С Днём юриста, коллеги!🎉

Наша работа не только в знании статей и законов. Она требует глубокого понимания процессов, железных нервов и мудрости в спорных моментах. Мы защищаем права и интересы, находим решения в самых сложных ситуациях. 

Желаю вам добросовестных клиентов, железобетонных доводов и профессиональных побед. Пусть Роскомнадзор радует только разъяснениями, а проверки обходят вашу организацию стороной. Пусть ваша экспертность будет востребованной, а профессия приносит не только уважение, но и радость. 

Крепкого здоровья, профессионального азарта и вдохновения, коллеги!

Чин-чин 🥂 за нас, мыслящих нестандартно, но в рамках закона!

⚠️ Иллюзия безопасности: почему размер бизнеса не спасает от штрафов ⚠️

«Мы маленькие, нас не проверят» — самое опасное заблуждение, которое может стоить любому бизнесу сотни тысяч рублей.

Раньше владельцы малого бизнеса и ИП могли рассчитывать, что надзорные органы не станут тратить время на «мелкие» проверки. Но для Роскомнадзора размер бизнеса больше не имеет значения. 

Под проверку может попасть ЛЮБАЯ организация, ИП или самозанятый, если обрабатывает данные сотрудников или клиентов. Автоматизированные системы РКН массово сканируют сайты и выявляют нарушения.

Если на вашем сайте есть форма заявки, вы храните контакты клиентов или нанимаете сотрудников — вы оператор ПДн и находитесь в зоне внимания надзорных органов. 

👉 Я собрала главные заблуждения бизнеса, которые могут дорого обойтись.

1️⃣  «Уведомление в РКН отправлено, политика на сайте размещена — этого достаточно».
 
НО! РКН проверяет все: политики, согласия, внутренние документы (приказы, инструкции). 

2️⃣ «Если бизнес не зарегистрирован как оператор ПДн, то о нем не знают, а значит, не проверят».

НО! Роскомнадзор легко находит сайты с формами, где пользователям необходимо вводить свои данные. И первое, что проверит надзорный орган, – является ли организация оператором ПДн. За неподачу уведомления в РКН предусмотрен штраф.

3️⃣ «Организация мер защиты ПДн — это слишком сложно и дорого».

НО! От утечек данных не застрахован ни один бизнес, а штрафы и судебные издержки обойдутся намного дороже, чем установка систем информационной защиты. 

4️⃣ «Моя фирма работает только с юрлицами, а 152-ФЗ – про физлиц».

НО! В договоре с организацией, указан конкретный человек: директор или менеджер. Вы обрабатываете его данные — ФИО, должность, рабочий email, телефон — а значит обязаны исполнять требования Закона «О персональных данных» № 152‑ФЗ.

☝️ Теперь РКН работает по риск-ориентированному подходу. В порядок проведения проверок были внесены поправки ПП РФ от 27.08.2025 № 1286. Это значит, что частота проверок будет зависеть от категории риска (высокий, значительный, средний и т.д.), которую присваивают конкретному бизнесу. Но внеплановая проверка по жалобе клиента или сотрудника может прийти в любой момент, независимо от категории.

👩🏻‍🎓 Не рискуйте! Надежда на «незначительность» — самый рискованный и дорогой способ «сэкономить». Штрафы и судебные издержки всегда обходятся дороже, чем грамотное составление документов и организация систем информационной защиты.

❓ Как поручить обработку персональных данных третьему лицу и ничего не нарушить: пошаговый план 📋

Чтобы облегчить задачу хранения и обработки ПДн, многие компании работают с облачными CRM, привлекают стороннего бухгалтера или пользуются IT-поддержкой, услугами маркетинговых сервисов. Такие контрагенты обрабатывают ПДн клиентов и сотрудников компаний по поручению Оператора.

Разберем вместе как правильно передавать данные подрядным организациям и не нарушать требования Закона «О персональных данных» № 152‑ФЗ.

Для этого важно понимать, чем отличаются роли Оператора и Обработчика ПДн, который действует по поручению:

☝️ Оператор — это любая компания или ИП, которые определяют цели и способы обработки данных, организуют процессы и несут ответственность перед субъектами.

☝️ Обработчик (или третье лицо) — это организация, которая обрабатывает ПДн по поручению оператора и только в рамках договора. Он не владеет базой данных и не имеет права менять цели или способы обработки. Несёт ответственность перед Оператором и после окончания работы обязан прекратить обработку и удалить данные.

Чтобы передать обработку ПДн третьему лицу, стороны должны заключить договор, по которому Оператор разрешает Обработчику выполнять конкретные операции с данными, строго в рамках определенных целей. Основание — ч. 3 ст. 6 ФЗ-152. Это и есть поручение на обработку ПДн.

Разберем пошагово, что должен сделать Оператор, на примере передачи кадровых данных сотрудников бухгалтерии на аутсорсе:

1️⃣ Оператор (организация) определяет цели и необходимые данные (ФИО, паспортные данные, СНИЛС, тлф и др.), какие операции и через какие системы можно совершать, сколько хранить. Бухгалтер будет только технически обрабатывать данные.

