Обработка персональных данных в РФ: ключевые моменты

Обработка персональных данных в Российской Федерации — это регулируемая законом деятельность, а не формальное требование «для галочки». С момента вступления в силу Федерального закона № 152-ФЗ государство рассматривает персональные данные как объект повышенной правовой охраны, а организации — как ответственных операторов, обязанных обеспечить законность и безопасность обработки.

Ключевая проблема заключается в том, что большинство компаний фактически обрабатывают персональные данные, но не выстроили систему их защиты. Достаточно иметь сотрудников, клиентов, контрагентов, сайт с формой обратной связи или кадровый учет — и организация уже становится оператором персональных данных со всеми вытекающими обязанностями.

При этом контроль в данной сфере нельзя назвать номинальным:

• Роскомнадзор осуществляет плановые и внеплановые проверки операторов персональных данных;

• активно используется дистанционный контроль, включая анализ сайтов и открытых источников;

• основанием для проверки может быть жалоба субъекта персональных данных, а не только план надзорных мероприятий.

Важно понимать, что нарушения в сфере персональных данных относятся к административным правонарушениям, ответственность за которые предусмотрена КоАП РФ. Размеры штрафов зависят от состава нарушения, но практика показывает, что регулятор оценивает не отдельный документ, а наличие системы обработки и защиты в целом.

Отдельного внимания заслуживает распространенное заблуждение:
если компания подала уведомление в Роскомнадзор или разместила политику конфиденциальности на сайте, значит требования закона выполнены. Это неверно. Эти меры фиксируют факт обработки, но не подтверждают соблюдение требований 152-ФЗ.

Именно поэтому обработка персональных данных сегодня — это зона повышенного правового и финансового риска для бизнеса, требующая системного и документально подтвержденного подхода.

Что считается обработкой персональных данных по закону

С точки зрения законодательства РФ, понятие обработки персональных данных трактуется максимально широко. Это сделано намеренно — чтобы исключить ситуации, когда оператор пытается формально уйти от обязанностей, ссылаясь на «ограниченный» характер своих действий.

Согласно Федеральному закону № 152-ФЗ, обработка персональных данных — это любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без них, в отношении персональных данных.

К таким действиям прямо относятся:

• сбор;

• запись;

• систематизация;

• накопление;

• хранение;

• уточнение (обновление, изменение);

• использование;

• передача (распространение, предоставление, доступ);

• обезличивание;

• блокирование;

• удаление;

• уничтожение персональных данных.

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Ключевой момент: не имеет значения масштаб обработки. Закон одинаково применяется как к крупным корпорациям, так и к небольшим организациям или ИП.

На практике оператором персональных данных признается практически любая организация, если выполняется хотя бы одно из условий:

• ведется кадровый учет работников;

• заключаются договоры с физическими лицами;

• обрабатываются данные клиентов, обучающихся, пациентов, пользователей;

• используется сайт с формами обратной связи, заявками, регистрацией;

• принимаются обращения граждан по электронной почте или через мессенджеры.

Даже если персональные данные:

• хранятся в Excel-файле,

• находятся в бумажных папках,

• обрабатываются нерегулярно,

— это все равно обработка персональных данных в понимании закона.

Автоматизированная и неавтоматизированная обработка

Закон не делает принципиального различия между способами обработки:

• автоматизированная обработка — с использованием информационных систем (CRM, сайты, кадровые программы и т. п.);

• неавтоматизированная обработка — бумажные носители, журналы, личные дела, договоры.

Это означает, что распространенное утверждение «у нас все на бумаге, значит закон не применяется» — юридически неверно.

Ошибочная оценка того, осуществляется ли обработка персональных данных, приводит к системным нарушениям:

• не подается уведомление в Роскомнадзор (когда оно обязательно);

• отсутствует организационно-распорядительная документация;

• не определены цели и правовые основания обработки;

• не обеспечены меры защиты персональных данных.

В дальнейшем это становится основанием для предписаний и административной ответственности, поскольку регулятор исходит из фактических действий, а не из субъективной оценки самой организации.

