиксировано официально, рассчитывать на нейтральное отношение регулятора уже не приходится. Одно из практических последствий состоит в том, что повышается вероятность дополнительного контроля за исполнением предписаний и фактическим устранением нарушений. По сути, повторные проверки после включения становятся вполне ожидаемым сценарием, особенно если первоначально выявленные проблемы носили системный характер.

Федеральный закон от 31.07.2020 № 248-ФЗ регулирует государственный контроль и надзор, включая профилактические и контрольные мероприятия. Для бизнеса это означает, что важно не только формально ответить на предписание, но и подтвердить документально, какие именно меры приняты, как они внедрены и работают ли в реальности. Простая подготовка новых шаблонов согласий задним числом обычно не решает проблему, если фактические процессы не изменены. Контролирующий орган оценивает не бумажную витрину, а соответствие документов реальной обработке данных.

Реестр нарушителей персональных данных усиливает внимание и со стороны самих субъектов данных. После публикации сведений возрастает вероятность жалоб, запросов о предоставлении информации, требований об удалении или уточнении данных, а также гражданско-правовых претензий. Если нарушение связано с разглашением, неправомерной передачей или недостаточной защитой данных, могут возникнуть требования о компенсации морального вреда на основании статьи 151 ГК РФ и статьи 1099 ГК РФ в зависимости от обстоятельств спора. Размер таких требований суд оценивает индивидуально, но сам спор уже создает дополнительные расходы и отвлекает управленческий ресурс.

Особенно внимательно к подобным эпизодам относятся компании, работающие в регулируемых отраслях. Для медицинских организаций, образовательных платформ, работодателей с большой численностью персонала и подрядчиков по государственным контрактам вопросы защиты данных давно являются частью обязательной проверки контрагента. Поэтому реестр нарушителей персональных данных может повлиять не только на отношения с надзорным органом, но и на коммерческую воронку компании на месяцы вперед.

Можно ли оспорить включение в реестр нарушителей персональных данных

Да, но правовая стратегия зависит от того, на каком основании сведения были внесены и какой акт или действие нужно обжаловать. Сама по себе запись в реестр нарушителей персональных данных обычно является следствием предшествующего решения, предписания, постановления по делу об административном правонарушении или иного акта контролирующего органа. Поэтому предмет спора нужно определять точно. Иногда необходимо обжаловать постановление о привлечении к административной ответственности, иногда предписание, а иногда действия или бездействие органа по внесению и сохранению сведений.

Если спор рассматривается арбитражным судом, применяются нормы главы 24 АПК РФ об оспаривании ненормативных актов, решений и действий государственных органов. По общему правилу заявление подается в течение трех месяцев со дня, когда организации стало известно о нарушении ее прав, если специальный срок не установлен законом. Для спора крайне важно показать не только формальные нарушения процедуры, но и то, каким образом спорный акт нарушает права и законные интересы заявителя в сфере предпринимательской и иной экономической деятельности.

Когда оспаривается административное постановление, значение имеют обстоятельства, перечисленные в КоАП РФ: наличие события правонарушения, вина юридического лица, соблюдение порядка возбуждения дела, допустимость и достаточность доказательств, сроки давности, полномочия должностного лица. По делам о персональных данных серьезное значение имеют локальные акты, журналы доступа, договоры поручения на обработку данных, тексты согласий, политика обработки персональных данных, уведомление в Роскомнадзор, переписка с субъектами и внутренние приказы о разграничении доступа.

Если включение в спорный массив сведений затрагивает интересы участников общества, директора или распределение ответственности между зависимыми структурами, к административному спору может добавиться корпоративный конфликт. Тогда анализ строится уже шире, с учетом полномочий органов управления, обязанностей руководителя и внутреннего распределения функций. В такой ситуации может потребоваться участие корпоративного юриста, потому что источник проблемы выходит за пределы одного контрольного эпизода.

Что влияет на исключение из реестра и почему формального ответа недостаточно

Исключение из реестра возможно не само по себе и не по факту направления письма о том, что нарушения больше не допускаются. Регулятор оценивает, устранены ли основания для сохранения сведений, отменен ли акт, послуживший основанием для внесения записи, исполнено ли предписание, представлены ли подтверждающие документы. Поэтому исключение из реестра требует точной юридической работы с первоисточником проблемы, а не только с ее внешним проявлением.

Если компания добилась отмены постановления или признания недействительным предписания, это создает правовую базу для корректировки сведений. Если нарушения действительно имели место, но были устранены, задача состоит в том, чтобы документально подтвердить изменения: обновленные локальные акты, корректные формы согласий, договоры с обработчиками, приказы о назначении ответственных лиц, правила доступа к информационным системам, доказательства уведомления субъектов при необходимости, документы об исполнении предписания. Само исключение из реестра в такой ситуации зависит от того, как именно нормативно оформлен порядок ведения соответствующих сведений и какие основания для удаления записи предусмотрены.

Реестр нарушителей персональных данных в этом смысле опасен тем, что многие компании начинают действовать слишком поздно. Пока юристы и внутренние службы обсуждают формулировки ответа, запись продолжает работать против бизнеса. Контрагенты проводят проверку здесь и сейчас, тендерные комиссии и службы безопасности оценивают доступные сведения без ожидания, что оператор исправит нарушения через несколько месяцев. Поэтому правовая позиция должна строиться параллельно в двух направлениях: спор по существу основания включения и фактическое устранение дефектов в процессах обработки данных.

Какие документы и доказательства определяют исход спора

В делах, где фигурирует реестр нарушителей персональных данных, судьбу спора редко решает один документ. Суд и контролирующий орган оценивают всю систему доказательств. Именно поэтому бесполезно ограничиваться общей ссылкой на то, что данные обрабатывались «в рамках договора» или что «согласие было получено». Необходимо показать конкретный правовой механизм обработки применительно к каждой категории данных и каждой цели.

Наиболее значимыми обычно становятся следующие группы документов.

• Локальные акты оператора: политика обработки персональных данных, положения о защите данных, приказы о назначении ответственных лиц, регламенты доступа к информационным системам.

• Документы, подтверждающие законность обработки: тексты согласий, договоры, пользовательские соглашения, формы заявлений, уведомления субъектов и, если требуется, уведомление в Роскомнадзор.

• Доказательства фактического исполнения требований закона: журналы доступа, переписка с субъектами, ответы на запросы, акты внутренней проверки, документы об устранении нарушений.

• Материалы контрольного дела: акт проверки, предписание, протокол, постановление, объяснения должностных лиц, приложения и доказательства, на которые ссылался орган.

Судебная перспектива зависит от того, можно ли проследить логическую связь между целью обработки, объемом данных, основанием обработки и реальными действиями компании. Если, например, организация запрашивает у клиента больше сведений, чем необходимо для исполнения договора, позиция заметно слабеет. Если данные передаются аффилированной структуре без прозрачного правового основания, спор осложняется еще и корпоративным контекстом. Тогда уже возникает вопрос не только о персональных данных, но и о качестве внутреннего управления рисками.

Реестр нарушителей персональных данных особенно чувствителен для компаний, чья деятельность строится на постоянном сборе и анализе клиентской информации. Для них спор о нарушении нельзя рассматривать в отрыве от бизнес-модели. Ошибка в одном процессе часто указывает на дефект архитектуры комплаенса в целом, а это уже влияет на оценку добросовестности оператора.

Зачем компании правовой аудит до и после спора

Когда сведения о нарушении уже появились, бизнес обычно пытается сосредоточиться на обжаловании. Но судебный или административный спор решает только часть задачи. Если не проверить все сопутствующие процессы, компания рискует вновь столкнуться с теми же претензиями через другой эпизод обработки данных. Поэтому после включения в реестр нарушителей персональных данных нужен не формальный пересмотр документов, а полноценный правовой аудит фактических операций с данными.

Такой аудит затрагивает договорную модель, сайт и формы сбора данных, кадровый контур, работу с подрядчиками, информационные системы, локальные акты, процедуру ответа на запросы субъектов и полномочия сотрудников. Цель здесь не в том, чтобы увеличить объем бумаг, а в том, чтобы привести документы в соответствие с реальными процессами. Иначе следующая проверка быстро выявит расхождение между внутренними положениями и фактической практикой.

Реестр нарушителей персональных данных показывает, что для регулятора компания уже относится к зоне повышенного внимания. По этой причине особенно важна связка между юристами, ответственными за персональные данные, кадровой службой, IT-подразделением и руководством. Нельзя поручить подготовку позиции только одному отделу. В противном случае часть рисков останется незамеченной: например, корректные согласия будут оформлены, но порядок разграничения доступа к базе не изменится, или предписание будет исполнено в одной компании группы, тогда как данные фактически передаются между несколькими юридическими лицами без достаточной договорной базы.

В практическом плане самая разумная позиция для бизнеса состоит в том, чтобы рассматривать защиту персональных данных как элемент общей системы правовой безопасности компании. Тогда и включение в реестр нарушителей воспринимается не как разовый репутационный эпизод, а как сигнал о необходимости пересмотреть процессы, которые уже затрагивают договоры, кадры, управление и отношения с контрагентами.

Если компания уже столкнулась с проверкой, получила предписание или оспаривает последствия контроля, важно быстро отделить формальные претензии от действительно опасных нарушений, оценить доказательства и определить, что нужно делать одновременно: обжаловать акт, устранять нарушения, готовить позицию для контрагентов и добиваться актуализации сведений. Именно так снижаются репутационные риски реестра, появляется реальная база для дальнейшего исключения из реестра, а повторные проверки после включения перестают быть для бизнеса неожиданностью.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Реестр нарушителей оборота персональных данных: последствия включения для компании появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Почему административное расследование утечки данных требует немедленной правовой реакции

Обязанности оператора персональных данных закреплены прежде всего в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Сам факт инцидента еще не означает автоматическое наличие состава правонарушения, но он почти всегда ставит под проверку законность обработки данных, достаточность мер защиты и полноту внутренних документов. Когда начинается административное расследование утечки данных, значение приобретает не общая готовность компании «сотрудничать», а способность подтвердить, что оператор исполнял требования закона, локальных актов и обязательных мер безопасности до инцидента, во время него и после выявления нарушения.

В зависимости от обстоятельств дело может затрагивать положения статьи 13.11 КоАП РФ, которая устанавливает ответственность за нарушения в сфере персональных данных. Если спор связан с неисполнением предписаний или непредставлением сведений в уполномоченный орган, могут иметь значение и иные составы КоАП РФ. Параллельно приходится учитывать положения Закона № 152-ФЗ о правовых основаниях обработки, принципах обработки персональных данных, обязанностях оператора и мерах по обеспечению безопасности персональных данных, а также требования подзаконного регулирования в сфере защиты информации.

На практике проверка по факту утечки нередко начинается с требования представить документы, пояснения и сведения об инциденте. Уже на этом этапе формируется доказательственная база, на которую затем будет опираться орган при составлении протокола и вынесении постановления. Поэтому первая реакция компании должна быть не декларативной, а документально выверенной: нужно определить объем скомпрометированных сведений, круг затронутых субъектов, источник инцидента, действовавшие на тот момент регламенты и фактические меры защиты.

Как строится административное расследование утечки данных и какие нормы здесь работают

Порядок производства по делам об административных правонарушениях установлен КоАП РФ. Для темы персональных данных особенно важны общие правила главы 28 КоАП РФ о возбуждении дела и административном расследовании, а также главы 29 КоАП РФ о рассмотрении дела. Если по делу проводится административное расследование, применяется статья 28.7 КоАП РФ. Она допускает проведение расследования по делам, где требуется экспертиза, процессуальные действия, выяснение обстоятельств и сбор значительного объема материалов. В делах об утечке это типичная ситуация, поскольку органу необходимо установить не только факт распространения сведений, но и способ их обработки, уровень доступа, роль подрядчиков, наличие согласий, уведомлений и организационно-технических мер.

Административное расследование утечки данных не сводится к одному запросу. Обычно орган анализирует внутренние положения оператора о персональных данных, приказы о назначении ответственных лиц, журналы доступа, договоры с обработчиками, политику обработки, согласия субъектов, документы по информационной безопасности, акты внутреннего расследования, переписку по устранению последствий инцидента. Для отдельных категорий операторов, в том числе медицинских организаций, значение имеют также отраслевые требования к информационным системам и режиму доступа к чувствительным сведениям; в таких ситуациях нередко требуется участие юриста по медицинским спорам и регулированию деятельности клиник, поскольку в деле переплетаются вопросы персональных данных, врачебной тайны и лицензионных обязанностей.

Важно понимать и пределы полномочий административного органа. Он обязан установить событие правонарушения, виновность конкретного лица, причинную связь между действиями оператора и нарушением требований закона, а также исследовать обстоятельства, исключающие производство по делу или смягчающие ответственность. Формальный подход вида «утечка произошла, значит оператор виновен» не соответствует КоАП РФ. Если нарушение возникло, например, из-за действий внешнего подрядчика, это не всегда освобождает оператора, но меняет содержание правовой оценки и круг доказательств.

Отдельное значение имеет вопрос подведомственности и последующего судебного контроля. Если постановление вынесено в отношении юридического лица или индивидуального предпринимателя в связи с предпринимательской и иной экономической деятельностью, спор об оспаривании чаще всего рассматривается арбитражным судом по правилам главы 25 АПК РФ. При этом для ненормативных актов, решений и действий органов в арбитражном процессе применяется также глава 24 АПК РФ, если предмет спора выходит за рамки одного только постановления по делу об административном правонарушении. Когда инцидент приводит к параллельным спорам с контрагентами, подрядчиками по ИТ-услугам или поставщиками систем защиты, может потребоваться комплексное ведение арбитражного спора, поскольку административная история быстро переходит в плоскость убытков и договорной ответственности.

Какие документы и доказательства определяют исход административного расследования утечки данных

В делах такого рода побеждает не тот, кто громче заявляет о добросовестности, а тот, кто может ее подтвердить. Административное расследование утечки данных почти всегда упирается в качество внутренней документации и в то, насколько она соответствует реальным процессам в компании. Если политика обработки персональных данных существует только «для сайта», а фактический доступ сотрудников, подрядчиков и администраторов не урегулирован, это быстро становится видно по материалам дела.

Критически важны документы, которые существовали до инцидента, а не были оформлены после получения запроса. К ним обычно относятся:

• локальные акты об обработке и защите персональных данных, включая политику, положения, регламенты доступа и приказы о назначении ответственных;
• договоры с лицами, которым поручена обработка персональных данных, а также условия о конфиденциальности, порядке доступа и распределении ответственности;
• материалы по информационной безопасности: схемы разграничения прав доступа, журналы событий, результаты внутренних проверок, сведения о применяемых средствах защиты;
• доказательства правовых оснований обработки, включая согласия субъектов, если именно согласие служило основанием, уведомления и формы взаимодействия с пользователями.

После инцидента появляются новые доказательства, и они не менее значимы. Сюда входят акты внутреннего расследования, переписка с подрядчиками, служебные записки ИТ-специалистов, протоколы ограничения доступа, документы об устранении уязвимости, уведомления субъектам данных, если их направление требовалось с учетом характера инцидента. Именно на этом этапе особенно важны объяснения оператора РКН. Плохо подготовленные пояснения часто содержат лишние признания, противоречат внутренним документам или формируют неверную причинно-следственную связь. Хорошо подготовленная позиция, напротив, помогает отделить сам факт инцидента от вопроса о наличии состава административного правонарушения.

