В данной статье мы разберем некоторые тематические блоки Дня открытых дверей РКН 2026 года. Мы отметим только те блоки и вопросы, которые, на наш взгляд, стоит «подсветить» дополнительно с точки зрения практической пользы. При этом, в статье мы не будем цитировать РКН, мы структурировали материал по своему усмотрению и постарались передать смысл посылов контролирующего органа через собственное восприятие, не искажая и сути.
Постоянные блоки всех вебинаров и иных мероприятий в области ПДн («Что такое ПДн?» и «Кто является оператором?») подробно описывать не будем, но обратим внимание на приведенные РКН примеры ПДн, позиции по специальным категориям и биометрии, отнесении лица, действующего по поручению, к Операторам.
Блок 1. Определение ПДн:
1. Уникальные идентификаторы даже без ФИО, относящиеся к личности – это ПДн (например, серия, номер паспорта, СНИЛС, ИНН).
Также к ПДн относится, например, оценка ключевых показателей, деловых и профессиональных качеств, психоэмоциональный портрет работника.
2. Примеры сведений, не относящихся к ПДн сами по себе без дополнительной информации:
- Государственный регистрационный номер и VIN автомобиля, так как по приказам МВД РФ они относятся не к владельцу, а к транспортному средству.
- Номер лицевого счета, так как исходя из по жилищного законодательства он присваивается жилому помещению, а не собственнику.
- Номер телефона согласно Правилам оказания услуг телефонной связи относится к пользовательскому устройству, а не к пользователю.
Если к этим сведениям добавить, например, ФИО, адрес и тд., то в совокупности все данные будут относиться к персональным.
Что еще не относится к ПДн: действия работника в информационной системе (согласование документов и иные служебные операции), так как это вопросы выполняемого функционала.
3. Специальные категории ПДн:
- Сведения только о наличии судимости. Информация об отсутствии судимости – не относится к специальной категории.
- Сведения об инвалидности. Сам по себе ответ «да» или «нет» не является специальной категорией. Но если собираемая информация необходима и достаточна для принятия решения об организации специальных условиях труда, ограничениях, льготах, то она в совокупности относится к специальной категории, поскольку на ее основании принимается решение.
- Больничный лист – нужно оценивать его содержание через понятие информации о состоянии здоровья (факт наличия заболевания, установленный диагноз, виды медицинской помощи и тд.). Если информация подходит под определение «состояние здоровья» по 323-ФЗ, то это специальная категория.
4. Биометрия. Критерии отнесения: используется для установления личности и(или) информация отнесена к биометрии НПА.
Примеры:
- Фото- видеоизображение лица и голос, обрабатываемые в Единой биометрической системе по 572-ФЗ – биометрия. За пределами 527-ФЗ фото, видео и аудиозапись (в том числе, в СКУД) – это обычные (иные) ПДн.
- Отпечаток пальца или венозной рисунок ладони при проходе на территорию оператора (например, в фитнес-центр) – биометрия. Отказать в услуге при отказе в предоставлении этих данных или отказе подписать письменное согласие нельзя в силу законодательства о защите прав потребителей. Рекомендация: иметь альтернативные формы допуска (карты, пропуска, запись).
Блок 2. Оператор персональных данных.
Главный критерий отнесения к Оператору – наличие факта обработки ПДн. Даже совершая одно действие по обработке ПДн компания становится Оператором.
Примеры Операторов:
- Дата-центр, который предоставляет технические мощности для размещения баз ПДн, не имея доступа к данным, является Оператором, поскольку как минимум осуществляет их хранение.
- Привлекаемая по договору организация (например, для проведения экспертизы) является Оператором.
- Организации, занимающиеся технической поддержкой и администрированием ИСПДн – чаще всего подпадают под понятие Оператор, поскольку при работах могут иметь доступ к ПДн.
Примеры не Операторов:
- При аренде помещения, когда оборудование (стойки и серверы) принадлежат самому Оператору, арендодатель Оператором не будет являться (он никаких действий с ПДн не совершает).
- Страховые агенты – физические лица, привлекаемые по гражданско-правовому договору, действующие от лица страховой компании — самостоятельными операторами не являются.
- Инициатор общего собрания собственников помещений или заседания СНТ – не Оператор по 152-ФЗ, так как реализует свое право, предоставленное законом; это не профессиональная деятельность с кодами экономической деятельности.
Еще одна важная позиция!
152-ФЗ не разделяет понятия «Оператор» и «Лицо, действующее по поручению». В контексте 152-ФЗ – «Лицо, действующее по поручению» также является Оператором, отличается только зона ответственности.
