День открытых дверей Роскомнадзора по вопросам персональных данных (14 августа 2026 года)

Эксперты Роскомнадзора («РКН») ответили на вопросы, возникающие при применении законодательства о персональных данных («ПДн») – Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» («152-ФЗ»).

Видео опубликовано по ссылке в официальной группе РКН.

Для удобства разъяснения экспертов поделены на 5 смысловых блоков:

• понятие и виды ПДн
• согласие на обработку ПДн
• поручение на обработку ПДн
• трансграничная передача ПДн и локализация
• иные вопросы

Ключевые изменения

Трансграничная передача персональных данных

Таймкод: 00:42:09 – 00:44:51

С предыдущего Дня открытых дверей РКН от 27.08.2025 (ключевые выводы опубликованы по ссылке), в 152-ФЗ было внесено лишь одно изменение – в ст. 12, регулирующую порядок трансграничной передачи персональных данных («ТГП»)

Таким образом, формального статуса участника Конвенции Совета Европы от 28.01.1981 № 108 теперь недостаточно для признания страны обеспечивающей адекватную защиту прав субъектов ПДн.

При этом:

• порядок ТГП не изменяется
• повторная подача уведомлений не требуется
• перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн, формируется на основе международных критериев (наличие уполномоченного органа, национального законодательства в области ПДн, системы санкций за его нарушение)
• приказ РКН по утверждению нового перечня стран, обеспечивающих адекватную защиту ПДн, находится на стадии общественного обсуждения, ознакомиться можно по ссылке

Авторизация пользователей

Ч. 10 ст. 8 149-ФЗ «Об информации, информационных технологиях и о защите информации»

Таймкод: 00:48:37 – 00:51:42

Требования существуют с 2023 года. Но административная ответственность введена в 2026 году – ст. 13.55 КоАП РФ

Владелец сайта, страницы сайта в Интернете, информационной системы, программы для ЭВМ, являющийся российским ЮЛ или гражданином РФ и осуществляющий свою деятельность в Интернете на территории РФ в случае, если (1) доступ к информации, размещенной на его сайте предоставляется пользователям, прошедшим авторизацию, обязан проводить ее в отношении (2) пользователей, находящихся на территории РФ, одним из следующих способов:

• с использованием абонентского номера
• с использованием ЕСИА
• с использованием ЕБС
• с использованием иной информационной системы

Что означает «иная информационная система» (п.4):

Закон допускает использование иной информационной системы, но устанавливает к такой системе два обязательных условия:

• система должна принадлежать российскому ЮЛ или ФЛ
• система должна соответствовать специальным требованиям статьи 16 149-ФЗ

Вывод: если вы в настоящее время используете собственную систему или приобретенное решение, и они соответствуют требованиям п. 4 ч. 10 ст. 8 149-ФЗ, вы можете продолжать их использование.

Что не подпадает под требования ч. 10 ст. 8 149-ФЗ:

• если пользователи вводят адрес электронной почты или иной идентификатор для входа или регистрации, когда процедуры предоставления доступа к аккаунту с их помощью не осуществляются
• иностранные сервисы (Apple ID, Google Accounts, LinkedIn, Telegram)

Ответственность по ст. 13.55 КоАП РФ

• для граждан: 10 000 – 20 000 рублей
• для должностных лиц: 30 000 – 50 000 рублей
• для юридических лиц: 500 000 – 700 000 рублей

Q&A блок

Понятие персональных данных, виды персональных данных

Вопрос

Являются ли идентификаторы (СНИЛС, ИНН, номер телефона, e-mail) персональными данными, если нет ФИО?
Таймкод: 01:26:11 – 01:28:22

Ответ

Да, если идентификатор является уникальным и принадлежит конкретному гражданину (СНИЛС, ИНН).

Нет, если идентификатор относится не к субъекту, а к объекту: госномер/VIN-номер авто (к транспортному средству), номер лицевого счета (к жилому помещению), номер телефона (к пользовательскому устройству). Однако в совокупности с ФИО и другими данными они становятся ПДн.

Вопрос

Является ли номер телефона в форме обратной связи на сайте ПДн?
Таймкод: 01:21:33 – 01:24:40

Ответ

Нет, если вводится только номер телефона.