В крупных организациях проблема усугубляется тем, что документы по персональным данным, ИБ, кадровому документообороту и договорной работе находятся в разных подразделениях. Из-за этого в ответ на запрос регулятора уходит неоднородный массив сведений с внутренними противоречиями. Для работодателей дополнительную роль играет состояние кадровых документов, доступ к персональным данным сотрудников и регламентация действий работников, поэтому предварительный кадровый аудит нередко снижает риск не только трудовых претензий, но и осложнений в спорах о законности обработки персональных данных.

Права оператора в ходе административного расследования утечки данных

Одна из частых ошибок бизнеса состоит в том, что общение с органом воспринимается как односторонняя процедура, где компания может лишь отвечать на вопросы. Это неверно. Административное расследование утечки данных проводится в рамках процессуального закона, а значит у лица, в отношении которого ведется производство, есть конкретные права. Их основа закреплена в КоАП РФ, прежде всего в статье 25.1, которая определяет права лица, привлекаемого к административной ответственности.

Оператор вправе знакомиться с материалами дела, давать объяснения, представлять доказательства, заявлять ходатайства и отводы, пользоваться юридической помощью защитника, участвовать в рассмотрении дела, а также обжаловать постановление. Эти права имеют практический смысл только тогда, когда ими пользуются своевременно. Если не заявить ходатайство о приобщении документов на стадии расследования, потом может оказаться, что дело рассмотрено без ключевых материалов. Если не обратить внимание на процессуальные нарушения при составлении протокола, в суде спор сместится с вопроса о процедуре на вопрос о размере санкции.

Административное расследование утечки данных часто сопровождается сбором объяснений и запросами документов в сжатые сроки. Здесь важно отличать содействие расследованию от самооговора. Оператор не обязан формулировать правовую квалификацию своих действий за орган или признавать нарушение там, где обстоятельства еще не установлены. Объяснения должны быть точными, основанными на документах и согласованными между юридической, ИТ- и управленческой функциями. Если источник инцидента не установлен, не стоит выдавать предположение за факт. Если последствия ограничены, это нужно подтверждать материалами внутреннего анализа, а не общими фразами.

Есть и процессуальные аспекты, которые нельзя игнорировать. Законность уведомления о составлении протокола, полномочия должностного лица, соблюдение сроков давности привлечения к ответственности, корректность описания события правонарушения, наличие сведений о месте, времени и способе совершения нарушения, оценка вины юридического лица по статье 2.1 КоАП РФ, все это влияет на устойчивость постановления. В ряде случаев защита строится не на отрицании инцидента, а на доказательстве того, что орган не установил обязательные элементы состава правонарушения.

Что ухудшает позицию оператора и как используется обжалование постановления РКН

Самые чувствительные ошибки возникают не в суде, а до него. Если компания сначала направляет в орган непроверенные сведения, затем исправляет их, а после оспаривает выводы регулятора, суд видит противоречивую позицию. Если внутренний акт расследования составлен формально и не раскрывает, какие меры защиты действовали на момент инцидента, он работает против оператора. Если в договорах с подрядчиками отсутствуют условия о поручении обработки или режиме конфиденциальности, спор осложняется вопросом о распределении ответственности между участниками обработки.

Отдельная проблема связана с попыткой «дописать» документы задним числом. В административных делах такие действия почти всегда обнаруживаются по дате утверждения, версиям файлов, переписке, журналам ознакомления сотрудников и косвенным признакам. Намного надежнее строить защиту на фактах, которые можно проверить: что было внедрено, какие регламенты действовали, кто имел доступ, как быстро оператор локализовал инцидент, какие меры принял для недопущения повторения.

Когда постановление уже вынесено, обжалование постановления РКН требует отдельной оценки. Во-первых, нужно определить надлежащий порядок и суд. Во-вторых, выбрать предмет оспаривания: спор может касаться события правонарушения, вины, доказанности объема утечки, процессуальных нарушений, вида санкции или отказа учесть смягчающие обстоятельства. В-третьих, необходимо проверить соблюдение сроков обжалования, поскольку пропуск срока без уважительных причин резко снижает шансы на пересмотр. Административное расследование утечки данных к этому моменту уже завершено, но именно материалы расследования становятся основным источником доказательств для суда.

В судебной практике по административным спорам существенное значение имеют не только материальные нормы Закона № 152-ФЗ, но и качество процедуры. Если орган не исследовал доводы компании, не оценил представленные документы, не устранил противоречия в материалах или неверно определил состав правонарушения, постановление может быть признано незаконным. Когда же доказательства нарушения в целом достаточны, защита часто смещается в плоскость соразмерности наказания и учета смягчающих обстоятельств.

Когда возможно снижение штрафа при утечке и что для этого действительно работает

Снижение штрафа при утечке не достигается ссылкой на абстрактную добросовестность. Для суда и административного органа значение имеют конкретные обстоятельства, которые подтверждены документально. КоАП РФ предусматривает учет характера совершенного правонарушения, имущественного положения, обстоятельств, смягчающих ответственность, а в предусмотренных законом случаях допускает назначение наказания ниже низшего предела либо замену санкции, если для этого есть правовые основания. Однако в каждом конкретном составе пределы усмотрения различаются, поэтому аргументацию нужно строить с учетом применимой санкции статьи 13.11 КоАП РФ в актуальной редакции.

Для оператора обычно имеют значение следующие обстоятельства:

• быстрое выявление инцидента и принятие мер по локализации доступа к данным;
• реальное устранение уязвимости и документальное подтверждение технических и организационных мер после инцидента;
• отсутствие умысла и наличие действовавшей до инцидента системы защиты, пусть и оказавшейся недостаточной;
• сотрудничество с органом в части представления достоверных сведений без сокрытия материалов дела.

Снижение штрафа при утечке возможно и тогда, когда орган преувеличивает масштаб последствий или неверно оценивает объем затронутых данных. Иногда в материалах смешиваются подтвержденный доступ к сведениям и гипотетическая возможность такого доступа. Для квалификации это принципиально разные вещи. Если оператор может доказать, что часть сведений не была раскрыта, не относилась к персональным данным в смысле закона или не была доступна третьим лицам, это влияет как минимум на оценку общественной опасности деяния.

Здесь же полезно оценить и гражданско-правовые последствия. Если утечка связана с действиями подрядчика по обслуживанию ИТ-инфраструктуры, после завершения административного спора может встать вопрос о взыскании убытков, распределении ответственности по договору, регрессе или пересмотре условий обслуживания. Для бизнеса такая работа обычно выходит за рамки разового ответа регулятору и переходит в формат регулярного юридического сопровождения компании, когда документы, договоры и процедуры приводятся в согласованное состояние, а не исправляются уже после инцидента.

Как оператору выстраивать защиту до, во время и после взаимодействия с регулятором

Хорошая защита в таких делах начинается задолго до первого запроса. Если компания обрабатывает клиентские базы, данные работников, сведения пользователей сайта, медицинскую информацию или большие массивы данных контрагентов, система комплаенса в сфере персональных данных должна быть связана с реальными бизнес-процессами. Политика, размещенная на сайте, не заменяет внутренние акты. Приказ о назначении ответственного не заменяет настройку доступа. Договор с ИТ-подрядчиком не заменяет юридически корректное распределение ролей при обработке данных.

Когда административное расследование утечки данных уже началось, ключевая задача состоит в том, чтобы выстроить единую доказательственную позицию. Она должна отвечать на несколько вопросов. Какие персональные данные обрабатывались и на каком основании. Кто и в каком объеме имел доступ. Какие меры защиты действовали на дату инцидента. Что именно произошло по данным внутреннего анализа. Какие меры были приняты сразу после выявления события. Какой объем сведений подтвержден, а какой лишь предполагается. Без такой структуры даже добросовестный оператор начинает давать разрозненные объяснения, которые затем используются против него.

Административное расследование утечки данных редко ограничивается одним подразделением компании. Юристу приходится сопоставлять внутренние акты, ИТ-логи, кадровые документы, договоры с контрагентами, переписку с регулятором и содержание публичных уведомлений. В этом и состоит практическая ценность правового сопровождения: не в «общем совете обратиться к специалисту», а в проверке состава доказательств, процессуальной позиции и рисков дальнейшего спора.

Если дело дошло до стадии, когда требуется обжалование постановления РКН, правовая работа становится еще точнее. Нужно определить, какие доводы способны изменить исход спора, а какие только перегружают позицию. Иногда основной упор делается на отсутствие события правонарушения или вины. Иногда на процессуальные нарушения при расследовании и рассмотрении дела. Иногда рациональнее добиваться смягчения ответственности, если материалы в целом подтверждают нарушение, но не учитывают смягчающие обстоятельства. Точно так же снижение штрафа при утечке зависит не от объема возражений, а от качества доказательств и юридической логики.

Для бизнеса последствия утечки нередко оказываются шире административного дела. Возникают вопросы к подрядчикам, меняются условия договоров, усиливаются требования к допуску сотрудников, пересматриваются формы согласий и уведомлений, корректируются внутренние регламенты. Поэтому административное расследование утечки данных следует рассматривать как точку, в которой проверяется не только один эпизод, но и зрелость всей системы обработки персональных данных. Чем раньше оператор выстроит доказуемую и непротиворечивую модель обработки, тем устойчивее будет его позиция перед регулятором и в суде.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Административное расследование по факту утечки персональных данных: порядок и права оператора появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Почему персональные данные несовершеннолетних требуют отдельного правового режима

Базовые правила закреплены в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Этот закон не выделяет детей в полностью автономный правовой блок, но на практике именно персональные данные несовершеннолетних требуют специальной настройки процессов обработки. Причина понятна: ребенок не всегда может самостоятельно и осознанно выразить волю на предоставление сведений, а последствия раскрытия информации для него часто серьезнее, чем для взрослого.

Правовое значение имеют не только фамилия, имя, дата рождения и адрес. К персональным данным относятся фото, видеозаписи, голос, сведения об обучении, здоровье, диагнозах, посещаемости, геолокации, составе семьи, аккаунтах в цифровых сервисах. Если оператор собирает данные для кружка, клиники, частной школы, мобильного приложения или программы лояльности, персональные данные несовершеннолетних должны обрабатываться с учетом цели, достаточности и законного основания, как того требуют статья 5 и статья 6 Закона № 152-ФЗ.

Особую сложность создают ситуации, когда сведения о ребенке используются не в одном процессе, а сразу в нескольких. Например, школа или спортивная организация оформляет договор, ведет электронный журнал, публикует фотоотчеты, использует мессенджеры для связи с родителями, передает данные в медицинский блок или подрядчику по ИТ-обслуживанию. В таких случаях проблема редко сводится к одному согласию. Нужно проверять всю цепочку обработки, включая локальные акты, формы уведомлений и договоры с третьими лицами. Для компаний, которым требуется постоянная правовая настройка внутренних процессов, это часто становится частью абонентского юридического обслуживания, потому что исправлять последствия после жалобы обычно дороже, чем выстроить систему заранее.

В 2026 году персональные данные несовершеннолетних будут оцениваться контролирующими органами не изолированно, а в контексте цифровой среды. Если организация использует сайт, приложение, CRM, облачные сервисы, формы онлайн-регистрации или внешние платформы, ей недостаточно формально получить подпись родителя. Требуется подтвердить, что обработка действительно ограничена заявленной целью, а ребенок не вовлекается в избыточное раскрытие сведений.

На каком основании допускается обработка данных детей

Законность обработки зависит от того, на каком основании оператор получает и использует сведения. Статья 6 Закона № 152-ФЗ допускает обработку при наличии согласия субъекта персональных данных, для исполнения договора, стороной которого является субъект, а также в иных случаях, прямо предусмотренных законом. Но когда речь идет о детях, обычная логика «получили данные для оказания услуги и этого достаточно» часто не работает в чистом виде.

Если договор заключает родитель, а услуга оказывается ребенку, нужно отдельно оценивать, какое именно основание покрывает конкретное действие. Например, сведения, необходимые для записи в секцию или школу, могут обрабатываться в рамках исполнения договора или исполнения обязанностей, установленных законом. Но публикация фотографий с мероприятия, рассылка рекламных предложений, размещение отзыва с именем ребенка или передача данных внешнему маркетинговому сервису почти всегда требуют самостоятельной правовой оценки, а нередко и отдельного волеизъявления.

Именно поэтому персональные данные несовершеннолетних нельзя собирать «с запасом». Принцип соразмерности закреплен в статье 5 Закона № 152-ФЗ. Оператор обязан ограничиться тем объемом сведений, который действительно нужен для конкретной и заранее определенной цели. Если анкета содержит поля о месте работы родителей, семейном положении, страницах в соцсетях, медицинских ограничениях и фото, а услуга этого не требует, такая практика создает спорную зону даже при наличии подписанного бланка.

Отдельный вопрос представляет обработка специальных категорий данных, прежде всего сведений о здоровье. Для медицинских организаций, образовательных учреждений и спортивных структур это особенно чувствительно. Статья 10 Закона № 152-ФЗ устанавливает повышенные требования к обработке специальных категорий персональных данных. Если организация работает на стыке образовательных и медицинских процессов, правовая оценка должна учитывать не только Закон № 152-ФЗ, но и профильные нормы о врачебной тайне, охране здоровья граждан и правах родителей. В медицинской сфере ошибки в документах и маршрутах передачи информации нередко выходят за рамки обычного спора о согласии, поэтому правовая поддержка медицинских юристов бывает необходима уже на этапе настройки внутренних регламентов.

Согласие законного представителя и возраст ребенка

На практике центральный вопрос звучит так: кто именно вправе разрешить обработку сведений о ребенке. В большинстве случаев требуется согласие законного представителя. К таким представителям относятся родители, усыновители, опекуны или попечители в пределах их полномочий. Формально закон о персональных данных не содержит единой статьи, которая исчерпывающе описывает все возрастные пороги именно для цифрового согласия ребенка, поэтому правовая оценка строится с учетом гражданской дееспособности несовершеннолетнего, характера услуги и содержания конкретного действия по обработке.

Согласие законного представителя особенно важно там, где оператор не может обосновать обработку иным достаточным основанием. Это касается публикации изображений, участия ребенка в рекламных или публичных материалах, использования биометрических решений, подключения к внешним платформам, сбора расширенной аналитики в приложении. Если организация полагается на согласие, оно должно быть конкретным, информированным и сознательным. Такое требование следует из статьи 9 Закона № 152-ФЗ.

Возрастные ограничения согласия нельзя сводить к одной универсальной цифре для любых ситуаций. В гражданском праве объем дееспособности несовершеннолетнего зависит от возраста и характера сделки. Поэтому в одних случаях допустимо учитывать самостоятельные действия подростка, а в других согласие законного представителя остается обязательным. Ошибкой будет автоматическое допущение, что регистрация ребенка на сайте сама по себе подтверждает действительность согласия на все дальнейшие действия оператора.

Для оператора важен не только подписанный документ, но и подтверждение полномочий лица, которое его подписало. Если сведения собираются онлайн, нужно заранее решить, как будет проверяться связь между ребенком и взрослым: через договор, документы при очном оформлении, электронную идентификацию, подтверждение через личный кабинет или иные допустимые механизмы. Без этого персональные данные несовершеннолетних оказываются в уязвимой зоне, потому что впоследствии сложно доказать, что согласие законного представителя было получено от надлежащего лица.