После завершения семинара мы задали вопрос спикеру относительно того, должно ли лицо, действующее по поручению, отражать цели поручения в Уведомлении? И получили утвердительный ответ – если обработка ПДн есть, то она должна быть заявлена в Уведомлении в полном объеме и отражать фактическую обработку всех субъектов ПДн, всех категорий ПДн, иначе информация будет неполной. Допустимо, например, указать цель в формате «предоставление таких-то услуг в рамках договора поручения».
Блок 3. Ведение процессов обработки ПДн, что учесть:
РКН ещё раз напомнил про фундамент, на котором должна строиться работа с ПДн:
- Цель обработки — максимально конкретная. Никаких размытых формулировок.
- Правовое основание — определяется относительно Цели. Акцент на переходе от согласий к другим основаниям (например, договор).
- Перечень данных — только минимально необходимый. Принцип минимизации — не формальность, а обязательное требование.
- Сроки обработки — чётко определяем, когда цель будет достигнута, и сколько можно хранить данные. При этом обязательно учитываем отраслевые требования к хранению.
- Фиксация в документах — прежде всего в Политике в отношении обработки ПДн или в иных локальных актах по усмотрению оператора.
- Уведомление РКН. Для нового оператора – первичное Уведомление, для оператора, уже включенного в Реестр – корректирующее Уведомление при появлении новой цели (или иных изменениях у оператора).
- Внутренний контроль и оценка вреда.
- Контроль на регулярной основе.
- Порядок проведения внутреннего контроля определяет оператор.
- Важный аспект внутреннего контроля – отслеживание обстоятельств, при которых обработку следует прекратить, а данные уничтожить. Поэтому важно фиксирование всех действий и операций с ПДн.
- Оценка вреда – регулируется Приказом РКН № 178. Акт готовится в любой случае, даже если критерии Приказа РКН № 178 не установлены.
Разрабатывая сервис «152DOC», мы ориентировались именно на такой подход, чтобы операторы персональных данных могли исполнить все требования 152-ФЗ.
Блок 4. Трансграничная передача (ТГ-передача) – основные изменения в законе с момента прошлого Дня открытых дверей.
Для определения ТГ-передачи важны одновременно 3 критерия:
- передаются именно ПДн, а не иная информация;
- передаются на территорию иностранного государства;
- передаются иностранному лицу.
Примеры того, что НЕ является ТГ-передачей:
- Направление сообщения с ПДн через иностранный мессенджер российскому физическому лицу;
- Обмен ПДн между иностранными лицами;
- Размещение данных на сайте, доступ к которому имеет неопределенный круг лиц, в том числе иностранные;
- Отношения между иностранной платформой/сервисом и физическим лицом – гражданином, самостоятельно разместившим на ней свои ПДн.
Логика работы с ТГ-передачей:
- Сначала — локализация баз ПДн в России. Только после этого можно передавать данные за границу — с учётом требований ст. 12 152ФЗ. Правовое основание для ТГ-передачи может быть не только согласие — можно выбрать любое подходящее основание по закону.
- Оцениваем «адекватность» страны. Основной критерий «адекватности» – анализ законодательства и правоприменения, позволяющий сделать вывод о гарантиях защиты прав субъектов ПДн. Проект нового перечня разработан РКН и размещен для общественного обсуждения.
- Проверяем контрагента: смотрим уровень защищённости ПДн, наличие надзорного органа, систему защиты прав граждан и санкции за нарушения.
- Уведомляем РКН единожды. Если вы уже заявили о передаче в определённые страны и по конкретным целям, уведомлять о каждом новом контрагенте в тех же странах и для тех же целей не нужно. Если условия ТГ-передачи изменились — сообщаем в РКН.
- Передаем ПДн. Момент начала передачи: для «адекватных» стран – со дня подачи уведомления о ТГ-передаче, для остальных стран – по истечении 10 рабочих дней. Решение о запрете или ограничении ТГ-передачи может быть принято в отношении любой страны.
Иностранные сервисы: как подходить к оценке.
Важно разделять требования по локализации и по трансграничной передаче путем оценки функционала и анализа потока ПДн.
Приведенные примеры:
- Google Analytics — это трансграничная передача, возможна при соблюдении ст. 12 152ФЗ.
- Google Таблицы — нарушение локализации.
- Электронная почта как способ коммуникации — в законе прямого запрета нет.
Блок 5. Согласие на обработку ПДн.
Основной посыл — пересмотр необходимости получать согласия всегда и везде, на всякий случай. Ориентир должен смещаться в пользу иных правовых оснований, допускающих обработку ПДн (Договор, Исполнение закона и тд.).
Что нужно для соблюдения ч. 1 ст. 9 152-ФЗ в отношении критериев к согласию в свободной форме (предметность, конкретность, информированность, осознанность, добровольность)?