Кто такой оператор персональных данных и какие обязанности у него возникают

После того как факт обработки персональных данных установлен, следующим ключевым вопросом становится определение статуса оператора персональных данных. В соответствии с Федеральным законом № 152-ФЗ оператором признается государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно либо совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели такой обработки, состав персональных данных и совершаемые с ними действия.

На практике это означает, что оператором является сама организация, а не подрядчик, не хостинг-провайдер и не разработчик сайта. Даже если техническая обработка передана третьим лицам, ответственность за законность обработки всегда остается за оператором.

Прежде всего оператор обязан обеспечить обработку персональных данных на законной и справедливой основе. Для каждой категории персональных данных должны быть определены конкретные, заранее установленные цели обработки и правовые основания, предусмотренные законом. Обработка данных «на всякий случай» или без четко сформулированной цели прямо противоречит требованиям законодательства.

Следующая ключевая обязанность — принятие мер по защите персональных данных. Закон прямо указывает, что оператор обязан принимать необходимые правовые, организационные и технические меры для предотвращения неправомерного или случайного доступа к персональным данным, их уничтожения, изменения, блокирования, копирования или распространения. При этом именно организационные меры, оформленные в виде внутренней документации, являются базой всей системы защиты.

Оператор также обязан обеспечить реализацию прав субъектов персональных данных. Это включает в себя возможность получения информации об обработке, уточнение, блокирование или уничтожение данных, а также реагирование на обращения субъектов в установленные законом сроки. Отсутствие регламентов обработки таких запросов является самостоятельным нарушением.

Отдельно законом установлена обязанность по назначению ответственного лица за организацию обработки персональных данных, а также по ознакомлению работников, допущенных к обработке, с требованиями законодательства и локальными актами оператора. Формальное назначение без реального распределения функций и ответственности при проверках не учитывается.

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Важно подчеркнуть, что обязанности оператора не зависят от масштаба бизнеса. Малые организации, ИП и некоммерческие структуры несут те же базовые обязанности, что и крупные компании. Закон не содержит исключений по численности персонала, обороту или отрасли деятельности.

На практике именно на этом этапе возникает критическая ошибка: организация признает себя оператором, но ограничивается отдельными действиями — например, подачей уведомления в Роскомнадзор или размещением политики конфиденциальности на сайте. Однако такие меры не покрывают весь объем обязанностей оператора и не формируют систему защиты персональных данных.

Регулятор при проверках исходит не из формального наличия отдельных документов, а из того, насколько оператор способен доказать, что он управляет процессами обработки персональных данных, контролирует их и обеспечивает защиту на всех этапах жизненного цикла данных.

Уведомление в Роскомнадзор: когда обязательно и почему этого недостаточно

Одной из первых формальных обязанностей оператора персональных данных является подача уведомления в Роскомнадзор о намерении осуществлять обработку персональных данных. Эта обязанность прямо предусмотрена Федеральным законом № 152-ФЗ и направлена на государственный учет операторов, а не на подтверждение законности их деятельности.

Уведомление подается до начала обработки персональных данных, за исключением случаев, прямо указанных в законе. На практике обязанность по подаче уведомления возникает у подавляющего большинства организаций, поскольку исключения носят ограниченный характер и применяются редко. Ошибочная трактовка этих исключений является одной из самых частых причин нарушений.

Форма уведомления содержит сведения о целях обработки, категориях персональных данных, субъектах, мерах защиты и условиях передачи данных. Именно здесь многие операторы допускают критические ошибки: указывают универсальные формулировки, не соответствующие реальным процессам, или копируют сведения из шаблонов без учета специфики деятельности. В дальнейшем такие расхождения легко выявляются при проверке.

Если сведения в уведомлении не подтверждаются документально или противоречат реальным процессам, это квалифицируется как отдельное нарушение. Таким образом, неправильно поданное уведомление не только не снижает риски, но и создает дополнительные основания для привлечения к ответственности.

Здесь возникает типичная ситуация: организация подала уведомление, но не разработала организационно-распорядительную документацию, не описала процессы обработки и не внедрила меры защиты. Формально оператор зарегистрирован, но фактически система защиты отсутствует.