Если дополнительно собираются имя, e-mail и другие данные – это уже ПДн, и необходимо правовое основание для обработки. Вместо отдельного согласия можно использовать пользовательское соглашение.

Вопрос

При фиксации камерой нарушения ПДД ГИБДД осуществляет незаконную обработку ПДн (фотография, где видно лицо и госномер транспортного средства)?
Таймкод: 01:28:28 – 01:29:20

Ответ

Нет, ГИБДД осуществляет свои полномочия по контролю за соблюдением ПДД на основании закона. Автофиксация нарушений прямо предусмотрена КоАП РФ. Более того, госномер – не ПДн.

Вопрос

Видеонаблюдение в магазине, на работе – это обработка ПДн?
Таймкод: 01:33:26 – 01:35:45

Ответ

Да, видеонаблюдение является обработкой ПДн. Для специализированных учреждений (здравоохранение, образование, оборонный комплекс), такая обработка определяется законом и локальным актом организации. В магазинах должно быть обеспечено информирование посетителей (табличка «ведется видеонаблюдение»). Отдельного согласия не требуется.

Вопрос

Если сосед сфотографировал машину с людьми и разместил фото в паблике с критикой – это обработка ПДн?
Таймкод: 01:29:25 – 01:30:08

Ответ

Это зависит от обстоятельств. Если фото сделано в общедоступном месте, то действует ст. 152.1 ГК РФ, дополнительное согласие не требуется. Но если в публикации указаны ФИО, адрес и т. д., то это уже обработка ПДн, и нужна оценка правовых оснований для такого распространения.

Вопрос

Является ли видеонаблюдение обработкой биометрии?
Таймкод: 01:35:52 – 01:37:06

Ответ

Нет. Фото и голос считаются биометрией только при обработке в Единой биометрической системе (ЕБС) и интегрированных с ней коммерческих системах. Вне ЕБС (например, для обычного видеонаблюдения) это не биометрия, а общие ПДн.

Вопрос

Что делать, если посетители не хотят давать согласие на обработку биометрии для идентификации для доступа, например, в фитнес-зал?
Таймкод: 01:38:02 – 01:39:14

Ответ

Необходимо предоставить альтернативные способы идентификации (карточки, пропуска). Отказывать в предоставлении услуги нельзя с учетом положения Закона о защите прав потребителей.

Вопрос

В системе фиксируются номер пропуска, дата и время прохода без привязки к конкретному человеку. Является ли такая совокупность ПДн?
Таймкод: 01:39:15 – 01:40:03

Ответ

• Если пропуск разовый, не привязан к конкретному человеку, и в системе фиксируется только дата захода и номер пропуска, такой набор не является ПДн.
• Если номер пропуска является постоянным либо привязан к профилю гражданина в системе оператора, такая совокупность является ПДн.

Вопрос

Являются ли сведения о судимости/ инвалидности специальной категорией ПДн?
Таймкод: 01:40:14 – 01:40:50

Ответ

Нет, не всегда. Зависит от характера предоставления информации. Если в анкете запрашивается только ответ «да/нет» о наличии отклонений по здоровью или судимости, такая информация сама по себе не является специальной категорией ПДн.

Вопрос

В каком случае сведения об инвалидности являются специальной категорией ПДн?
Таймкод: 01:41:18 – 01:42:43

Ответ

Нужно исходить из того, достаточно ли собранной информации об инвалидности для принятия решения о льготах, ограничениях или особых условиях труда. Если да, это специальная категория ПДн.

Если же информация является лишь промежуточной и после нее запрашиваются дополнительные сведения о заболевании, противопоказаниях и т. п., сама по себе она специальной категорией не является.

Вопрос

Являются ли ПДн сведения о действиях работника в информационной системе (согласование документов и т. п.)?
Таймкод: 01:42:50 – 01:43:56

Ответ

Нет. Это вопросы функционала работника, а не ПДн. Однако KPI, оценка деловых и профессиональных качеств, психоэмоциональный портрет работника – это ПДн, и их обработка должна осуществляться с соблюдением трудового законодательства.