В общем согласии должны быть конкретная цель, четкий перечень и объем данных, обрабатываемых именно на основании этого согласия, сроки обработки, способ отзыва.
Нужно ли указывать в Согласии третьих лиц?
Для письменной формы согласия по ч. 4 ст. 9 152-ФЗ — обязательно указание лиц, которым поручается обработка.
Для обычного согласия в свободной форме такого жесткого требования нет. Рекомендация: постоянных партнеров указывать поименно, при подвижном списке – давать ссылку на страницу сайта с актуальным перечнем.
Может ли согласие быть дано сразу нескольким операторам?
В одном согласии не может быть указано несколько операторов, если нет исключений, четко установленных НПА (например, согласие в рамках Единой биометрической системы).
Согласие предоставляется одному конкретному оператору, а остальные лица прописываются в его тексте как лица, привлекаемые к обработке.
Можно ли в одном согласии указать несколько целей обработки ПДн?
Несколько целей допустимы только для согласия в свободной форме (для письменного согласия по ч. 4 ст. 9 152-ФЗ — это невозможно).
Рекомендация: использовать в свободном согласии блоковую структуру: общая «шапка», каждая цель с ее подробным описанием выделена в отдельный блок, под каждым блоком – отдельная отметка, позволяющая согласиться либо отказаться.
При реализации согласия в формах сбора на сайте обязательно ли размещать полный тест согласия?
Текст согласия обязательно должен быть доступен для прочтения, но вывешивать полный текст согласия рядом с формой сбора на сайте не обязательно, можно сделать гиперссылку на документ или отдельную страницу сайта с полным содержанием согласия.
Нужно ли уничтожать согласия при достижении цели обработки пДн, для которых оно было получено?
Согласие по достижении цели обработки не уничтожается вместе с данными. Оно прекращает действовать и теряет юридическую силу, но подлежит хранению, как подтверждение факта наличия определенных отношений и их правомерности.
Примеры случаев, когда согласие не требуется:
- Отдельное согласие на обработку ПДн в рамках договора об оказании медицинских услуг. Передача анализов в стороннюю лабораторию также является частью оказания медицинской услуги.
- Передача сведений в МВД России гостиницей – обязанность, установленная законом.
- Согласие на передачу данных в налоговые органы, внебюджетные фонды, трудовые инспекции, военкоматы.
- Передача в банк в рамках зарплатного проекта. Выплата заработной платы – обязанность работодатеотя по ТК РФ. От работника достаточно заявления о зачислении на конкретную карту.
- Передача данных работника в удостоверяющий центр для выпуска электронной подписи и машиночитаемой доверенности покрывается трудовым законодательством и договором организации с удостоверяющим центром.
- Данные родственников работника в объеме, предусмотренном законодательством. Но дополнительная информация (место работы, должность, номер телефона) требует согласия самих родственников. При этом схема, при которой работник, предоставляя сведения о родственниках, подтверждает наличие их согласия, не работает.
- Страхование. Обработка сведений о состоянии здоровья допускается п.8 ч.2 ст.10 152-ФЗ (случаи, предусмотренные страховым законодательством) и покрывается договором страхования, включая передачу эксперту и в сервисный центр по КАСКО и ОСАГО.
- Соискатели с рекрутинговых площадок. Отношения регулируются пользовательским соглашением площадки, где предусмотрено право работодателей получать данные и направлять предложения.
- Резюме, направленное напрямую, если кандидат принимается сразу (анкета используется для заключения трудового договора). При наличии процедуры отбора, собеседований, составления «портрета» кандидата и тд. – согласие потребуется, так как обработка данных соискателей ТК РФ не урегулирована (в отличие от законодательства о государственной гражданской службе).
- Кадровый резерв, если есть соответствующее соглашение, регулирующее подбор персонала, рассмотрение вакансий, ведение кадрового резерва.
- Видеонаблюдение в учреждениях здравоохранения, образования, оборонного комплекса: порядок определяется локальным актом, положения которого не должны противоречить законодательству.
- Видеонаблюдение в торговых центрах, магазинах и иных местах с потоком посетителей: достаточно таблички о ведении видеонаблюдения. Запись может использоваться для защиты законных интересов оператора.
- Использование в рекламной кампании изображений, когда за позирование выплачено вознаграждение (ст.152.1 ГК РФ).
- Отзыв на форуме, сайте, размещаемый самим пользователем с указанием фамилии и имени при наличии соответствующих правил форума/сайта, где будет прописано про общедоступность отзыва и про принятие данных правил пользователем при размещении отзыва.
Блок 6. Распространение ПДн.
При каких условиях можно собирать ПДн из открытых источников?
- Если это прописано в Пользовательском соглашении площадки. Например:
- Допустимо использование адресов электронной почты и телефонов с площадок со сведениями о компаниях и ИП для рассылок, если по правилам площадки эти данные общедоступны без ограничений.