2️⃣ Организация должна получить согласия сотрудников (субъектов данных) на передачу их данных третьему лицу. При этом цель передачи данных, которая указана в согласии, должна совпадать с целью в договоре поручения.

3️⃣ Оператор обязан заключить договор поручения обработки ПДн с бухгалтерией. Многие организации пропускают этот пункт и узнают об этом только при проверке Роскомнадзора или утечке данных. В договоре обязательно должны быть указаны:

✅ четкие и понятные цели обработки,
✅ перечень передаваемых данных,
✅ какие операции с данными должен выполнять обработчик (сбор, хранение, передача, обезличивание, уничтожение и т.д),
✅ сроки обработки и хранения ПДн,
✅ технические и организационные меры,
✅ порядок реагирования на инциденты и обработки запросов субъектов,
✅ условия ответственности сторон, гарантии, неустойки,
✅ условия прекращения обработки и уничтожения данных.

4️⃣ Необходимо запретить Обработчику выходить за рамки поручения. Бухгалтер не может самостоятельно решать, как обрабатывать данные или использовать их для собственных целей.

5️⃣ Важно учесть суб-обработчиков. У бухгалтерии это может быть, например, служба технической поддержки ПО, которое используется для работы с информацией. 

6️⃣ Оператор периодически должен проверять соблюдение условий договора-поручения, запрашивать документы, быть уверенным в отсутствии утечек данных. 

👩‍🎓 Передача обработки ПДн третьим лицам — нормальная практика. НО! Формально «передать их и забыть» не получится, т.к. ответственность остаётся на Операторе.

🌟 Каждый декабрь ловлю себя на одном и том же. С одной стороны, я люблю эту предновогоднюю суету и атмосферу: яркие огни городских гирлянд, планы на будущее, ожидание перемен. 

Но есть и то, что каждый раз меня  удивляет: люди, которые стремятся доделать ВСЁ, что не успели за год. Они затягивают в аврал и себя, и других, как будто 31 декабря — это магический дедлайн 💫

Почему мы воспринимаем Новый год как точку обновления, после которой жизнь непременно изменится?

В психологии это называется fresh start effect — эффект свежего старта. Человек опирается на условную временную отметку, чувствует, что может начать все заново, и это мотивирует его на изменения.

Моя иллюзия чистого листа исчезает уже 1 января. Как будто наступает лишь следующий день недели, а жизнь остается прежней.

🎉 А вы как ощущаете конец года? Уже настроились на праздник или пока закрываете хвосты? 🎄

📌 Дайджест постов, которые отвечают на сложные вопросы о работе с персональными данными 📌

◾ Кто больше защищен от проверок: малый или крупный бизнес? Мой ответ — ни тот, ни другой. Рассказала, почему размер бизнеса не спасает от штрафов. 

◾ Раскрыла 4️⃣ причины, почему согласия на обработку данных, взятые «на всякий случай» не защищают организацию, а наоборот — создают юридические риски.

◾ В посте о том, как законно поручить обработку ПДн третьим лицам,  вы найдете пошаговый алгоритм выстраивания процессов между Оператором и Обработчиком.

◾ В посте «Какие документы можно хранить в личных делах сотрудников, а какие нет» вы найдете перечень документов, которые не должны оставаться у работодателя «на всякий случай», чтобы не нарушать требования Закона «О персональных данных» № 152‑ФЗ.

◾РКН начал разработку стандартов по работе с персональными данными. Они могут стать обязательными для некоторых сегментов бизнеса. 

◾Тот случай, когда лишнего лучше не писать. Рассказываю, как проверяет сайты автоматизированная система РКН и какие слова лучше вообще исключить из политики, чтобы избежать вопросов от регулятора.

Полезного применения на практике!

🎉 С наступающим 2026 годом 🎄

Прошедший год для юристов по персональным данным оказался непростым. Чего только стоили новые штрафы в КОаП, которые вступили в силу с 30 мая, а с 1 сентября — изменения Закона № 152‑ФЗ в части согласий и обезличивания данных. Рост внимания РКН к документам и фактическим процессам организаций, автоматизированные системы проверки — всё это стало нашей повседневной работой.

Работа с персональными данными становится сложнее и ответственнее. Формальные документы уходят на второй план, а на первый выходит реальная практика.

Пусть в 2026 году у нас будет меньше авралов, больше системности и понятных требований. Пусть знания не устаревают быстрее, чем их успеваешь применить, а изменения в законодательстве помогают сделать работу с данными более безопасной.

Желаю вам профессиональной уверенности, адекватных клиентов и руководителей. 
Много сил, терпения и интереса продолжать разбираться в меняющемся законодательстве — это именно то, что помогает нам оставаться экспертами в нашей непростой работе.

С Новым 2026 годом! 🎆