Вопрос

Является ли информация из больничного листа специальной категорией ПДн (нет конкретного диагноза, есть только шифр конкретного заболевания?)
Таймкод: 01:43:03 – 01:45:05

Ответ

В больничном листе содержатся сведения, относящиеся к информации о состоянии здоровья в понимании 323-ФЗ, их обработка является обработкой специальной категории ПДн.

Согласия на обработку ПДн

Вопрос

В каких случаях согласие на обработку ПДн НЕ требуется (отдельные примеры)?

Ответ

Согласие не требуется в следующих случаях:

• Передача ПДн работника в налоговую, внебюджетные фонды, трудовую инспекцию, военкомат – исполнение требований закона.
  02:10:15 – 02:12:32
• Реализация зарплатных проектов – передача данных в банк для начисления зарплаты в рамках исполнения трудового законодательства.
  02:12:33 – 02:11:35
• Предоставление сведений в МВД (гостиницами) – обязанность установлена законом.
  02:17:06 – 02:18:28
• Обработка данных в рамках медицинской помощи – регулируется 323-ФЗ, отдельное согласие по 152-ФЗ не требуется. Передача данных в лаборатории для анализов охватывается единым циклом оказания медицинской помощи.
  02:08:40 – 02:09:00
• Обработка данных страховой компанией – в рамках договора страхования.
  02:27:03 – 02:28:29
• Передача данных для оформления УКЭП / машиночитаемой доверенности – покрывается трудовым законодательством и договором с удостоверяющим центром.
  02:26:02 – 02:26:40

Вопрос

Как указать партнеров, контрагентов в согласии, если их список постоянно меняется?
Таймкод: 02:12:05 – 02:14:08

Ответ

• Для согласия в письменной форме: требуется указать конкретный перечень лиц, кому поручается обработка ПДн.
• Для «простого» согласия: такого требования нет, рекомендовано сделать ссылку на страницу сайта с актуальным перечнем партнеров.

Вопрос

Можно ли в одном согласии указать несколько операторов?
Таймкод: 02:14:19 – 02:15:19

Ответ

По нескольким операторам (равноправным):

• не допускается. Согласие дается конкретному оператору. Нельзя одним согласием охватить несколько равноправных организаций (А, Б, В)
• исключение: случаи, прямо предусмотренные законом (например, форма согласия по ЕБС, где перечислены кредитная организация, Минцифры, оператор ЕБС)
• что можно: прописывать партнеров (при поручении обработки), но не равноправных операторов

Вопрос

Можно ли в одном согласии указать несколько целей обработки ПДн?
Таймкод: 02:15:20 – 02:16:55

Ответ

• Для согласия в письменной форме – нельзя, одна цель = одно согласие.
• Для «простого» согласия – можно, но РКН рекомендует делать блочную структуру:
  • цель 1 + ПДн + действия
  • цель 2 + ПДн + действия
• Под каждым блоком должен быть отдельный чек-бокс, чтобы субъект мог добровольно выбрать, на какие цели давать согласие, а от каких отказаться.

Вопрос

Всегда ли нужно получать согласие на обработку ПДн соискателя?
Таймкод: 02:18:30 – 02:20:50

Ответ

Ситуация 1: Соискатель с площадки (HeadHunter, SuperJob)

• Согласие не требуется. Соискатель согласился с условиями обработки через пользовательское соглашение площадки.

Ситуация 2: Соискатель прислал резюме напрямую

• Если вы сразу готовы заключить трудовой договор, согласие не нужно.
• Если вы проводите собеседования или же формируете кадровый резерв, необходимо получить отдельное согласие (при отсутствии других правовых оснований), поскольку ТК РФ регулирует только отношения с уже принятыми работниками.

Вопрос

Какие правовые основания для использования на сайте иностранных программных и метрических средств?
Таймкод: 02:21:08 – 02:22:50

Ответ

Отдельное согласие не требуется. Достаточно:

• проинформировать пользователя об использовании таких средств
• закрепить согласие в пользовательском соглашении, которое акцептуется при использовании сайта

Нюанс: если использование программ предполагает ТГП разработчику, необходимо (1) указать это в политике обработки ПДн и (2) желательно в информационном баннере.