Сама форма согласия также имеет значение. В ней обычно должны быть отражены оператор, цель обработки, перечень данных, действия с ними, срок, порядок отзыва и сведения о лицах, которым информация может передаваться. Если один бланк объединяет договор, маркетинг, публикацию фото, передачу данных подрядчикам и согласие на информационные рассылки, такой документ часто становится слабым доказательством осознанного волеизъявления. Персональные данные несовершеннолетних лучше «разделять» по целям, а не объединять в общий текст на две строки.

Где бизнес чаще всего нарушает правила о персональных данных несовершеннолетних

Наиболее частые нарушения возникают не в момент первичного сбора, а позже, когда сведения начинают использоваться шире исходной цели. Организация получает документы для оказания услуги, а затем публикует список участников, выкладывает фото в открытый доступ, передает контакты подрядчику по рассылке, хранит сканы дольше необходимого срока или просит избыточные медицинские сведения. Формально это выглядит как обычная операционная деятельность, но с точки зрения закона каждое такое действие должно иметь самостоятельное основание.

Персональные данные несовершеннолетних нередко становятся предметом претензий из-за слабой документации. В политике обработки персональных данных указываются общие формулировки, а реальные процессы им не соответствуют. На сайте размещена одна цель обработки, в согласии другая, в договоре третья, а подрядчик получает доступ к данным вообще без должных условий конфиденциальности и поручения на обработку. Для контролирующего органа это признак того, что оператор не управляет процессом должным образом.

Отдельный риск связан с фото и видео. Здесь одновременно могут применяться нормы о персональных данных и правила статьи 152.1 ГК РФ об охране изображения гражданина. Если ребенок участвует в публичном мероприятии, это не означает автоматического права оператора размещать фото в рекламе, на сайте или в соцсетях без отдельной правовой оценки. Когда речь идет о ребенке, конфликт с родителями обычно развивается быстро, а удаление материала после претензии не всегда устраняет уже возникшие последствия.

Еще одна проблемная зона касается кадровых и образовательных организаций, где обработка данных детей пересекается с трудовыми процессами. Например, частный детский центр, школа, спортивный клуб или медицинская организация работают через администраторов, педагогов, тренеров и врачей, имеющих доступ к массиву сведений. Если внутренние регламенты, согласия, журналы доступа и правила хранения оформлены поверхностно, риски при работе с данными детей становятся не абстрактными, а вполне предметными. В таких ситуациях полезен предварительный кадровый аудит, особенно если персонал регулярно взаимодействует с анкетами, медсправками, фотоархивом и электронными системами учета.

• сбор сведений, которые не нужны для договора или обязательной функции организации;
• использование одного общего согласия для несовместимых целей обработки;
• передача информации подрядчикам без надлежащего оформления поручения и мер защиты;
• публикация изображений и историй о ребенке без ясного и проверяемого правового основания.

Эти ошибки опасны не только административными последствиями. Они ухудшают позицию оператора в споре с родителями, создают доказательства системного нарушения и повышают риск предписаний по изменению внутренних процессов.

Документы, которые подтверждают законность обработки

Когда проверяется персональные данные несовершеннолетних, оцениваются не декларации оператора, а связка документов и фактических действий. Если компания утверждает, что все делает правомерно, но не может показать, на каком основании собирает конкретное поле анкеты, кто имеет доступ к сведениям, зачем хранятся копии документов и кому передаются базы, ее позиция быстро ослабевает.

Минимальный набор зависит от сферы деятельности, но обычно анализируются политика обработки персональных данных, локальные акты о порядке доступа и хранения, формы согласий, договоры с клиентами, поручения на обработку третьим лицам, инструкции сотрудников, сведения о мерах защиты информации и порядок реагирования на запросы субъектов данных. Если организация обязана направлять уведомление в Роскомнадзор как оператор персональных данных, проверяется и этот блок обязанностей.

Ниже приведена укрупненная схема того, какие документы чаще всего имеют значение, когда персональные данные несовершеннолетних становятся предметом внутренней проверки или внешней претензии.

Если речь идет о цифровом сервисе, к этому набору добавляются пользовательские сценарии на сайте или в приложении. Суд и надзорный орган оценивают не только текст документов, но и то, как именно пользователь проходит регистрацию, какие галочки уже проставлены, какие поля обязательны, можно ли отказаться от маркетинга без отказа от основной услуги, получает ли родитель отдельное уведомление. Для онлайн-бизнеса персональные данные несовершеннолетних особенно чувствительны именно из-за этого разрыва между «бумагой» и интерфейсом.

Ответственность и спорные ситуации в 2026 году

Административная ответственность в сфере персональных данных предусмотрена статьей 13.11 КоАП РФ. Составов там несколько, и они зависят от характера нарушения: отсутствие законного основания, незаконная обработка, непредоставление информации субъекту, нарушение обязанностей по опубликованию политики, обработка, несовместимая с заявленной целью, и другие случаи. Размер санкции определяется по конкретному составу и статусу нарушителя, поэтому указывать его без привязки к обстоятельствам некорректно. Но сам факт того, что спор касается ребенка, обычно делает проверку более детальной и принципиальной.

Помимо КоАП, возможны гражданско-правовые требования. Родители могут заявлять о прекращении нарушения, удалении информации, компенсации морального вреда, защите изображения ребенка, а в ряде случаев и об оспаривании действий оператора как нарушающих личные неимущественные права. Если персональные данные несовершеннолетних использовались в публичной коммуникации, конфликт может выйти за пределы чисто документарного спора и повлиять на деловую репутацию организации.

Существенную роль играет и обязанность оператора отвечать на обращения субъекта персональных данных или его представителя. Закон № 152-ФЗ предусматривает право получать сведения об обработке, требовать уточнения, блокирования или уничтожения данных при наличии оснований. Когда оператор игнорирует запрос, отвечает формально или не может идентифицировать, где именно находятся сведения ребенка, это ухудшает его положение и в административном, и в судебном споре.

Если конфликт связан с договором, убытками или последствиями ненадлежащего оказания услуги, персональные данные несовершеннолетних могут стать лишь частью более широкого разбирательства. Например, претензия к образовательному проекту или частной клинике способна затронуть одновременно законность обработки данных, качество услуги, содержание договора и репутационные потери. В сложных спорах с имущественной составляющей нередко требуется сопровождение арбитражного спора, если участником дела выступает организация или предприниматель и предмет выходит за рамки одного административного эпизода.

Как выстроить законную обработку данных детей без формального подхода

Рабочая модель начинается не с шаблонного согласия, а с карты процессов. Оператор должен понимать, какие сведения о ребенке он получает, на каком основании, где они хранятся, кто имеет к ним доступ, кому они передаются и когда подлежат уничтожению. Только после этого оформляются документы. Иначе согласие законного представителя превращается в формальность, которая не закрывает реальные риски.

Обработка данных детей должна быть разделена по целям. Один массив сведений нужен для договора и идентификации, другой для медицинского допуска, третий для публикации материалов, четвертый для информационной рассылки. Когда все смешано в один поток, персональные данные несовершеннолетних начинают использоваться шире, чем это действительно требуется, а доказать обратное потом сложно.

Особое внимание в 2026 году стоит уделять онлайн-каналам. Если организация принимает заявки через сайт, чат-бот, форму в соцсети или мобильное приложение, возрастные ограничения согласия должны быть учтены прямо в пользовательском сценарии. Недостаточно просто написать, что пользователь подтверждает наличие полномочий. Нужно продумать, какие механизмы верификации и уведомления реально работают в конкретной модели сервиса, а какие существуют только на бумаге.

• разграничить обязательные данные и сведения, которые собираются только при отдельном согласии;
• проверить, не используются ли фото, видео и отзывы детей за пределами первоначальной цели;
• оформить отношения с подрядчиками через поручение на обработку и условия конфиденциальности;
• обновить локальные акты так, чтобы они совпадали с фактическими действиями сотрудников и интерфейсами цифровых сервисов.

Именно здесь чаще всего проявляются риски при работе с данными детей. Нарушение возникает не из-за отсутствия красивой формы, а из-за расхождения между реальной операционной практикой и юридическим основанием. Когда этот разрыв устранен, претензионная и проверочная устойчивость организации заметно повышается.

Что дает юридическая проверка до жалобы или проверки Роскомнадзора

Проблемы с персональными данными редко начинаются с внезапной санкции. Обычно им предшествуют жалобы родителей, конфликтное удаление публикаций, спор из-за отзыва согласия, претензии к сайту или внутренние сомнения сотрудников, которые не понимают, какие сведения можно запрашивать и кому их передавать. Если провести правовой аудит заранее, слабые места становятся видны до того, как оператор окажется в позиции оправдывающейся стороны.

Юридическая проверка в такой теме не сводится к чтению политики на сайте. Анализируется вся цепочка: договорная база, формы записи, бумажные и электронные согласия, переписка с родителями, доступ сотрудников, правила хранения, публикация материалов, отношения с подрядчиками, ответы на запросы субъектов данных, а в отдельных сферах и специальные требования отраслевого регулирования. Когда персональные данные несовершеннолетних являются частью бизнес-процесса, правовая работа должна охватывать и документы, и фактическую практику.

Для бизнеса это не отвлеченная формальность. Обработка данных детей напрямую влияет на устойчивость договоров, на возможность защиты при претензиях, на репутацию организации и на издержки при проверках. Если спор уже возник, задача юриста меняется: нужно установить законное основание каждого действия, оценить достаточность согласия, проверить полномочия представителя, выделить спорные эпизоды передачи информации и выстроить доказательственную позицию.

Персональные данные несовершеннолетних в 2026 году остаются зоной повышенного внимания для тех, кто работает с детьми офлайн и в цифровой среде. Чем раньше организация отделит действительно необходимые процессы от лишнего сбора сведений, тем меньше вероятность, что обычная операционная практика превратится в административный или судебный спор. В этой категории вопросов аккуратность важнее формального объема документов, а правовой смысл важнее шаблона.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Персональные данные несовершеннолетних: особые требования закона в 2026 году появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» строится на простой логике: оператор отвечает за законность целей обработки, состав данных, основания обработки и за то, кому эти данные передаются. Если обработка поручается третьему лицу, применяется часть 3 статьи 6 Закона № 152-ФЗ. Она допускает поручение обработки персональных данных другому лицу, но требует, чтобы такое поручение было оформлено актом оператора либо договором, а сам обработчик соблюдал принципы и правила обработки, требования к конфиденциальности и безопасности данных. На практике это означает, что проверка контрагента на 152-ФЗ должна предшествовать согласованию договора, а не проводиться постфактум, когда информация уже передана.

Почему проверка контрагента на 152-ФЗ влияет не только на комплаенс, но и на деньги

В деловом обороте до сих пор встречается опасная ошибка: стороны обсуждают цену, сроки, SLA, ответственность за просрочку, но почти не анализируют режим персональных данных. В результате в договор попадает общее упоминание о конфиденциальности, хотя фактически подрядчик получает доступ к базам клиентов, кандидатам на вакансии, медицинским сведениям работников, паспортным данным представителей или данным пользователей сайта. В такой ситуации проверка контрагента на 152-ФЗ нужна не ради «бумажного соответствия», а ради ответа на конкретный вопрос: можно ли вообще передавать этому лицу такой массив информации и на каких условиях.

Риск здесь многослойный. Во-первых, оператор может столкнуться с административной ответственностью за нарушения порядка обработки и защиты персональных данных. Во-вторых, ненадежный подрядчик создает гражданско-правовые последствия: утечка, спор о пределах поручения, претензии клиентов, расходы на уведомления и внутреннее расследование. В-третьих, дефекты в оформлении передачи данных осложняют судебную защиту, потому что компания не всегда может доказать, какие именно действия были поручены, какие меры безопасности были согласованы и где заканчивается зона ответственности оператора.

Особенно заметны эти риски там, где персональные данные являются частью основного процесса: в HR, медицине, e-commerce, логистике, образовании, маркетинге, финансовом сервисе. Для бизнеса, который регулярно передает базы сотрудников и кандидатов внешним исполнителям, полезен предварительный кадровый аудит, потому что он помогает установить, какие именно документы компании уже создают риск при взаимодействии с подрядчиками.

Если спор все же возникает, суд оценивает не абстрактную добросовестность сторон, а конкретные документы: договор, приложения, поручение обработки персональных данных, переписку, технические регламенты, акты, политику обработки, локальные акты, сведения о мерах защиты. Поэтому проверка контрагента на 152-ФЗ прямо связана с последующей доказательственной базой. Там, где ее не было, стороны обычно вынуждены восполнять пробелы объяснениями, а это всегда слабее текста договора и первичных документов.

Что именно требует закон при передаче данных обработчику

Ключевая норма для договорной модели содержится в части 3 статьи 6 Закона № 152-ФЗ. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора либо иного акта. При этом лицо, осуществляющее обработку по поручению оператора, не обязано получать согласие субъекта на обработку, но обязано соблюдать принципы и правила, предусмотренные законом. Из этого следует важный практический вывод: сам по себе гражданско-правовой договор услуг еще не заменяет полноценного правового режима обработки.

В договорной конструкции должны быть определены перечень персональных данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность, требования к защите данных по статье 19 Закона № 152-ФЗ, а также требования к обеспечению безопасности при их обработке. Обычно эти условия включают в текст основного договора, отдельное приложение или самостоятельный договор с обработчиком данных. Выбор формы не так важен, как полнота условий и их исполнимость.

Кроме Закона № 152-ФЗ, нужно учитывать подзаконные акты о защите персональных данных, в том числе постановление Правительства РФ № 1119 о требованиях к защите персональных данных при их обработке в информационных системах персональных данных. В ряде случаев имеют значение и приказы ФСТЭК России о мерах защиты информации. Если подрядчик подключается к информационной системе, хранит массивы данных или получает удаленный доступ, проверка контрагента на 152-ФЗ уже не может ограничиваться декларацией «мы соблюдаем закон». Здесь необходим анализ организационных и технических мер.

На практике поручение обработки персональных данных часто смешивают с простой передачей сведений для самостоятельных целей контрагента. Это принципиально разные режимы. Если подрядчик действует строго в интересах оператора и в пределах его задания, речь идет о поручении. Если же контрагент сам определяет цели и способы обработки в пределах собственной деятельности, он может выступать самостоятельным оператором. Ошибка в квалификации ведет к неправильному распределению обязанностей по уведомлениям, согласию, локальным актам и договорной ответственности.

Как выглядит реальная проверка контрагента на 152-ФЗ до подписания договора

Юридически содержательная проверка контрагента на 152-ФЗ начинается не с запроса «пришлите политику», а с описания будущего обмена данными. Нужно понять, какие категории персональных данных передаются, какова цель, будет ли трансграничная передача, есть ли специальные категории данных по статье 10 Закона № 152-ФЗ, возможна ли обработка биометрических персональных данных по статье 11, где физически размещаются системы, кто получает доступ и допускается ли привлечение субподрядчиков. Без этой картины невозможно оценить достаточность договорной конструкции.

После этого обычно запрашивают и анализируют документы и сведения, которые показывают не только наличие формального комплаенса, но и способность исполнять обязательства. Аудит контрагента по ПДн полезен именно тогда, когда из него можно сделать вывод о реальном уровне правового и организационного контроля, а не только о наборе шаблонных документов на сайте.