Если вы не уверены, нужно ли подавать уведомление в Роскомнадзор, это определяется на основании фактических процессов обработки персональных данных.

Ошибки на этом этапе часто приводят к предписаниям и штрафам.

Наши специалисты помогут оценить вашу ситуацию и корректно оформить уведомление с учетом требований закона.

Оставить заявку

Следует отдельно отметить, что уведомление в Роскомнадзор — это отправная точка, а не финальный этап. Оно фиксирует ответственность оператора перед государством, но не заменяет собой ни внутренние регламенты, ни систему защиты персональных данных.

Организационно-распорядительная документация (ОРД) как основа законной обработки персональных данных

После подачи уведомления в Роскомнадзор ключевым элементом соблюдения требований 152-ФЗ становится организационно-распорядительная документация. Именно ОРД показывает регулятору, что оператор не формально заявил об обработке персональных данных, а выстроил управляемую систему, соответствующую требованиям закона.

Организационно-распорядительная документация — это совокупность локальных нормативных актов, которые описывают внутренние правила обработки и защиты персональных данных в организации. Эти документы фиксируют, как именно персональные данные собираются, используются, хранятся, передаются и уничтожаются, а также кто несет ответственность за каждый этап.

В рамках ОРД, как правило, должны быть определены:

• цели и правовые основания обработки персональных данных;

• категории персональных данных и группы субъектов;

• роли и ответственность работников, допущенных к обработке;

• порядок предоставления доступа и разграничение прав;

• меры по защите персональных данных;

• действия при выявлении нарушений и инцидентов безопасности.

Именно этот комплекс документов Роскомнадзор запрашивает в первую очередь при проведении проверок. Регулятор оценивает не наличие отдельных файлов, а логичность и полноту системы в целом. Отсутствие одного из ключевых элементов часто трактуется как отсутствие выстроенной системы защиты персональных данных.

Принципиально важно, чтобы организационно-распорядительная документация соответствовала реальной деятельности компании. Документы, созданные по шаблонам без учета специфики процессов, легко выявляются при проверке путем сопоставления с кадровыми процедурами, договорной работой, ИТ-системами и сайтом организации.

Отдельного внимания заслуживает юридический статус ОРД. Документы должны быть утверждены приказами, введены в действие и доведены до работников под роспись. Отсутствие подтверждений внедрения существенно снижает их доказательственную ценность при проверках и рассмотрении дел об административных правонарушениях.

Обязательный комплект документов по 152-ФЗ: что действительно проверяют

Требования законодательства в сфере персональных данных не ограничиваются общей формулировкой о «принятии мер защиты». Для оператора персональных данных установлен конкретный минимальный комплект организационно-распорядительных документов, отсутствие или некорректность которых напрямую фиксируется при проверках Роскомнадзора.

К обязательному базовому комплекту, как правило, относятся:

• политика оператора в отношении обработки персональных данных;

• положение (или иной локальный акт), регламентирующий обработку и защиту персональных данных в организации;

• приказ о назначении ответственного за организацию обработки персональных данных;

• перечень лиц, допущенных к обработке персональных данных;

• перечень обрабатываемых персональных данных и категорий субъектов;

• документы, определяющие меры по обеспечению безопасности персональных данных;

• порядок рассмотрения обращений субъектов персональных данных;

• согласия на обработку персональных данных (в случаях, когда они требуются законом).

В зависимости от специфики деятельности этот перечень может дополняться. Например, при наличии информационных систем персональных данных требуется описание таких систем, при трансграничной передаче — отдельные обоснования и условия, при обработке специальных категорий данных — дополнительные регламенты и ограничения.

Одной из самых частых проблем является формальное наличие документов без их фактического применения. При проверках выявляются ситуации, когда документы существуют, но:

• не утверждены приказами;

• не введены в действие;

• не доведены до работников;

• противоречат сведениям из уведомления в Роскомнадзор;

• не соответствуют реальным бизнес-процессам.