- Правилами площадки предусмотрено, что информация общедоступной страницы может использоваться другими пользователями и лицами. Зарегистрировавшись и не закрыв страницу, субъект присоединяется к этим условиям, и данные могут использоваться третьими лицами.
- Данные получены из общедоступных государственных реестров (ЕГРИП, ЕГРЮЛ, Банк исполнительных производств). Исключения могут быть установлены профильными НПА! Например:
- ЕГРН сведения о ФИО правообладателя предоставляет только в определенных случаях и определенным лицам. Передача выписки ЕГРН иным лицам будет нарушение.
- Декларации о доходах государственных служащих размещаются только на сайтах закрытого перечня, определенного указом Президента РФ и постановлением Правительства РФ. Скачивание декларации и размещение ее на стороннем ресурсе незаконно.
Как реализовать согласие на распространение в форме на сайте с учетом того, что в ней нужно дать возможность субъекту прописать условия и запреты? И как проинформировать пользователей сайта о наличии условий и запретов?
- Оператор вправе самостоятельно разработать форму согласия на распространения, предложив в ней список ограничений для выбора, которые он способен обеспечить технической инфраструктурой и функционалом сайта.
- Возможные способы информирования пользователей: баннер на сайте, размещение на странице с публикацией ПДн, всплывающее окно при посещении, отражение в локальном документе, размещенном на сайте и иные способы на усмотрение оператора, поскольку закон здесь не устанавливает жестких требований.
Блок 7. Поручение.
Ошибка в определении правовых оснований обработки ПДн лицом, действующим по поручению. Для лица, действующего по поручению, согласие не выступает правовым основанием (оно даже не обязано его получать в силу ч. 4 ст. 6 152-ФЗ). Правовое основание здесь – Договор с оператором.
Как оформить поручение: отдельным поручением или включить в основной договор – оба варианты допустимы.
Пользователи сервиса «152DOC» имеют возможность получить шаблон Поручения через онлайн-чат сервиса.
Одно поручение для нескольких привлекаемых лиц возможно, если цель обработки единая. Но наоборот нельзя: несколько Операторов не могут выдать одно поручение одному лицу.
Что касается группы компаний и единой ИСПДн, которой пользуются все.
Каждая компания, входящая в группу – это отдельный оператор.
Владелец ИСПДн – оператор этой ИСПДн, остальные компании – пользователи. Размещая данные в единой ИСПДн, пользователи поручают обработку владельцу по договору поручения с условиями, предусмотренными ч. 3 ст. 6 152-ФЗ.
Ответственность утечку на стороне владельца системы несет компания, разместившая данные в системе и поручившая обработку владельцу ИСПДн . Владелец системы отвечает перед оператором в гражданско-правовом порядке (возмещение убытков в судебном порядке).
Уничтожение данных при поручении. Каждый уничтожает данные, находящиеся в его распоряжении, и готовит подтверждающие документы.
Блок 8. Интернет-ресурсы.
При использовании метрических программ важно первичное информирование (например, всплывающий баннер), поскольку функционал таких программ скрытый.
О чем нужно информировать: какие сведения собираются и с помощью каких конкретных программ. При использовании иностранных программ и ТГ-передаче рекомендуется тоже отразить это в баннере.
Далее допустимо сделать ссылку на Пользовательское соглашение, в котором предусмотрено, что, заходя на сайт и совершая определенные действия, пользователь принимает условия, данного соглашение. Согласие на обработку ПДн при наличии подобного Пользовательского соглашения не нужно.
При использовании иностранных программных средств нужно изучить Лицензионное соглашение или Условия использования иностранного программного средства на предмет ТГ-передачи в адрес разработчика. Положение об осуществлении ТГ-передачи обязательно закрепляется в Пользовательском соглашении и Политике в отношении обработки ПДн, подается Уведомление в РКН.
Обязательно сохранение лог-файлов, подтверждающих действия пользователей на сайте. Сроки их хранения определяются оператором самостоятельно с учетом рисков, связанных с доказыванием совершения пользователем определенных действий. Рекомендация: как можно дольше хранить логи, подтверждающие проставление отметки о согласии с Пользовательским соглашением или иными условиями обработки ПДн.
При использовании на сайте Рекомендательных технологий (ст.10.2-2 149-ФЗ) нужно разместить на сайте Правила применения рекомендательных технологий и проинформировать посетителя об их использовании.
Правила применения рекомендательных технологий и Политика в отношении обработки персональных данных – два разных документа, объединять их нельзя.
Для нашей команды сервиса «152DOC» День открытых дверей стал отличной возможностью сверить часы с регулятором и получить прямые практические ориентиры.