• политику в отношении обработки персональных данных и внутренние документы, определяющие порядок доступа, хранения и удаления данных;
• сведения о назначении ответственного за организацию обработки персональных данных, если такой функционал закреплен внутренними актами;
• описание мер защиты данных, порядка реагирования на инциденты и режима работы с запросами субъектов персональных данных;
• информацию о привлекаемых третьих лицах, дата-центрах, облачных провайдерах и о наличии договорных ограничений на субобработку;
• проект договорных условий о конфиденциальности, безопасности, возврате или уничтожении данных после завершения услуг.

В этом анализе важны не только документы как таковые, но и их взаимная согласованность. Если политика контрагента говорит об одном, договор предусматривает другое, а техническая схема передачи данных третьим лицам вообще не отражена, проверка контрагента на 152-ФЗ должна заканчиваться не подписанием договора, а доработкой модели взаимодействия. Иначе оператор сознательно входит в сделку с уже сформированным нарушением.

Для компаний, которые регулярно заключают подобные договоры с подрядчиками по маркетингу, IT, CRM, кадровому сопровождению и call-центрам, разумно не проводить каждую проверку с нуля, а встроить ее в постоянное абонентское юридическое обслуживание. Это позволяет унифицировать опросники, договорные блоки и критерии допуска контрагентов к данным.

Какие условия должен содержать договор с обработчиком данных

Самая частая проблема в том, что договор с обработчиком данных сводят к одной-двум общим фразам о неразглашении. Для режима персональных данных этого недостаточно. Конфиденциальность и обработка данных не совпадают по содержанию. Даже если исполнитель не разглашает сведения посторонним, он все равно может нарушать закон, обрабатывая избыточный объем данных, храня их дольше согласованного срока, привлекая неуполномоченных лиц или используя информацию для собственных целей.

Хороший договор с обработчиком данных фиксирует предмет поручения так, чтобы потом его можно было проверить и в переговорах, и при инциденте, и в суде. Именно здесь проверка контрагента на 152-ФЗ переходит из стадии due diligence в стадию распределения рисков. В тексте должны быть определены категории субъектов, перечень данных, действия с ними, цели, сроки, требования к защите, порядок возврата и уничтожения, пределы доступа работников контрагента, правила использования журналов доступа и последствия нарушения.

Отдельного внимания заслуживает порядок привлечения третьих лиц. Если подрядчик вправе передать часть функций другому исполнителю, это нужно прямо регулировать. Иначе оператор узнает о фактической субобработке уже после утечки или жалобы субъекта данных. В таких договорах должна быть решена ответственность за субподрядчика, включая обязанность получать предварительное согласование на привлечение новых лиц, обязанность передавать им только необходимый объем данных и обязанность обеспечивать не менее строгий режим защиты, чем установлен в основном договоре.

Обычно в договор с обработчиком данных включают несколько обязательных блоков, без которых передача данных становится юридически уязвимой.

• Пределы поручения: какие данные передаются, для каких целей и какие действия разрешены исполнителю.
• Режим безопасности: организационные и технические меры, уведомление об инцидентах, порядок расследования и сроки информирования оператора.
• Субобработка: условия привлечения третьих лиц, ответственность за субподрядчика и документы, подтверждающие соблюдение требований этими лицами.
• Завершение обработки: возврат, обезличивание или уничтожение данных, оформление подтверждающих документов.

В более сложных проектах имеет смысл оформлять не только договор с обработчиком данных, но и приложение с матрицей потоков данных, где видно, какие данные и по каким каналам передаются. Такой документ не заменяет договор, но существенно упрощает контроль исполнения и доказывание фактического объема поручения.

Ошибки при передаче данных контрагенту, которые особенно опасны в споре и при проверке

Даже компании, которые формально учитывают Закон № 152-ФЗ, часто допускают ошибки, которые становятся заметны лишь после конфликта. Наиболее распространена ситуация, когда проверка контрагента на 152-ФЗ сводится к получению ссылки на политику на сайте. Для оценки этого недостаточно. Политика адресована неопределенному кругу лиц и не раскрывает, как именно контрагент будет обрабатывать данные в вашем проекте, будет ли использовать зарубежную инфраструктуру, как ограничит доступ сотрудников и кому передаст функции на аутсорсинг.

Вторая типичная ошибка связана с неопределенным предметом поручения. В договоре пишут, что исполнитель вправе «обрабатывать персональные данные в объеме, необходимом для оказания услуг», но не конкретизируют ни перечень данных, ни состав операций, ни срок хранения. Такая формула удобна только до первого спора. Когда потребуется доказать превышение полномочий, оператор обнаружит, что сам согласовал слишком широкое усмотрение исполнителя.

Третья ошибка касается субподрядных отношений. В IT, маркетинге и логистике реальное исполнение часто распределено между несколькими участниками. Если оператор не выяснил это заранее, поручение обработки персональных данных фактически оказывается переданным по цепочке без понятного договорного контура. Именно поэтому ответственность за субподрядчика нельзя оставлять на уровне общей отсылки к гражданскому законодательству. Ее нужно прописывать предметно: порядок согласования, обязанность раскрытия цепочки исполнителей, последствия нарушения и право оператора на отказ от передачи данных.

Отдельный блок проблем связан с доказательствами. При проверках и спорах значение имеют не только договор и приложение, но и подтверждение реального исполнения: акты, логи, распоряжения о доступе, переписка по инцидентам, подтверждение удаления данных, внутренние приказы. Если проект перерастает в конфликт о нарушении обязательств, может понадобиться сопровождение арбитражного спора, где решающим становится не общий уровень благонадежности контрагента, а качество зафиксированных договорных условий и доказательств их нарушения.

Как соотносятся договор, согласие субъекта и внутренние документы оператора

Проверка контрагента на 152-ФЗ будет неполной, если оценивать только сторону исполнителя. Оператор должен убедиться, что у него самого есть законное основание для передачи данных. В зависимости от модели работы таким основанием может быть согласие субъекта персональных данных, необходимость исполнения договора с субъектом, исполнение обязанностей, возложенных законом, либо иные основания, предусмотренные статьей 6 Закона № 152-ФЗ. Если компания передает данные подрядчику, но в собственных документах не раскрыла такую передачу или не обеспечила надлежащую информированность субъекта, проблема останется на стороне оператора, даже если у исполнителя безупречные регламенты.

На практике это означает, что поручение обработки персональных данных должно быть согласовано не только с внешним договором, но и с внутренней документацией компании. Политика обработки, формы согласий, положения о защите данных, кадровые документы, регламенты доступа и договоры с клиентами должны описывать реальную модель взаимодействия. Иначе одна часть документации будет исходить из того, что данные обрабатываются только внутри компании, а другая уже допускает передачу внешнему исполнителю.

Отдельного внимания требует вопрос об уведомлении Роскомнадзора. Обязанность уведомлять о намерении осуществлять обработку персональных данных и исключения из нее зависят от характера обработки и применимых оснований. Здесь нельзя использовать универсальные формулы без анализа фактической деятельности. Проверка контрагента на 152-ФЗ не подменяет проверку статуса самого оператора, но должна проводиться с учетом того, как оператор исполняет собственные обязанности перед регулятором и субъектами данных.

Когда особенно нужен аудит контрагента по ПДн и углубленный договорный контроль

Не каждое взаимодействие требует одинаковой глубины проверки. Если подрядчик получает минимальный набор контактных данных представителей по разовой сделке, объем контроля будет одним. Если ему передаются базы клиентов, резюме кандидатов, сведения о здоровье, данные о работниках или крупные массивы пользовательской информации, стандартная проверка контрагента на 152-ФЗ уже недостаточна. В таких случаях нужен углубленный аудит контрагента по ПДн с анализом фактической архитектуры обработки и договорной цепочки.

Повышенное внимание обычно требуется в нескольких ситуациях.

• Контрагент получает удаленный доступ к внутренним системам оператора, а не только файл с ограниченным набором сведений.
• Исполнитель привлекает облачные сервисы, хостинг-провайдеров, субподрядчиков или группы компаний, через которые данные проходят дальше.
• Проект связан со специальными категориями персональных данных, в том числе медицинскими сведениями или кадровыми данными большого числа работников.
• Сделка предполагает длительное хранение данных, интеграцию информационных систем или регулярный обмен массивами сведений.

В этих случаях проверка контрагента на 152-ФЗ должна включать юридический и организационный анализ одновременно. Недостаточно оценить только текст договора. Нужно проверить, способен ли контрагент реально выполнить согласованные меры. Для медицинских организаций, клиник и сервисов, где персональные данные пациентов пересекаются с требованиями отраслевого регулирования, такой анализ особенно чувствителен. Здесь часто требуется участие юриста по медицинскому праву, потому что помимо Закона № 152-ФЗ учитываются правила о врачебной тайне, документообороте и отраслевом контроле.

Роль юриста при согласовании передачи персональных данных контрагенту

В такой работе задача юриста не сводится к тому, чтобы вставить в договор стандартный раздел о конфиденциальности. Нужен правовой анализ всей конструкции: кто является оператором, кто действует по поручению, на каком основании передаются данные, не возникает ли у контрагента самостоятельный статус оператора, допустима ли субобработка, какие локальные акты и согласия должны быть скорректированы. Только после этого появляется возможность подготовить работающий договор с обработчиком данных, а не формальный текст без практической ценности.

Когда проверка контрагента на 152-ФЗ проводится до заключения договора, у бизнеса остается пространство для переговоров. Можно ограничить объем передаваемых данных, изменить техническую схему, предусмотреть хранение на стороне оператора, ввести право на аудит, согласовать порядок уведомления об инцидентах, сократить круг лиц с доступом. После запуска проекта такие изменения обычно достигаются намного тяжелее, особенно если подрядчик уже встроен в операционный процесс.

С практической точки зрения юрист помогает не только выявить нарушение, но и выбрать способ его устранения. В одних случаях достаточно переработать поручение обработки персональных данных и привести внутренние документы в соответствие договору. В других потребуется изменить предмет услуг, исключить часть операций, запретить привлечение субподрядчиков или полностью отказаться от передачи отдельных категорий данных. Если конфликт уже возник, юридическая работа смещается в сторону фиксации доказательств, претензионной переписки, оценки убытков и подготовки позиции для возможного спора.

Именно поэтому проверка контрагента на 152-ФЗ не должна восприниматься как разовая формальность перед подписанием договора. Это инструмент управления риском, который связывает договорное право, защиту информации, внутренний документооборот компании и будущую доказательственную базу. Чем раньше проведена такая проверка, тем выше шанс выстроить передачу данных так, чтобы она была законной, управляемой и подтверждаемой документально. Для бизнеса это означает не только снижение риска санкций, но и более сильную позицию в переговорах с подрядчиком, при внутреннем контроле и при защите интересов в случае спора.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Проверка контрагента на соответствие 152-ФЗ: что важно учитывать при заключении договора появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Почему согласие на распространение персональных данных нельзя считать обычной формой

Базовые правила закреплены в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных». Закон различает общее согласие на обработку персональных данных и отдельное волеизъявление субъекта, когда предполагается их распространение. Это различие закреплено в статье 10.1 Закона № 152-ФЗ, которая посвящена именно персональным данным, разрешенным субъектом для распространения.

Обычное согласие нужно для сбора, систематизации, хранения, использования, передачи конкретным лицам и иных операций, которые оператор осуществляет в рамках заявленной цели. Но согласие на распространение персональных данных касается другой ситуации: сведения становятся доступными неопределенному кругу лиц. Речь идет не только о публикации на сайте. Сюда может относиться размещение данных в открытом доступе в реестрах, на страницах сотрудников, в рекламных материалах, в новостных публикациях компании, в карточках специалистов клиники или образовательной организации.

Ошибкой остается попытка включить все сразу в один документ. Если компания собирает анкету кандидата, оформляет договор с клиентом и одновременно публикует его отзыв с именем и фотографией, правовые основания для этих действий могут быть разными. Для внутренней кадровой или договорной работы одного согласия может быть достаточно, а для публикации сведений уже требуется согласие на распространение персональных данных с учетом специальных требований статьи 10.1 Закона № 152-ФЗ.

Особенно чувствительна эта тема для работодателей. Карточки сотрудников на сайте, корпоративные новости, публикация результатов обучения, размещение фотографий персонала и контактов руководителей часто оформляются по инерции. Между тем кадровые документы и публичные персональные данные не совпадают по правовому режиму. Если сведения нужны для исполнения трудового договора, это еще не означает право работодателя делать их доступными для третьих лиц. Когда компании требуется проверить документы и локальные акты на такие риски, полезен предварительный кадровый аудит, особенно если данные работников уже размещаются на сайте или в корпоративных сервисах.

Что именно считается распространением и где проходит граница между передачей и публикацией

Закон использует термин «распространение» не как синоним любой передачи данных. Передача возможна конкретному контрагенту, банку, бухгалтерскому аутсорсеру, страховщику или государственному органу, когда получатель определен. Распространение связано именно с раскрытием данных неопределенному кругу лиц. В этой точке и возникает обязанность получать согласие на распространение персональных данных, если отсутствует иное самостоятельное основание, прямо предусмотренное законом.

На практике граница проходит по вопросу о том, может ли оператор заранее определить всех получателей сведений. Если список получателей известен и ограничен договорной или законной целью, это, как правило, не распространение. Если же сведения публикуются на сайте, в социальных сетях, в общедоступной презентации, в карточке специалиста, в базе участников мероприятия или в видеоматериале с последующим размещением в сети, речь уже может идти о распространении.

Отдельно стоит учитывать, что размещение данных в открытом доступе не становится законным только потому, что сам субъект когда-то сообщил их компании. Например, клиент указал телефон в заявке, врач передал копии документов для трудоустройства, сотрудник предоставил фотографию для пропуска. Ни один из этих фактов сам по себе не дает права публиковать сведения на внешних ресурсах. Закон исходит из того, что каждая цель обработки должна быть определенной, законной и понятной субъекту данных.

Споры по таким вопросам возникают не только с гражданами, но и внутри компаний. Когда публикация затрагивает директора, участников общества, бенефициаров или сведения о структуре управления, помимо закона о персональных данных могут возникать и корпоративные конфликты. В таких ситуациях правовая оценка нередко выходит за пределы одного согласия и требует анализа документов общества, порядка принятия решений и последствий их раскрытия, что особенно заметно в делах о корпоративных спорах.

Какие требования закон предъявляет к согласию на распространение персональных данных

Статья 10.1 Закона № 152-ФЗ установила более жесткий подход, чем для обычного согласия. Субъект должен понимать не только сам факт обработки, но и то, какие именно сведения могут быть раскрыты, кому и на каких условиях они будут доступны. Поэтому согласие на распространение персональных данных нельзя оформлять общей фразой о праве оператора использовать данные по своему усмотрению.

В документе должны быть ясно обозначены сведения, разрешенные для распространения, а также ограничения и запреты, если субъект их устанавливает. Закон прямо допускает, что гражданин может согласиться не на все публикации сразу, а лишь на часть. Например, разрешить указать имя и должность на сайте компании, но не публиковать фотографию, личный телефон, адрес электронной почты или сведения о квалификации.