В таких случаях Роскомнадзор квалифицирует нарушение как отсутствие надлежащих организационных мер по защите персональных данных, даже если файлы формально присутствуют.

Если в компании менялись процессы, ИТ-системы или структура, а документы по персональным данным не пересматривались, это высокий риск

Проверки выявляют именно такие расхождения.

Анализ соответствия ОРД реальной деятельности позволяет устранить нарушения до визита регулятора.

Оставить заявку

Отдельно стоит отметить, что использование типовых шаблонов без адаптации под деятельность организации не признается надлежащим выполнением требований закона. При проверке регулятор сопоставляет документы с фактическими процессами и легко выявляет несоответствия.

Соответствие документов реальным процессам: ключевая причина нарушений при проверках

На практике большинство нарушений в сфере персональных данных связано не с полным отсутствием документов, а с тем, что документы не соответствуют фактическим процессам обработки. Именно это несоответствие чаще всего выявляется Роскомнадзором в ходе проверок и становится основанием для предписаний и штрафов.

Типовая ситуация выглядит следующим образом: в документах указано, что персональные данные обрабатываются ограниченным кругом лиц и только в рамках определенных целей, но на практике доступ имеют другие сотрудники, используются дополнительные ИТ-системы или данные применяются для иных задач. Такое расхождение квалифицируется как нарушение требований к организации обработки персональных данных.

Наиболее часто при проверках выявляются следующие несоответствия:

• цели обработки в документах не совпадают с фактическим использованием данных;

• перечни персональных данных занижены или неактуальны;

• указанные меры защиты не реализованы на практике;

• не назначены ответственные лица фактически, несмотря на наличие приказов;

• сотрудники, работающие с персональными данными, не ознакомлены с локальными актами;

• процедуры реагирования на обращения субъектов существуют только «на бумаге».

Особое внимание Роскомнадзор уделяет ситуациям, когда документы были разработаны формально и не обновлялись при изменении процессов. Запуск нового сайта, внедрение CRM, изменение кадровых процедур или передача функций подрядчику автоматически требуют пересмотра документации. Отсутствие актуализации рассматривается как самостоятельное нарушение.

Обработка персональных данных на сайте: отдельная зона повышенного риска

Корпоративный сайт является одной из самых уязвимых точек с точки зрения соблюдения законодательства о персональных данных. Это связано с тем, что сайт — публичный и легко проверяемый ресурс, а контроль со стороны регулятора часто начинается именно с дистанционного анализа веб-страниц без взаимодействия с самой организацией.

Любой сайт, на котором присутствуют формы обратной связи, заявки, регистрации, подписки, онлайн-чаты или сбор технических данных пользователей, фактически осуществляет обработку персональных данных. В этом случае оператором персональных данных признается владелец сайта, независимо от того, кто его разрабатывал или администрирует.

Практика показывает, что Роскомнадзор активно использует мониторинг сайтов как самостоятельный инструмент надзора. Выявленные нарушения могут стать основанием для внеплановой проверки или административного производства без предварительных запросов к оператору.

Наиболее распространенные нарушения при обработке персональных данных на сайте включают:

• отсутствие политики в отношении обработки персональных данных либо ее формальный характер;

• несоответствие содержания политики фактическим формам и сценариям обработки;

• сбор персональных данных без надлежащего согласия субъекта;

• отсутствие информации о целях обработки и составе собираемых данных;

• использование сторонних сервисов и аналитики без учета передачи персональных данных третьим лицам.

Отдельного внимания заслуживает распространенная ошибка, когда политика размещена на сайте, но не связана с формами сбора данных. Отсутствие ссылок на политику, чекбоксов согласия или корректных формулировок согласия рассматривается как нарушение порядка получения согласия субъекта персональных данных.

Аудит сайта по 152-ФЗ: зачем он нужен даже при наличии документов

Наличие разработанных внутренних документов по персональным данным не гарантирует, что сайт организации соответствует требованиям законодательства. Практика надзора показывает, что даже у компаний с формально выстроенной системой ОРД сайт часто остается «слабым звеном», поскольку создавался или дорабатывался без учета требований 152-ФЗ.