Вопрос

Как оформлять согласие на обработку ПДн несовершеннолетнего? Нужно ли получать согласие от родителей?
Таймкод: 02:23:03 – 02:24:44

Ответ

В случаях, предусмотренных ст. 26 ГК РФ, несовершеннолетний может дать согласие самостоятельно. Во всех остальных случаях – только от законного представителя (родителя), достаточно согласия от одного представителя.

Формулировка: «Я, ______, являясь законным представителем ______, даю свое согласие на обработку персональных данных».

Вопрос

Нужно ли получать согласие родственников работника на обработку их ПДн?
Таймкод: 02:24:50 – 02:25:49

Ответ

• Если обработка предусмотрена законодательством, согласие не требуется.
• Для дополнительных сведений (место работы, должность, телефон и т. п.), необходимо получить согласие непосредственно от родственника.
• Подтверждение работника о наличии такого согласия родственника не заменяет волеизъявления самого родственника.

Вопрос

Можно ли использовать данные из открытых источников (соцсети, госреестры) без согласия субъекта?
Таймкод: 01:52:47 – 01:55:15

Ответ

Нужно смотреть на условия площадки и источник данных.

• Соцсети (ВКонтакте и др.): Если пользователь сделал страницу общедоступной, а пользовательское соглашение допускает использование данных другими пользователями – сбор и использование допустимы. Пользователь акцептовал эти условия при регистрации.
• Госреестры (ЕГРЮЛ, ЕГРИП, ФССП): Данные общедоступны, ограничений нет.
• Декларации госслужащих: могут размещаться только на определенных сайтах (органов власти, госкорпораций). Размещение на сторонних ресурсах – незаконно.

Вопрос

Обязательно ли размещать на сайте полный текст согласия на обработку ПДн или достаточно гиперссылки?
Таймкод: 02:57:42 – 02:58:11

Ответ

Гиперссылка допустима. Главное, чтобы согласие содержало всю необходимую информацию.

Вопрос

Как внедрить согласие на распространение ПДн? Как оператору разместить на сайте запреты и условия, установленные субъектом ПДн?
Таймкод: 02:34:15 – 02:36:22

Ответ

Оператор может установить в форме согласия доступные ограничения, учитывая технические возможности сайта. Гражданин либо соглашается с ними, либо нет.

Информирование об ограничениях может осуществляться любым способом: баннер, всплывающее окно, документ на сайте – на усмотрение оператора.

Вопрос

Нужно ли согласие на распространение ПДн публичных лиц, руководителей компаний, участников рекламных кампаний?
Таймкод: 02:36:22 – 02:38:45

Ответ

• Для госорганов и подведомственных организаций: согласие не требуется, если размещение предусмотрено нормативными актами (Минздрав, Минобр).
• Для рекламы: действует ст. 152.1 ГК РФ. Использование изображений, за которые заплатили, не требует согласия на распространение ПДн.

Вопрос

Нужно ли согласие на распространение ПДн при размещении отзывов на форумах?
Таймкод: 02:39:00 – 02:40:05

Ответ

Нет. Если у форума есть правила, при регистрации пользователь их акцептует. Размещая отзыв, субъект принимает самостоятельное решение. Дополнительное согласие на распространение не требуется.

Вопрос

Нужно ли получать согласие по 152-ФЗ для рекламных рассылок по e-mail и телефону, или достаточно согласия по закону о рекламе?
Таймкод: 02:41:15 – 02:42:27

Ответ

• Обезличенное обращение: «Приходите все на распродажу, скидки 30%» – регулируется законом о рекламе. Согласие по 152-ФЗ не требуется.
• Персонифицированное обращение: «Уважаемый Иван Иванович, вы наш клиент, хотим вам предложить...» – регулируется ст. 15 152-ФЗ, требуется согласие на обработку ПДн.

Согласие на рекламу по закону о рекламе не заменяет согласие на обработку ПДн для персонифицированных рассылок – это разные правовые основания.