Для оператора это означает обязанность учитывать условия распространения данных не формально, а буквально. Если субъект разрешил использовать фотографию только на официальном сайте, размещение того же изображения в рекламной кампании, в партнерской рассылке или в социальных сетях может выйти за пределы согласия. Такой выход за пределы допустимого объема нередко становится основанием для жалоб в Роскомнадзор и требований о прекращении обработки.

С практической точки зрения в согласии обычно фиксируют несколько групп сведений:

• какие именно персональные данные допускаются к распространению;
• какие действия с ними вправе совершать оператор;
• какие ограничения устанавливает субъект на доступ, публикацию и дальнейшее использование;
• срок действия согласия и способ его отзыва, если это предусмотрено формой документа.

При этом согласие на распространение персональных данных не должно маскировать иные документы. Его не следует прятать в пользовательском соглашении, в трудовом договоре или в анкете клиента так, чтобы человек фактически не мог отделить публикацию данных от основной услуги. Если согласие не выделено, сформулировано расплывчато или связано с навязыванием избыточных условий, позиция оператора заметно слабеет.

Чем обычное согласие отличается от согласия на распространение персональных данных в 2026 году

В 2026 году ключевое отличие сохраняется прежним: обычное согласие покрывает обработку в рамках заявленных целей оператора, а согласие на распространение персональных данных требуется там, где сведения раскрываются неопределенному кругу лиц. Это не новый подход, а уже устоявшаяся модель регулирования, которую бизнесу важно не игнорировать. Ошибка многих компаний в том, что после первоначальных изменений в законодательстве формы были обновлены один раз и с тех пор не пересматривались, хотя фактические процессы публикации данных давно изменились.

Согласие на распространение персональных данных отличается от обычного по нескольким юридически значимым параметрам. Во-первых, оно связано не с внутренней работой оператора, а с выходом сведений во внешнюю среду. Во-вторых, для него критичны конкретизация состава публикуемых данных и воля субъекта на каждую группу сведений. В-третьих, особое значение приобретают запреты и ограничения, установленные самим субъектом. В-четвертых, у оператора появляется обязанность доказать, что публикация не вышла за согласованные пределы.

Это отличие особенно заметно в секторах, где публичные персональные данные используются регулярно. Медицинские организации публикуют сведения о специалистах, образовательные центры размещают информацию о преподавателях, работодатели раскрывают данные о персонале, а предприниматели собирают отзывы клиентов с указанием имени, фотографии и должности. Во всех этих случаях формула «согласился на обработку» недостаточна, если сведения становятся доступными широкому кругу лиц. Для организаций с постоянным документооборотом и большим числом типовых ситуаций такой вопрос часто решается через абонентское юридическое обслуживание, когда формы согласий и политика обработки данных регулярно актуализируются под реальные процессы.

В 2026 году бизнесу также важно учитывать не только сам Закон № 152-ФЗ, но и подзаконные требования к содержанию документов, порядку реагирования на обращения субъектов, уведомлению Роскомнадзора в установленных случаях, а также внутренней фиксации правовых оснований обработки. Если оператор не может показать, на каком основании и в каком объеме он раскрыл данные, спор обычно сводится не к объяснениям, а к качеству документов и цифровых следов публикации.

Какие ошибки чаще всего приводят к жалобам и ответственности

Основная проблема не в отсутствии формы как таковой, а в несоответствии между текстом согласия и фактическими действиями оператора. Компания получает подпись на один объем обработки, а публикует больше. Или собирает согласие в бумажной анкете, но потом использует данные в онлайн-каталогах, рассылках и рекламных кабинетах без отдельного согласования. В споре именно этот разрыв становится центральным.

Часто встречаются следующие ошибки:

• использование одного общего согласия на все случаи обработки и публикации данных;
• отсутствие точного перечня сведений, которые будут размещаться публично;
• игнорирование ограничений, которые субъект вправе установить на использование своих данных;
• сохранение публикации после того, как поступил отзыв согласия на распространение.

С точки зрения ответственности такие нарушения могут повлечь претензии со стороны субъекта данных, предписание об устранении нарушения, проверочные мероприятия Роскомнадзора и административную ответственность по КоАП РФ в зависимости от состава нарушения. Важна и гражданско-правовая составляющая. Если раскрытие затронуло частную жизнь, деловую репутацию или привело к неблагоприятным последствиям, не исключены требования о компенсации морального вреда, прекращении распространения сведений и удалении информации.

Для бизнеса последствия нередко выходят за рамки одного эпизода. Если на сайте или в сервисе опубликованы данные многих лиц по одной ошибочной модели, спор может затронуть не один документ, а весь порядок работы с персональными данными. Тогда оценке подлежат политика обработки, формы согласий, договоры с подрядчиками, структура доступа к системам, журналы учета обращений и переписка по согласованию публикации.

Как работает отзыв согласия на распространение и что обязан сделать оператор

Закон исходит из того, что субъект вправе прекратить разрешение на раскрытие своих данных. Поэтому отзыв согласия на распространение не является формальностью, которую можно отложить до очередного обновления сайта. После получения такого обращения оператор должен оценить его содержание, идентифицировать заявителя, определить объем ранее опубликованных сведений и прекратить их распространение в пределах, в которых отсутствуют иные законные основания для сохранения публикации.

Здесь важна аккуратность. Не всякое удаление возможно мгновенно в техническом смысле, особенно если данные уже были воспроизведены на сторонних ресурсах, в кэшированных копиях, агрегаторах или цитирующих публикациях. Но это не освобождает оператора от обязанности отреагировать надлежащим образом. Необходимо прекратить собственное распространение, убрать данные с контролируемых площадок, зафиксировать действия внутри компании и дать субъекту мотивированный ответ.

Если отзыв согласия на распространение поступает в отношении работника, бывшего сотрудника, врача, преподавателя, подрядчика или клиента, особенно важно проверить, нет ли смешения правовых оснований. Например, часть сведений может подлежать хранению по трудовому, бухгалтерскому или медицинскому законодательству, но это не означает право и дальше держать те же данные в публичной части сайта. Согласие на распространение персональных данных прекращает именно внешний режим раскрытия, а не всегда всю обработку целиком.

Когда спор уже перешел в плоскость претензий, переписки с регулятором или судебного разбирательства, имеет значение качество доказательственной базы: дата получения обращения, маршрут его обработки внутри компании, скриншоты до и после удаления, журналы действий администраторов, редакции страниц, условия пользовательских форм. Если конфликт связан с убытками, репутационными потерями или требованиями к компании в суде, может потребоваться сопровождение арбитражного спора либо защита в суде общей юрисдикции, в зависимости от состава участников и предмета требований.

Какие документы и доказательства действительно важны для защиты позиции

В делах о неправомерном распространении персональных данных спор редко решается одной ссылкой на согласие. Суд и контролирующий орган оценивают всю цепочку: как сведения были получены, какая цель изначально заявлялась, был ли субъект информирован о публикации, какие ограничения он установил, когда именно данные стали публичными и что сделал оператор после получения возражений или требования об удалении.

Поэтому согласие на распространение персональных данных должно существовать не изолированно, а в составе рабочей системы документов. Имеют значение политика оператора в отношении обработки персональных данных, формы согласий для разных ситуаций, локальные регламенты по размещению информации на сайте, договоры с подрядчиками, которые администрируют ресурсы и рекламные кабинеты, а также порядок приема и рассмотрения обращений субъектов.

Полезно заранее проверить, как именно компания документирует размещение данных в открытом доступе. Если карточку специалиста создает маркетинговый подрядчик, а фото берется из кадровой базы, в споре неизбежно возникнет вопрос о разграничении ответственности и доказательствах согласованности действий. Если отзыв клиента публикуется на сайте и в карточках агрегаторов, нужно понимать, где хранится исходное согласие, как оно связано с конкретной публикацией и предусматривает ли использование изображения, фамилии, должности и иных идентифицирующих сведений.

Внутренняя проверка особенно нужна тем организациям, которые одновременно работают с клиентскими, кадровыми и специальными категориями данных. Для медицинских организаций это имеет отдельное значение, поскольку персональные данные сотрудников, пациентов и специалистов в публичной среде пересекаются с отраслевыми требованиями к информации о медицинской деятельности. В подобных ситуациях правовая работа часто выходит за пределы общего compliance и затрагивает вопросы, которыми занимаются юристы по медицинскому праву.

Как выстроить правовую модель без формального подхода

Рабочая модель начинается не с шаблона согласия, а с инвентаризации ситуаций, в которых компания фактически раскрывает сведения наружу. Пока оператор не отделил внутреннюю обработку от публикации, любые документы будут неполными. На практике сначала определяют, какие сведения действительно нужны для публичного размещения, можно ли сократить их объем, требуется ли фотография, нужен ли полный набор контактов, есть ли смысл использовать обезличивание или ограничиться должностью без имени.

После этого согласие на распространение персональных данных подстраивается под реальный процесс, а не наоборот. Для работников, клиентов, контрагентов, спикеров, участников мероприятий и пользователей сервиса формы обычно различаются, потому что различаются цели раскрытия и состав публикуемых сведений. Чем точнее описан объем данных и способ их использования, тем устойчивее позиция оператора при проверке или споре.

Отдельное внимание стоит уделить цифровым каналам. Сайт компании, страницы в социальных сетях, CRM-системы, виджеты отзывов, внешние площадки, сервисы онлайн-записи и рекламные кабинеты создают несколько контуров распространения. Если документ написан только под сайт, а сведения параллельно уходят на сторонние платформы, согласие на распространение персональных данных может не покрыть фактическую модель использования.

Юридическая работа в этой сфере обычно включает анализ оснований обработки, переработку форм согласий, корректировку политики обработки данных, проверку пользовательских сценариев, подготовку ответов на запросы субъектов и сопровождение споров при их возникновении. Такой подход полезен не только для снижения риска штрафов. Он помогает избежать более сложной проблемы, когда оператор не может доказать законность собственных действий именно в той части, где персональные данные стали публичными.

Если сведения уже размещаются на сайте, в рекламных материалах, карточках специалистов или пользовательских отзывах, откладывать правовую проверку не стоит. Согласие на распространение персональных данных должно соответствовать реальным способам публикации, учитывать условия распространения данных, предусматривать корректный порядок реагирования на отзыв и не смешиваться с обычным согласием на обработку. В 2026 году формальный подход к этой теме создает больше рисков, чем отсутствие красивого шаблона: спор будет оценивать не внешний вид документа, а его связь с конкретной публикацией и действиями оператора.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Согласие на распространение персональных данных: отличие от обычного согласия в 2026 году появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Почему персональные данные в CRM стали предметом отдельного правового контроля

CRM-система почти всегда аккумулирует больше сведений, чем требуется для конкретной сделки. В карточке клиента оказываются телефоны, адреса электронной почты, дата рождения, история покупок, записи разговоров, сведения о предпочтениях, обращения в поддержку, иногда паспортные данные и платежная информация. Формально все это может храниться в одном интерфейсе, но с точки зрения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» каждый элемент требует отдельной правовой оценки: для чего он собирается, на каком основании, кто имеет к нему доступ, сколько он хранится и кому передается.

Ключевая проблема состоит в том, что персональные данные в CRM нередко используются сразу в нескольких процессах. Изначально информация получена для заключения договора, затем применяется для маркетинговой рассылки, потом выгружается в колл-центр, передается сервису аналитики и остается в архиве после прекращения отношений с клиентом. Такой оборот данных уже нельзя объяснить общей формулировкой о ведении клиентской базы. Часть 2 статьи 5 Закона № 152-ФЗ требует, чтобы обработка ограничивалась достижением конкретных, заранее определенных и законных целей. Если цель расплывчата, а объем данных избыточен, позиция оператора слабеет.

Для собственника бизнеса это не теоретическая коллизия. При споре с клиентом, при проверке или после инцидента компания должна показать документы, из которых видно, почему именно эти сведения находились в системе, кто ими пользовался и какие меры принимались для их защиты. В противном случае спор быстро выходит за рамки внутренней ИТ-проблемы и переходит в плоскость ответственности за нарушение законодательства о персональных данных. Для компаний, которым требуется постоянная правовая настройка внутренних процессов, такую задачу обычно решают в формате абонентского юридического обслуживания, поскольку разовая проверка редко закрывает все риски, связанные с CRM.

Какие нормы регулируют персональные данные в CRM и что именно должен доказать оператор

Базовым актом остается Закон № 152-ФЗ. Для CRM особенно значимы статьи 5, 6, 7, 18.1, 19 и 21. Из статьи 6 следует, что обработка допустима либо с согласия субъекта, либо при наличии иного предусмотренного законом основания, например если она необходима для исполнения договора, стороной которого является субъект персональных данных. Но это основание нельзя автоматически переносить на рекламные рассылки, профилирование поведения клиента или передачу данных внешнему исполнителю, если такие действия не охватываются целью исполнения договора.

Статья 5 Закона № 152-ФЗ требует соблюдения принципов обработки: законность, соразмерность, недопустимость избыточности, ограничение сроков хранения. Это означает, что персональные данные в CRM должны быть связаны с понятной бизнес-целью. Если менеджер собирает сканы паспорта просто «на всякий случай», а компания не может объяснить, зачем эти сведения необходимы, такой объем данных трудно защитить при проверке.

Статья 18.1 обязывает оператора принимать локальные акты, определяющие политику обработки, порядок предотвращения нарушений и внутренний контроль. На практике этого недостаточно в виде одной опубликованной политики на сайте. Если персональные данные в CRM реально обрабатываются внутри компании, должны существовать внутренние документы о разграничении прав пользователей, инструкции для сотрудников, порядок реагирования на запросы субъектов, правила взаимодействия с подрядчиками и процедура удаления либо архивирования сведений.

Статья 19 Закона № 152-ФЗ закрепляет обязанность принимать правовые, организационные и технические меры по обеспечению безопасности персональных данных. Здесь пересекаются право и ИТ. Юристу важно не только проверить бумажную часть, но и понять, как устроена безопасность CRM системы: ведутся ли журналы событий, настроена ли двухфакторная аутентификация, ограничен ли экспорт данных, защищены ли резервные копии, есть ли шифрование при передаче информации. Роскомнадзор оценивает не общие заявления о защите, а фактическую организацию обработки.

Дополнительно значение имеют подзаконные акты Правительства РФ и уполномоченных органов в сфере защиты персональных данных, включая требования к уровням защищенности информационных систем и составу организационных мер. Если CRM размещена в облачном сервисе, правовая оценка включает еще и договор с провайдером, место размещения инфраструктуры, условия доступа администратора и порядок обработки по поручению оператора.

Законные основания обработки и типичные ошибки при работе с клиентской базой

Одна из самых частых ошибок заключается в том, что компания считает любой контакт с клиентом достаточным основанием для включения его в CRM без дальнейших ограничений. Такой подход слишком широк. Если человек оставил заявку на обратный звонок, это еще не означает, что его персональные данные в CRM можно бессрочно хранить, передавать маркетинговому подрядчику и использовать для сегментации рекламных кампаний.

Для исполнения договора или подготовки к его заключению согласие часто действительно не требуется, но пределы такой обработки определяются самой договорной целью. Когда данные нужны для рассылки рекламных сообщений по сетям электросвязи, обычно требуется отдельное согласие с учетом законодательства о рекламе. Если в CRM накапливаются сведения о здоровье, биометрические данные или иные специальные категории, режим защиты становится строже, а правовое основание требует отдельной проверки.