Аудит сайта по 152-ФЗ представляет собой целенаправленную проверку того, как именно на сайте осуществляется сбор и обработка персональных данных, и соответствует ли этот процесс требованиям закона, сведениям из уведомления в Роскомнадзор и внутренней документации оператора.

В отличие от общего правового анализа, аудит сайта фокусируется на прикладных и легко проверяемых аспектах, которые регулятор оценивает в первую очередь при дистанционном контроле. Именно по результатам такого анализа Роскомнадзор часто принимает решение о начале внеплановой проверки.

В рамках аудита сайта, как правило, проверяется:

• наличие и корректность политики в отношении обработки персональных данных;

• соответствие политики фактическим формам и сценариям сбора данных;

• правомерность получения согласий субъектов персональных данных;

• корректность текстов согласий и механизмов их получения;

• обработка данных через формы, онлайн-чаты, заявки, подписки;

• использование сторонних сервисов, аналитики и виджетов;

• передача персональных данных третьим лицам через сайт.

Отдельное внимание уделяется тому, совпадают ли сведения о целях, категориях данных и субъектах, указанные на сайте, с информацией в ОРД и уведомлении в Роскомнадзор. Любые расхождения фиксируются как несоответствие и усиливают правовую позицию регулятора.

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Распространенная ошибка — рассматривать аудит сайта как разовую формальность. На практике сайт является динамичным инструментом: добавляются новые формы, сервисы, интеграции, меняется логика взаимодействия с пользователями. Если изменения не сопровождаются правовой оценкой, сайт быстро выходит за рамки правового поля.

Ответственность за нарушения в сфере персональных данных: что применяется на практике

Нарушения требований законодательства о персональных данных в Российской Федерации влекут административную ответственность, независимо от того, были ли они допущены умышленно или вследствие формального подхода к выполнению требований. Ключевой особенностью правоприменительной практики является то, что ответственность наступает за сам факт нарушения, а не за причинение реального вреда субъектам персональных данных.

Ответственность предусмотрена Кодексом Российской Федерации об административных правонарушениях и охватывает широкий круг составов — от отсутствия обязательных документов до нарушения порядка сбора и обработки персональных данных. При этом каждый выявленный эпизод может квалифицироваться как самостоятельное правонарушение.

На практике чаще всего привлекают к ответственности за следующие нарушения:

• отсутствие или некорректное оформление организационно-распорядительной документации;

• обработку персональных данных без надлежащих правовых оснований;

• несоблюдение требований к получению согласия субъектов персональных данных;

• несоответствие сведений, указанных в уведомлении, фактической деятельности;

• нарушение прав субъектов персональных данных;

• нарушения при обработке персональных данных через сайт.

Отдельную категорию последствий составляют предписания об устранении нарушений. Они выдаются независимо от назначения штрафа и содержат конкретные требования с установленными сроками исполнения. Неисполнение предписания влечет дополнительную ответственность и усиливает позицию регулятора при последующих проверках.

Также следует учитывать риск ограничения доступа к сайту. Он возникает в случаях, когда нарушения связаны с незаконным сбором персональных данных через интернет-ресурсы и не устраняются в установленный срок. На практике блокировка применяется как мера понуждения к устранению нарушений, а не как первичная санкция.

Вставка для блока формы обратной связи:
Если вы не понимаете, какие именно нарушения могут быть в вашей деятельности и к чему они приводят, это нормальная ситуация для большинства организаций. Ответственность наступает не за намерения, а за факты. Предварительная оценка рисков позволяет избежать санкций и предписаний.

Ключевой вывод состоит в том, что регулятор оценивает системность соблюдения требований, а не отдельные действия оператора. Наличие уведомления, политики или отдельных приказов не освобождает от ответственности, если в целом обработка персональных данных не организована в соответствии с законом.

Если вы не уверены в корректности комплекта документов, это можно определить только через анализ реальных процессов обработки персональных данных.

Универсальных списков без учета специфики не существует.

Экспертная проверка документов позволяет выявить пробелы до начала проверки регулятора.

Подробнее об услуге