Другая типичная ошибка связана с принципом минимизации. Персональные данные в CRM часто дублируются в карточках сделок, чатах, комментариях менеджеров и вложениях. В результате компания уже не контролирует состав информации. Это повышает риск того, что при запросе субъекта об уточнении, блокировании или уничтожении данных оператор просто не сможет выполнить требование корректно, потому что не знает, где именно сведения хранятся.

Проблемы возникают и там, где доступ сотрудников к базе клиентов выстроен по принципу общего пользования. Продажи, бухгалтерия, маркетинг, служба сервиса и внешние подрядчики работают под одинаковыми ролями или пользуются общими учетными записями. В такой модели почти невозможно установить, кто просматривал карточку, кто экспортировал сегмент базы и кто изменил данные. Для спора с работником, подрядчиком или контролирующим органом отсутствие персонализированного доступа становится серьезным процессуальным минусом.

• обработка данных без четко зафиксированной цели и без привязки к конкретному основанию из статьи 6 Закона № 152-ФЗ;

• сбор избыточных сведений, которые не нужны для исполнения договора или законной деловой цели;

• единый уровень доступа для сотрудников разных подразделений без ролевой модели и журналирования действий;

• сохранение клиентской базы после утраты цели обработки и после истечения разумных сроков хранения.

Когда CRM используется не только для продаж, но и для управления отношениями между участниками бизнеса, конфиденциальность базы затрагивает уже корпоративный уровень. Утечка или неправомерное использование массива клиентских данных может повлиять на стоимость активов, коммерческие интересы общества и ответственность руководителя. В такой ситуации вопрос нередко выходит за пределы обычного спора с клиентом и требует оценки через механизмы корпоративных споров, особенно если есть признаки недобросовестных действий управленцев или конфликта между участниками.

Доступ сотрудников к базе клиентов и внутренние документы, которые имеют значение при проверке

С точки зрения закона опасен не только внешний взлом. Существенная часть инцидентов происходит внутри компании, когда персональные данные в CRM использует сотрудник, которому эта информация не нужна для выполнения трудовой функции, либо бывший работник сохраняет возможность входа в систему после увольнения. Поэтому вопрос о том, как организован доступ сотрудников к базе клиентов, относится не к удобству работы, а к исполнению статьи 19 Закона № 152-ФЗ и трудовых обязанностей работодателя по обеспечению режима конфиденциальности.

Юридически значим не сам факт наличия логинов и паролей, а доказуемая система разграничения доступа. Должны быть утверждены локальные документы, определяющие круг лиц, которым предоставляется доступ, объем разрешенных действий, правила выгрузки сведений, порядок использования личных устройств, основания блокировки учетной записи и ответственность за нарушение режима. Если таких документов нет, работодатель сталкивается с двойной проблемой. Во-первых, сложнее доказать добросовестность перед контролирующим органом. Во-вторых, труднее привлекать работника к дисциплинарной ответственности или взыскивать убытки.

В кадровом контуре важно, чтобы трудовой договор, должностная инструкция, положение о коммерческой тайне при наличии такого режима, соглашение о конфиденциальности и локальный акт об обработке персональных данных не противоречили друг другу. Именно на стыке этих документов обычно обнаруживаются пробелы. Например, в положении сказано, что экспорт базы запрещен, но в должностной инструкции менеджера предусмотрена передача лидов партнеру без описания процедуры и ответственности. Подобные несогласованности особенно заметны во время внутренней проверки или трудового конфликта, поэтому бизнесу нередко требуется предварительный кадровый аудит, если работа с клиентскими данными распределена между несколькими подразделениями.

Для подтверждения правомерной организации доступа обычно имеют значение следующие документы и цифровые следы:

• локальные акты об обработке и защите персональных данных, включая порядок разграничения прав пользователей CRM;

• приказы о назначении ответственных лиц и предоставлении конкретным работникам определенного уровня доступа;

• журналы входов, действий пользователей, выгрузок, изменений карточек и удаления сведений;

• документы, подтверждающие ознакомление сотрудников с правилами работы и режимом конфиденциальности.

Если доступ сотрудников к базе клиентов организован формально, без фиксации ролей и событий, то при утечке компания часто не может установить источник инцидента. Это ослабляет позицию не только перед субъектом персональных данных, но и в споре с подрядчиком, с бывшим работником либо в уголовно-правовом контексте, если речь идет о неправомерном доступе к компьютерной информации.

Утечка базы клиентов: какие последствия возникают для компании

Когда происходит утечка базы клиентов, юридическая проблема редко исчерпывается одним эпизодом публикации или передачи данных. Последствия затрагивают сразу несколько блоков. Первый связан с претензиями субъектов персональных данных, которые вправе требовать разъяснений по составу обрабатываемой информации, основаниям обработки и, в зависимости от обстоятельств, прекращения незаконных действий. Второй касается публично-правовой ответственности. Третий затрагивает договорные отношения с заказчиками, партнерами и подрядчиками, если база данных используется в B2B-модели либо обрабатывается по договору в интересах другого лица.

КоАП РФ предусматривает административную ответственность за нарушения законодательства в области персональных данных. Конкретная квалификация зависит от состава нарушения: обработка без законного основания, отсутствие обязательных документов, несоблюдение обязанностей оператора, нарушение требований к локализации, неправомерная передача и иные обстоятельства. Размер санкции определяется по соответствующей норме КоАП РФ и зависит от характера нарушения, категории субъекта и повторности. Здесь особенно важно не оперировать шаблонными представлениями о «небольшом штрафе»: в совокупности санкции, расходы на внутреннее расследование, уведомление контрагентов, восстановление процессов и репутационные потери могут оказаться существенно выше.

Гражданско-правовые последствия тоже нельзя недооценивать. Если утечка базы клиентов возникла из-за подрядчика, который администрировал CRM, рассылал сообщения или имел доступ к резервным копиям, значение приобретает содержание договора: распределение ролей оператора и лица, обрабатывающего данные по поручению, меры защиты, пределы использования информации, порядок уведомления об инциденте, условия о возмещении убытков. При отсутствии таких условий у пострадавшей стороны остается меньше инструментов для взыскания потерь в судебном порядке.

Отдельно стоит учитывать, что персональные данные в CRM нередко пересекаются с коммерческой тайной, клиентской базой как нематериальным активом и результатами маркетинговой аналитики. Поэтому утечка может затронуть не только права клиентов, но и имущественные интересы самой компании. Если спор переходит в суд, понадобятся доказательства состава утраченной информации, режима ее охраны, факта неправомерного доступа, причинной связи между инцидентом и убытками. В таких конфликтах правовая работа часто развивается уже в плоскости арбитражного спора, особенно когда речь идет о контрагенте, бывшем партнере или подрядчике.

Безопасность CRM системы: что проверяют не по формальным отчетам, а по реальной практике

На бумаге у многих компаний все выглядит корректно: политика опубликована, согласия собраны, договор с сервисом подписан. Но безопасность CRM системы оценивается не по общему описанию, а по тому, как данные защищены в ежедневной работе. Если сотрудники обмениваются выгрузками через личные мессенджеры, используют один пароль на отдел, хранят резервные копии без контроля доступа или подключают внешние плагины без проверки договора и режима обработки, формальные документы не спасают.

Для правовой оценки существенны несколько обстоятельств. Во-первых, где физически и логически размещаются персональные данные в CRM, в том числе копии, архивы и тестовые контуры. Во-вторых, кто администрирует систему и имеет доступ уровня суперпользователя. В-третьих, какие действия считаются допустимыми с точки зрения внутреннего регламента и как это подтверждается технически. В-четвертых, каким образом оператор обнаруживает инциденты и реагирует на них. Если компания не способна быстро понять, была ли выгрузка, кто ее сделал и какой массив затронут, это указывает на слабый контроль.

Нельзя сводить безопасность CRM системы только к антивирусу и паролю. Для соблюдения требований статьи 19 Закона № 152-ФЗ и подзаконных актов нужны соразмерные меры, учитывающие характер обрабатываемых данных и угрозы. Для одних компаний достаточно выстроенной ролевой модели и контроля каналов передачи. Для других, особенно в сферах медицины, финансового посредничества или крупного e-commerce, требуется более сложная архитектура защиты, внутренние проверки и регулярный пересмотр перечня данных.

С практической точки зрения полезно различать формальные и существенные признаки надлежащей организации:

Именно на этом уровне раскрывается реальная защита данных клиентов в CRM. Если компания не контролирует, кто и в каком объеме видит клиентскую карточку, кому доступны экспорты и как обрабатываются архивы, говорить о соблюдении режима защиты затруднительно, даже при наличии корректно оформленных согласий.

Передача данных подрядчикам, облачные сервисы и трансграничные риски

Современная CRM почти никогда не работает изолированно. К ней подключены телефония, сервис рассылок, аналитика, колл-трекинг, чат-боты, платежные модули, внешние отделы продаж. Поэтому персональные данные в CRM часто обрабатываются не только самим оператором, но и третьими лицами по его поручению. В такой модели особенно важно правильно оформить договорные отношения.

Если обработка поручается другому лицу, в договоре должны быть определены перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите данных в соответствии со статьей 6 и статьей 19 Закона № 152-ФЗ. На практике проблемой становится не отсутствие договора как такового, а его чрезмерная общность. Формулировка о предоставлении доступа «для оказания услуг» не объясняет ни объем полномочий подрядчика, ни пределы использования информации.

Отдельный вопрос возникает при использовании облачных решений и иностранных сервисов. Здесь значение имеют правила о трансграничной передаче персональных данных и обязанность оператора оценить, допускается ли такая передача с учетом действующего регулирования. Кроме того, необходимо проверить, где первично записываются и систематизируются сведения о гражданах РФ, поскольку требования к локализации данных сохраняют практическое значение. Если облачный сервис технически удобен, но договор не раскрывает место хранения, порядок доступа администраторов и условия удаления информации, правовой риск остается на стороне оператора, а не поставщика программы.

С точки зрения договорной работы для бизнеса особенно важны условия о расследовании инцидента, сроках уведомления, порядке возврата или уничтожения сведений после прекращения договора и возможности аудита исполнителя. Именно эти положения позволяют не просто декларировать защиту данных клиентов в CRM, а закрепить ее как обязательство контрагента, пригодное для последующей правовой защиты.

Что стоит сделать бизнесу до проверки или инцидента

Юридическая работа с CRM эффективна тогда, когда проводится до конфликта. После жалобы клиента или сообщения об инциденте компания уже действует в условиях ограниченного времени и повышенного внимания контролирующих органов. Поэтому разумнее заранее проверить, какие именно персональные данные в CRM собираются, кто и на каком основании их использует, какие каналы передачи существуют и насколько документы соответствуют фактическим процессам.

Обычно правовая проверка включает сопоставление целей обработки с полями CRM, анализ согласий и пользовательских форм, аудит договоров с подрядчиками, оценку ролевой модели, локальных актов и кадровых документов. В ряде случаев требуется отдельно проверить, не смешиваются ли в одной системе договорные данные, маркетинговые профили и сведения, полученные из иных источников без достаточного основания. Когда это обнаруживается заранее, корректировка обходится бизнесу заметно дешевле, чем разбирательство после инцидента.

В практической работе важно не только привести документы в порядок, но и связать их с реальными настройками системы. Если политика разрешает ограниченный доступ, а фактически сотрудники видят всю базу, документ утрачивает доказательную ценность. Если согласие клиента сформулировано узко, а CRM используется шире, возникает риск оспаривания законности обработки. Если безопасность CRM системы передана подрядчику без четкого распределения обязанностей, ответственность перед субъектом данных все равно, как правило, несет оператор.

Именно поэтому в 2026 году защита данных клиентов в CRM требует не отдельных шаблонов, а согласованной модели: правовые основания, договоры, локальные акты, кадровые документы и технические меры должны подтверждать друг друга. Такой подход помогает не только снизить риск претензий Роскомнадзора и клиентов, но и сохранить управляемость бизнеса, когда доступ сотрудников к базе клиентов, правила выгрузки и порядок хранения перестают быть «устными договоренностями» и становятся частью доказуемой системы контроля.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Персональные данные клиентов CRM-системы: риски и требования 152-ФЗ в 2026 году появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Обязанность назначить лицо, которое организует обработку персональных данных, прямо предусмотрена частью 1 статьи 22.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Закон говорит именно об организации обработки, а не о техническом администрировании баз или формальном хранении папки с локальными актами. Поэтому ответственный за обработку персональных данных должен быть встроен в систему корпоративного контроля, понимать, как данные собираются, на каком основании используются, кому передаются и как защищаются.

Зачем компании нужен ответственный за обработку персональных данных, кроме формального соблюдения закона

Статья 22.1 Закона № 152-ФЗ связывает назначение такого сотрудника с реальной обязанностью оператора организовать внутренний контроль за соблюдением законодательства о персональных данных. Это означает, что ответственный за обработку персональных данных нужен не для подписи приказа ради архива, а для постоянной работы с рисками. В большинстве компаний персональные данные присутствуют сразу в нескольких блоках: кадровое делопроизводство, договорная работа, бухгалтерия, CRM, маркетинг, пропускной режим, видеонаблюдение, обработка обращений через сайт.

Когда полномочия не распределены, возникают типичные нарушения. Согласия оформляются по шаблонам, не подходящим к конкретной цели обработки. В трудовых отношениях у работодателя появляются документы, которые нельзя запрашивать без законного основания. На сайте размещаются формы обратной связи без корректной политики конфиденциальности. Доступ к сведениям получают сотрудники, которым эти данные не нужны для выполнения трудовых функций. В такой ситуации даже один запрос субъекта персональных данных или контрольное мероприятие Роскомнадзора выявляет не единичный недочет, а системную проблему.

Для организаций, где персональные данные проходят через несколько подразделений, вопрос особенно чувствителен. Здесь недостаточно поручить все ИТ-специалисту или кадровику «по совместительству», если он фактически не влияет на процессы. По смыслу статьи 18.1 Закона № 152-ФЗ оператор обязан принимать правовые, организационные и технические меры для выполнения требований закона. Следовательно, ответственный за обработку персональных данных должен иметь доступ к информации о внутренних процедурах и возможность инициировать их изменение.

Для бизнеса, который использует комплексное абонентское юридическое обслуживание, этот блок обычно включают в регулярный правовой аудит: проверяют состав обрабатываемых данных, основания их использования, формы согласий, локальные акты и распределение функций между подразделениями. Такой подход снижает риск того, что назначение останется лишь на бумаге.

Кого можно назначить и какие требования к ответственному за ПДн действительно важны

Закон № 152-ФЗ не устанавливает закрытого перечня должностей, из числа которых должен назначаться ответственный за обработку персональных данных. Формально это может быть работник кадровой службы, юрист, специалист по комплаенсу, сотрудник службы информационной безопасности, руководитель административного блока или иной работник, которому работодатель доверяет соответствующий функционал. Для малого бизнеса нередко назначают одного из руководителей подразделений. Для более сложных структур вопрос решается через разграничение функций между юридическим, кадровым и ИТ-блоком, но одно лицо все равно должно быть определено как координирующее.

Здесь важны не должность и не название роли, а реальная возможность контролировать соблюдение правил. Поэтому требования к ответственному за ПДн обычно сводятся к трем критериям. Первый касается компетенции: человек должен понимать основы законодательства о персональных данных, логику получения согласий, порядок реагирования на запросы субъектов данных, принципы ограничения доступа и хранения документов. Второй связан с организационным статусом: без доступа к внутренним регламентам и без возможности направлять обязательные для подразделений замечания эта функция становится декоративной. Третий критерий относится к конфиденциальности и дисциплине: сотрудник сам получает доступ к чувствительной информации, а значит, должен быть связан обязанностью не раскрывать сведения и соблюдать внутренние правила безопасности.

Иногда бизнес пытается механически перенести западную модель DPO в российской компании, полагая, что само иностранное наименование решает вопрос соответствия требованиям закона. Это неверно. Российское право оперирует категорией лица, ответственного за организацию обработки персональных данных у оператора. Если компания использует термин DPO в российской компании во внутренних документах, это допустимо как рабочее обозначение функции, но содержание полномочий все равно должно соответствовать статье 22.1 Закона № 152-ФЗ и иным применимым актам. Само по себе иностранное название не заменяет приказ, локальные акты и распределение обязанностей.

На практике разумно оценивать будущего ответственного через призму конкретных процессов. Если основная масса рисков сосредоточена в кадровом блоке, полезен сотрудник, который понимает трудовое делопроизводство, порядок хранения личных дел, оформления согласий и передачи данных в государственные системы. Когда компания активно работает с клиентскими базами, сайтом и рекламными инструментами, без участия юриста и ИТ-специалиста такой сотрудник не сможет полноценно выполнять свои функции. В вопросах кадровой документации часто полезна предварительная проверка внутренних процедур в формате кадрового аудита, поскольку нарушения в работе с персональными данными сотрудников обычно тесно связаны с ошибками в трудовых документах.

Приказ о назначении ответственного: что в нем должно быть и почему одной строчки недостаточно

Самый частый недочет состоит в том, что ответственный за обработку персональных данных назначается приказом, который содержит только фамилию и дату вступления в силу. Формально назначение произошло, но с правовой точки зрения такой документ плохо работает. Если возникнет спор или проверка, компании придется объяснять, какие именно полномочия были даны сотруднику, за какие направления он отвечал и как взаимодействовал с другими подразделениями.

Приказ о назначении ответственного должен быть связан с системой локальных актов оператора. Обычно в нем указывают основание назначения со ссылкой на статью 22.1 Закона № 152-ФЗ, конкретное лицо, дату начала исполнения обязанностей, круг полномочий, обязанность руководителей подразделений предоставлять информацию и документы, а также необходимость ознакомления работника под подпись. Если в компании уже утверждено положение об обработке персональных данных, инструкция по обеспечению безопасности, порядок доступа к базам и формы согласий, приказ целесообразно связать с этими документами прямыми ссылками.

Особое значение имеет не только сам приказ о назначении ответственного, но и то, как он соотносится с трудовой функцией работника. Если сотруднику фактически добавляют новый постоянный блок работы, работодателю нужно корректно оформить это в трудовых документах. В зависимости от ситуации это может потребовать изменения должностной инструкции, заключения дополнительного соглашения к трудовому договору или издания отдельного распорядительного акта о возложении дополнительного функционала. Здесь уже включаются нормы Трудового кодекса РФ о трудовой функции работника, изменении условий трудового договора и необходимости надлежащего оформления обязанностей.

Нежелательно ограничиваться формулировкой о «контроле за персональными данными» без раскрытия содержания. Судебные и надзорные органы оценивают не только наличие документа, но и его применимость к реальным процессам. Если приказ не позволяет понять, что именно должен делать назначенный сотрудник, защитное значение такого документа снижается.

• в приказе стоит указать нормативное основание назначения и полное наименование функции;
• полномочия лучше формулировать не абстрактно, а применительно к внутреннему контролю, консультированию работников, учету обращений и проверке локальных актов;
• необходимо зафиксировать обязанность подразделений взаимодействовать с назначенным лицом и предоставлять информацию по его запросу;
• работника следует ознакомить с приказом и связанными с ним локальными документами под подпись.

Если бизнес состоит из нескольких юридических лиц, вопрос нужно решать отдельно по каждому оператору персональных данных. Назначение сотрудника в головной компании не означает автоматического выполнения требований закона для дочерних обществ, если именно они выступают самостоятельными операторами.

Какие обязанности ответственного лица должны быть закреплены в локальных актах

Часть 4 статьи 22.1 Закона № 152-ФЗ прямо указывает, что лицо, ответственное за организацию обработки персональных данных, в частности осуществляет внутренний контроль за соблюдением оператором и его работниками законодательства о персональных данных, доводит до сведения работников положения законодательства и локальных актов по вопросам обработки персональных данных, а также организует прием и обработку обращений и запросов субъектов персональных данных или осуществляет контроль за приемом и обработкой таких обращений.

Эти нормы важно перевести на язык внутренних документов компании. Иначе ответственный за обработку персональных данных будет назван в приказе, но без понятного объема работы. Обязанности ответственного лица разумно закреплять в положении об обработке персональных данных, должностной инструкции или отдельном регламенте. Внутри компании это снижает споры о пределах компетенции, а при проверке показывает, что оператор не ограничился формальным назначением.

С практической точки зрения обязанности ответственного лица обычно охватывают анализ законных оснований обработки, проверку текстов согласий, контроль сроков хранения документов, участие в подготовке ответов субъектам персональных данных, оценку необходимости уведомления Роскомнадзора, взаимодействие с ИТ-службой по вопросам ограничения доступа, а также участие в разборе инцидентов, связанных с неправомерной передачей сведений. В организациях с развитой структурой к этому добавляется контроль договоров с обработчиками, которым передаются данные по поручению оператора.

При этом ответственный за обработку персональных данных не должен подменять собой каждого исполнителя процесса. Закон не снимает обязанностей с работодателя, руководителей подразделений, кадровой службы, бухгалтерии или ИТ-специалистов. Его функция координирующая и контрольная. Он выявляет правовые пробелы, добивается корректировки документов и процедур, фиксирует замечания, но не превращается в единственного носителя всей ответственности за любой эпизод нарушения.

Компании полезно заранее определить, какие полномочия у такого лица носят обязательный характер, а какие требуют согласования с руководителем. Это особенно важно, когда речь идет о блокировке доступа к базам, изменении форм документов, пересмотре маркетинговых практик или ответах на претензии субъектов данных. В медицинских организациях, где обрабатываются не только обычные персональные данные, но и сведения о состоянии здоровья, состав внутренних обязанностей обычно шире, поскольку возрастает чувствительность информации и количество специальных требований к документам и доступу. В таких ситуациях может потребоваться участие юриста по медицинским вопросам, который понимает пересечение законодательства о персональных данных и отраслевого регулирования.

Как назначение связано с уведомлением Роскомнадзора, локальными актами и внутренним контролем

Назначение сотрудника не заменяет остальные обязанности оператора. Даже если ответственный за обработку персональных данных определен корректно, компания должна проверить, требуется ли подача уведомления об обработке персональных данных в Роскомнадзор по статье 22 Закона № 152-ФЗ, соответствует ли фактическая обработка заявленным целям и имеются ли необходимые локальные документы. В ряде случаев бизнес считает, что раз данные используются только в рамках трудовых отношений или договоров, больше ничего делать не нужно. На практике исключения из обязанности уведомления нужно анализировать осторожно, исходя из конкретного состава операций и категорий данных.

По статье 18.1 Закона № 152-ФЗ оператор обязан, помимо прочего, назначить лицо, ответственное за организацию обработки, издать документы, определяющие политику оператора в отношении обработки персональных данных, локальные акты по вопросам обработки и локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства и устранение последствий таких нарушений. Это означает, что ответственный за обработку персональных данных существует внутри более широкой системы комплаенса, а не сам по себе.

Отдельный блок связан с мерами по обеспечению безопасности персональных данных при их обработке в информационных системах. Здесь вступают в действие не только нормы Закона № 152-ФЗ, но и подзаконные акты Правительства РФ, а также нормативные документы уполномоченных органов в сфере технической защиты информации. Юридическая функция и техническая защита должны работать согласованно. Если специалист назначен, но не знает, где расположены базы данных, кто имеет к ним доступ и как фиксируются инциденты, внутренний контроль остается неполным.

В корпоративной структуре этот вопрос нередко выходит за рамки одного подразделения. Например, конфликт между участниками общества, смена директора или спор о законности передачи клиентской базы может потребовать не только оценки режима персональных данных, но и анализа полномочий органов управления. Когда ситуация затрагивает порядок принятия решений и доступ к информации внутри общества, бывает необходимо сопровождение корпоративного спора, поскольку нарушение правил обработки данных часто становится лишь частью более широкого конфликта.

Какие ошибки при назначении встречаются чаще всего и чем они опасны

Первая распространенная ошибка состоит в том, что ответственный за обработку персональных данных назначается без анализа того, какие данные компания вообще обрабатывает. В итоге в приказе фигурирует сотрудник, который не знает ни о формах на сайте, ни о передаче сведений в бухгалтерские сервисы, ни о работе с резюме кандидатов. Если надзорный орган задаст вопрос о целях и правовых основаниях обработки, такой работник не сможет дать содержательных объяснений.

Вторая ошибка связана с фиктивным распределением полномочий. Работнику формально вменяют обширные обязанности, но не дают доступа к документам, не наделяют правом запрашивать информацию у подразделений и не изменяют его трудовую функцию. С точки зрения трудового права это создает внутренний конфликт: от человека требуют результат, который не обеспечен организационно.

Третья ошибка проявляется в смешении ролей. Нельзя считать, что системный администратор автоматически закрывает вопрос правомерности обработки, а юрист без знания внутренних ИТ-процессов способен контролировать соблюдение режима доступа. Ответственный за обработку персональных данных может координировать оба блока, но сама система должна соединять правовые и технические меры.

Четвертый риск касается документов, которые не обновляются после назначения. Приказ издан, но политика обработки персональных данных, положения о доступе, согласия, договоры с обработчиками и формы ответов субъектам данных остаются старыми. Тогда при проверке легко обнаруживается разрыв между распорядительным актом и реальной практикой. Особенно заметно это там, где бизнес активно меняет каналы коммуникации с клиентами, внедряет CRM, мессенджеры, сервисы аналитики и облачные решения.

• назначение без описания полномочий делает документ слабым доказательством надлежащей организации обработки;
• возложение функций без изменения трудовых документов может привести к внутренним спорам и проблемам дисциплинарной ответственности;
• отсутствие связи между приказом, локальными актами и ИТ-процессами показывает формальный характер контроля;
• игнорирование обращений субъектов персональных данных повышает риск жалоб и административных последствий.

Административная ответственность в этой сфере регулируется статьей 13.11 КоАП РФ, которая содержит несколько самостоятельных составов нарушений. Конкретная квалификация зависит от обстоятельств: незаконный сбор данных, обработка без надлежащего основания, отсутствие опубликованной политики, невыполнение обязанности по предоставлению информации субъекту, нарушение требований к защите данных и другие эпизоды. Поэтому одно ошибочное кадровое решение редко бывает единственной проблемой. Обычно оно сопровождается целой цепочкой нарушений, которые выявляются одновременно.

Что проверять бизнесу до и после назначения ответственного за обработку персональных данных

До издания приказа важно определить, в каких процессах компания выступает оператором персональных данных, какие категории субъектов затрагиваются и какие документы уже существуют. Без этой подготовительной работы ответственный за обработку персональных данных получает функцию, содержание которой никто не описал. Для одних компаний ключевым будет блок трудовых отношений, для других обработка клиентских баз, заявок на сайте, видеозаписей, пропускных систем или сведений о представителях контрагентов.

После назначения работа не заканчивается. Необходимо проверить, есть ли политика в отношении обработки персональных данных, соответствуют ли согласия конкретным целям обработки, ограничен ли доступ к сведениям, ведется ли учет обращений субъектов, урегулирована ли передача данных по договорам поручения на обработку. Если компания использует сайты, формы обратной связи, рекламные рассылки и личные кабинеты, нужно сопоставить юридические документы с фактической логикой работы цифровых сервисов.

Особого внимания требует обучение сотрудников. Закон прямо указывает на обязанность доведения до работников положений законодательства и локальных актов. Это не означает обязательный сложный курс для всего штата, но означает, что работодатель должен уметь подтвердить информирование тех лиц, которые реально работают с персональными данными. Когда этого нет, ответственный за обработку персональных данных не сможет доказать, что нарушения произошли вопреки установленным правилам, а не из-за их отсутствия.

В спорных ситуациях полезно заранее оценить, может ли конфликт перерасти в судебный. Например, бывший работник оспаривает законность распространения его персональных данных, контрагент заявляет о неправомерной передаче сведений о представителях, клиент предъявляет требование о прекращении обработки. Тогда нужно не только устранять внутренние пробелы, но и формировать доказательственную базу. Если дело переходит в плоскость имущественных требований или оспаривания действий компании в суде, может понадобиться сопровождение арбитражного спора, особенно когда конфликт связан с договорными отношениями и последствиями для бизнеса.

Роль юриста при оформлении назначения и выстраивании системы работы с персональными данными

Юридическая работа в этой сфере не сводится к подготовке одного приказа. Задача шире: определить статус компании как оператора, установить состав и цели обработки, проверить основания использования данных, соотнести кадровые и гражданско-правовые документы, оценить необходимость уведомления Роскомнадзора и исключить противоречия между локальными актами. В этом контексте ответственный за обработку персональных данных становится элементом общей модели управления рисками, а не отдельной формальностью.

На практике юрист помогает подобрать корректную организационную модель. В одной компании целесообразно закрепить функцию за руководителем кадрового блока с плотным взаимодействием с юристом и ИТ-специалистом. В другой разумнее назначить сотрудника правового подразделения, если основные риски связаны с клиентскими сервисами, публичной офертой, сайтом и маркетинговыми инструментами. Для группы компаний может потребоваться разграничение функций между юридическими лицами и отдельная документация по каждому оператору.

Не менее важна работа с трудовыми документами. Если обязанности добавляются уже работающему сотруднику, нужно правильно определить, в каком объеме меняется его трудовая функция, нужен ли пересмотр должностной инструкции, требуется ли дополнительное соглашение и как оформить ознакомление с локальными актами. Непродуманное оформление создает проблемы не только в сфере персональных данных, но и в трудовом споре с самим назначенным работником.

Когда система выстроена корректно, ответственный за обработку персональных данных выполняет понятную и доказуемую роль: координирует внутренний контроль, следит за актуальностью документов, участвует в ответах на обращения, инициирует исправление нарушений и помогает руководству видеть реальные уязвимости. Для бизнеса это не избыточная бюрократия, а способ снизить риск административных претензий, внутренних конфликтов и ошибок в работе с чувствительной информацией.

Если вашей компании нужно не формальное назначение, а рабочая система документов и процедур, такую задачу лучше решать комплексно. Вопрос затрагивает трудовое право, корпоративное управление, договорную работу, цифровые сервисы и взаимодействие с надзорными органами. Поэтому один шаблонный приказ о назначении ответственного редко закрывает проблему полностью. Гораздо надежнее проверить весь контур обработки данных и оформить его так, чтобы документы соответствовали реальным бизнес-процессам.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Ответственный за организацию обработки персональных данных: кого назначить и как оформить появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.

Ошибки здесь редко остаются только в плоскости комплаенса. Если компания формально объявляет массив «обезличенным», но фактически оставляет возможность обратного установления личности через связки идентификаторов, логи, служебные таблицы или сведения из смежных систем, это влияет на законность обработки, объем обязанностей оператора и риск претензий со стороны Роскомнадзора. В отдельных ситуациях спор выходит за пределы административного контроля и затрагивает договорные отношения, трудовые конфликты, репутационные потери и доказательства в судебном процессе.

Почему обезличивание персональных данных стало отдельной зоной юридического риска

Базовое регулирование по-прежнему строится вокруг Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». В статье 3 этого закона даны ключевые понятия, а сама идея обезличивания сводится к действиям, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту. На практике именно формула «без использования дополнительной информации» чаще всего становится предметом спора. Если дополнительная информация у оператора хранится рядом, легко сопоставляется и доступна тем же сотрудникам, то ссылка на обезличивание не всегда выдерживает проверку.

С юридической точки зрения обезличивание персональных данных важно не потому, что позволяет «свободно пользоваться данными», а потому, что меняет архитектуру риска. Когда оператор сокращает объем идентифицирующих признаков, разделяет массивы, убирает прямые идентификаторы и ограничивает доступ к ключам сопоставления, он снижает вероятность утечки значимых сведений и уменьшает последствия инцидента. Именно поэтому для многих компаний работает логика снижения рисков обезличиванием, особенно в маркетинге, HR, медицине, разработке цифровых продуктов и аналитике клиентского поведения.

Но у этой логики есть предел. Обезличивание персональных данных не отменяет действие закона автоматически и не превращает любой набор сведений в объект, полностью выведенный из-под правового режима. Если организация продолжает обрабатывать массив в рамках единой системы, сохраняет ключи обратной идентификации и использует данные для принятия решений в отношении конкретного лица, требования закона о персональных данных сохраняют значение. Иначе говоря, тезис «обезличенные данные и закон больше не связаны» юридически неверен.

Для компаний, которые выстраивают постоянные процессы работы с данными, проблема обычно не ограничивается одной политикой конфиденциальности. Нужна проверка локальных актов, ролей подразделений, договоров с подрядчиками, схем доступа и внутренних регламентов. В таком формате вопрос часто входит в более широкую модель абонентского юридического обслуживания, когда правовая настройка делается не разово, а в рамках регулярного сопровождения.

Какие нормы нужно учитывать в 2025 и 2026 годах

Основой остается Закон № 152-ФЗ. Для темы обезличивания прежде всего значимы статья 3 с понятийным аппаратом, статья 5 о принципах обработки персональных данных, статья 6 об условиях обработки, статья 18.1 об обязанностях оператора по принятию мер, направленных на выполнение требований закона, а также статья 19 о мерах по обеспечению безопасности персональных данных при их обработке. Обезличивание не существует отдельно от этих норм. Оно должно быть встроено в законную цель обработки, соразмерность состава данных и реальную систему защиты.

Отдельное значение имеет подзаконное регулирование, поскольку именно оно отвечает на практический вопрос, как должны выглядеть методы и организационные меры. Когда обсуждают приказ Роскомнадзора об обезличивании, обычно имеют в виду документы ведомственного уровня, которые определяют подходы к обезличиванию и требования к процедурам у операторов. Для практики важен не сам факт наличия приказа, а то, что проверяющий орган оценивает не абстрактное намерение оператора, а конкретные примененные методы, документы и возможность повторной идентификации.

С 2025 года компании стали внимательнее относиться к тому, что внутреннее описание процесса должно соответствовать фактической ИТ-модели. Если в положении написано, что данные обезличены путем замены идентификаторов кодами, но технически таблица соответствия хранится в той же базе и доступна широкому кругу сотрудников, это слабая позиция. Обезличивание персональных данных оценивается не по названию операции, а по результату и защищенности дополнительной информации.

Кроме того, на 2026 год уже очевидна тенденция к более детальному контролю качества локальной документации. Оператору недостаточно сослаться на общие формулировки о безопасности информации. Нужны регламенты, которые объясняют, какие данные обезличиваются, для какой цели, на каком этапе, какими средствами, кто получает доступ к ключам сопоставления, как ведется учет операций и когда массив подлежит удалению либо дальнейшей трансформации. Именно здесь обезличивание персональных данных становится вопросом не только ИБ, но и корпоративного управления процессами.

Когда данные действительно считаются обезличенными

Юридически значим не ярлык «анонимизировано», а фактическая невозможность определить конкретное лицо без дополнительной информации. Поэтому обезличивание персональных данных нельзя сводить к механическому удалению фамилии и имени. В ряде массивов человека позволяют распознать дата рождения, должность, подразделение, регион, история покупок, номер договора, IP-идентификатор, координаты, медицинский профиль или редкая совокупность характеристик. Чем уникальнее набор, тем выше риск обратной идентификации.

По этой причине правила обезличивания данных в компании должны учитывать не только прямые, но и косвенные идентификаторы. Особенно это важно для аналитических систем, где разные базы «сцепляются» между собой. Если маркетинговый модуль, CRM, бухгалтерская система и база обращений в службу поддержки могут быть сопоставлены по внутреннему идентификатору, формальное обезличивание одной выгрузки не всегда имеет самостоятельное значение.

На практике чаще применяются несколько подходов одновременно. Один массив очищается от прямых идентификаторов, во втором используется укрупнение параметров, в третьем часть сведений заменяется псевдонимами. Но даже после этого оператор должен оценить вероятность повторной идентификации с учетом собственных ресурсов, смежных баз и доступа сотрудников. Обезличивание персональных данных считается добросовестно проведенным тогда, когда компания может показать не только метод, но и результат оценки риска обратного установления личности.

• из набора удалены или заменены прямые идентификаторы субъекта;
• дополнительная информация, позволяющая восстановить связь с человеком, хранится отдельно и доступ к ней ограничен;
• состав оставшихся атрибутов не позволяет без несоразмерных усилий установить личность;
• цель дальнейшего использования массива не предполагает принятия решений в отношении конкретного лица.

Если хотя бы одно из этих условий не выдерживается, компания рискует оказаться в ситуации, когда под видом обезличенного массива фактически продолжает обрабатывать персональные данные в полном объеме правовых обязанностей.

Документы и внутренние процедуры, без которых обезличивание персональных данных не работает

Одна из самых частых ошибок состоит в том, что обезличивание персональных данных выполняется техническим подразделением, а юридическая часть остается на уровне общего положения о персональных данных. В итоге организация не может внятно объяснить, на каком основании и для какой цели создан обезличенный массив, кто санкционировал процедуру, каким образом ограничен доступ к исходным данным и где закреплен порядок уничтожения либо раздельного хранения ключей сопоставления.

Корректная модель обычно включает несколько связанных документов. Это не бюрократия ради формы, а способ показать законность и управляемость процесса. Если дело дойдет до проверки или спора, именно документы позволяют доказать, что обезличивание персональных данных не было декларативным.

• локальный акт или раздел внутренней политики, где закреплены цели, методы и порядок обезличивания;
• регламент доступа к исходным массивам и дополнительной информации, позволяющей восстановить идентификацию;
• описание ИТ-процесса, включая журналы операций, разграничение ролей и сроки хранения;
• условия в договорах с подрядчиками, если обработка, хранение или аналитика передаются внешнему исполнителю.

Если компания использует данные работников, параллельно нужно проверить кадровый контур. Сведения из личных дел, табелей, медицинских документов, систем контроля доступа и внутренних расследований требуют отдельной оценки правового режима. В ряде случаев проблема выявляется именно на стыке трудового права и защиты данных, когда формально безопасный ИТ-процесс не согласуется с кадровыми документами и локальными актами. Здесь полезен предварительный кадровый аудит, особенно если организация уже использует HR-аналитику и автоматизированные системы оценки персонала.

Отдельная зона риска связана с подрядчиками. Если обезличенный массив передается для аналитики, разработки модели, тестирования продукта или маркетингового исследования, договор должен четко определять статус сторон, пределы использования информации, обязанности по безопасности, порядок возврата и удаления данных, запрет на попытки деобезличивания и последствия нарушения. Без этой части даже качественно выстроенное обезличивание персональных данных внутри компании может быть обесценено действиями контрагента.

Как Роскомнадзор оценивает правила обезличивания данных на практике

Проверка со стороны Роскомнадзора обычно строится не вокруг теории, а вокруг конкретных вопросов. Орган смотрит, есть ли у оператора правовое основание обработки, соблюден ли заявленный объем данных, как оформлены локальные документы, какие меры безопасности приняты и можно ли по факту восстановить личность субъекта. Поэтому правила обезличивания данных должны быть не только написаны, но и исполнимы в реальной системе.

Если в ходе контроля выясняется, что оператор сохранил простую связку «код клиента — ФИО — телефон» в доступной внутренней таблице без достаточных ограничений, а обезличенный массив свободно используется в подразделениях, позиция о надлежащем обезличивании заметно слабеет. Аналогичная проблема возникает, когда служебные файлы с ключами сопоставления пересылаются по электронной почте, хранятся в общих папках или не имеют срока удаления.

В отраслях с повышенной чувствительностью сведений контроль обычно строже. Это касается медицинских организаций, лабораторий, клиник и сервисов телемедицины, где массивы часто содержат данные о состоянии здоровья. Для таких операторов вопрос о том, насколько корректно проведено обезличивание персональных данных, связан не только с законом о персональных данных, но и с отраслевыми обязанностями по соблюдению врачебной тайны, лицензионных требований и цифровых контуров учета. В подобных ситуациях правовая оценка нередко требует участия медицинских юристов, поскольку ошибка может затронуть сразу несколько режимов регулирования.

Нельзя исключать и административную ответственность. Вопрос о квалификации конкретного нарушения зависит от фактических обстоятельств и состава выявленных действий, но сам по себе тезис «данные были обезличены» не освобождает оператора, если режим оказался фиктивным. Обезличивание персональных данных должно подтверждаться не формулировками в документах, а устройством системы доступа, хранения и использования информации.

Где компании чаще всего ошибаются в 2026 году

В 2026 году основная проблема уже не в незнании терминов, а в разрыве между юридическим описанием и реальной практикой. Многие компании научились писать положения о защите данных, но не выстроили технически устойчивую модель. Поэтому типичные ошибки повторяются даже у крупных операторов.

Первая ошибка состоит в том, что обезличивание персональных данных подменяется псевдонимизацией без достаточной изоляции ключей. Вторая связана с тем, что организация продолжает использовать обезличенный массив для адресных действий в отношении человека, например для оценки благонадежности, таргетирования предложений или анализа поведения конкретного работника. Третья ошибка возникает при интеграции нескольких систем, когда повторная идентификация становится возможной через сопоставление косвенных признаков.

Четвертая ошибка встречается в договорной работе. Подрядчику передают данные «в обезличенном виде», но в тексте договора не фиксируют запрет на обратную идентификацию, порядок защиты служебных таблиц, ответственность за нарушение и процедуру удаления информации после завершения задачи. Когда спор переходит в плоскость убытков, нарушения конфиденциальности или претензий регулятора, недостатки договора становятся самостоятельной проблемой. Если конфликт уже возник и затронул обязательства сторон, нередко требуется сопровождение арбитражного спора, поскольку вопрос о данных перерастает в спор о договоре, убытках и распределении ответственности.

Пятая ошибка более тонкая. Компания полагает, что обезличенный массив можно хранить бессрочно, раз в нем «нет персональных данных». Но срок хранения должен быть связан с целью обработки, внутренними регламентами и реальной потребностью бизнеса. Избыточное хранение даже трансформированных массивов ухудшает позицию оператора, если не доказана разумная необходимость такого объема и срока.

Что дает бизнесу снижение рисков обезличиванием и где проходят границы этого инструмента

С практической точки зрения снижение рисков обезличиванием действительно работает, когда компания использует этот инструмент для аналитики, тестирования, статистической обработки, внутреннего обучения систем, подготовки управленческой отчетности и исследования поведения групп, а не конкретных лиц. В таких сценариях обезличивание персональных данных позволяет сократить чувствительность массива, снизить последствия возможного несанкционированного доступа и точнее разграничить роли сотрудников и подрядчиков.

Но этот инструмент не должен использоваться как формальное прикрытие избыточного сбора данных. Закон № 152-ФЗ требует, чтобы содержание и объем обрабатываемых сведений соответствовали заявленным целям, а обрабатываемые данные не были избыточными по отношению к таким целям. Поэтому если оператор собирает лишние сведения, а затем пытается решить проблему последующим обезличиванием, это не всегда исправляет исходное нарушение принципа соразмерности.

Не менее важно учитывать связь темы с интеллектуальной собственностью и цифровыми продуктами. Когда обезличенные массивы используются для обучения моделей, разработки алгоритмов, тестирования сервисов и аналитики пользовательского поведения, на первый план выходят вопросы договорного распределения прав, режима коммерческой тайны и допустимости использования результатов обработки. В таких проектах правовая защита часто строится на стыке комплаенса и договорной техники, а при создании собственных цифровых решений может потребоваться настройка режима защиты интеллектуальной собственности.

Именно поэтому обезличивание персональных данных нельзя рассматривать в отрыве от бизнеса. Для одной компании это способ безопаснее строить аналитику продаж, для другой — элемент защиты медицинской информации, для третьей — условие законной работы с кадровыми данными и внутренними исследованиями. Юридический смысл во всех случаях один: нужно показать, что оператор контролирует цикл данных, а не просто переименовал файл или скрыл очевидные идентификаторы.

Как выстроить правовую позицию, если процесс уже создан или есть претензии регулятора

Когда процесс обезличивания уже работает, основная задача состоит не в переписывании документов «с нуля», а в сопоставлении трех уровней: цели обработки, технической модели и доказательной базы. Если хотя бы один уровень выпадает, позиция становится уязвимой. Поэтому сначала оценивают, какие категории сведений используются, какие основания обработки заявлены, где и как возникают ключи сопоставления, кто фактически имеет к ним доступ и для каких операций используется обезличенный массив.

Если претензии уже предъявлены, важно не ограничиваться общей перепиской с регулятором. Нужен предметный анализ локальных актов, договоров, схем доступа, журналов операций, переписки с подрядчиками и фактических маршрутов данных. Обезличивание персональных данных как предмет спора обычно требует доказать либо реальное соблюдение требований, либо, если нарушения были, показать их объем, причины и корректирующие меры без создания новых рисков признания более широких нарушений.

В юридической работе по таким вопросам особое значение имеет аккуратная формулировка позиции. Излишне категоричные ответы иногда вредят больше, чем сами недостатки процесса. Если обстоятельства неоднозначны, разумнее строить объяснение через конкретные меры, ограничения доступа, цель использования массива и оценку вероятности идентификации, а не через декларации о полном отсутствии персональных данных. Обезличивание персональных данных оценивается содержательно, и правовая позиция должна быть столь же содержательной.

Для бизнеса здесь важен один практический вывод. Чем раньше оператор сопоставит локальные документы, ИТ-процессы и договорную модель, тем меньше вероятность, что вопрос об обезличенных массивах перерастет в спор о незаконной обработке данных, нарушении конфиденциальности или ненадлежащем исполнении обязательств. В 2026 году формальный подход уже не работает: обезличивание персональных данных должно быть доказуемым, управляемым и встроенным в общую систему защиты информации.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.

Сообщение Обезличивание персональных данных с 2025 года: новые правила и их применение в 2026 году появились сначала на Юридические услуги для бизнеса - Шмелева и Партнеры.