НО! При ответе на вопрос из зала

Вопрос

Рекламные рассылки по электронной почте без адресного обращения к субъекту – нужно ли согласие по 152-ФЗ?
Таймкод: 03:34:22 – 03:35:53

Ответ

Адрес электронной почты в чистом виде – это ПДн. Направление любой рассылки на e-mail уже признается обработкой ПДн независимо от наличия дополнительной информации (имя и т. п.), поэтому необходимо обеспечить надлежащее правовое основание.

Важно: большинство крупных операторов попадаются на нарушении ч. 1 ст. 15 152-ФЗ именно в связи с e-mail-рассылками.

Поручение на обработку

152-ФЗ не известно разделение на операторов и обработчиков. Российскому законодательству известно только понятие оператора. Соответственно, любая организация, которая обрабатывает ПДн, является оператором, на нее возлагаются все необходимые требования.

Вопрос

Являются ли операторами ПДн посреднические платформы, дата-центры, арендодатели?
Таймкод: 01:46:53 – 01:48:57

Ответ

• Посреднические платформы – да. Если через информационную систему проходят ПДн (данные передаются через платформу) даже транзитом, без накопления, это уже является обработкой, поскольку через платформу передаются сведен, и организация признается оператором.
• Дата-центры (владельцы серверных мощностей) – да. Предоставление технических мощностей для размещения ПДн – это как минимум хранение, что также является обработкой и относит владельца дата-центра к операторам.
• Арендодатели помещений (без оборудования) – нет. Если арендуется только помещение, а оборудование принадлежит оператору, владелец помещения оператором не является. По аналогии: арендодатель бизнес-центра не становится оператором из-за того, что арендаторы ведут в офисах кадровый учет. Ключевой критерий – природа договора.

Вопрос

Как правильно оформить поручение обработки ПДн в группе компаний, если все компании используют одну ИСПДн?
Таймкод: 02:29:18 – 02:30:25

Ответ

Каждая компания в группе – самостоятельный оператор. Компания – владелец общей ИСПДн является оператором этой системы, а остальные компании – пользователями, которые поручают владельцу ИСПДн обработку ПДн, должен быть договор.

Вопрос

Кто несет ответственность за утечку у обработчика (владельца ИСПДн)?
Таймкод: 02:30:25 – 02:31:00

Ответ

Ответственность несет оператор – компания, которая разместила ПДн в ИСПДн другого лица по договору поручения. Обработчик отвечает перед оператором в гражданско-правовом порядке (возмещение убытков).

Вопрос

Можно ли прописать поручение на обработку ПДн в основном договоре (договор оказания услуг, например)?
Таймкод: 02:31:12 – 02:31:44

Ответ

Да, допустимо включить положения о поручении обработки ПДн в основной договор.

Вопрос

Если достигнута цель обработки, кто составляет акт об уничтожении ПДн – оператор или обработчик?
Таймкод: 02:31:44 – 02:33:06

Ответ

Обе стороны. Обработчик составляет акт первым. Оператор контролирует уничтожение, получает акт от обработчика, и на основании этого уничтожает также соответствующие ПДн и составляет собственный акт. В случае проверки у оператора должны быть оба документа.

Вопрос

Кто подписывает акт об уничтожении ПДн со стороны оператора, если физически данные уничтожал обработчик?
Таймкод: 03:06:56 – 03:11:17

Ответ

Сначала обработчик составляет и подписывает свой акт. Оператор отдельно оформляет собственный акт об уничтожении данных, находившихся у него в распоряжении. Акт подписывает уполномоченное лицо или комиссия оператора.

Вопрос

Нужно ли поручение для аутсорсинга кадров, бухгалтерии, техподдержки?
Таймкод: 02:33:12 – 02:33:40

Ответ

• Делегирование полномочий (кадры, бухгалтерия) – должно быть поручение.
• Оказание услуг – поручение не требуется.

Вопрос

Если несколько операторов объединены одной целью обработки, могут ли они выдать совместно одно поручение на обработку ПДн?
Таймкод: 03:11:27 – 03:12:20

Ответ

Нет. Поручение оформляется конкретным оператором конкретному лицу.

Вопрос

Можно ли указать несколько организаций в одном поручении?
Таймкод: 02:40:16 – 02:41:05

Ответ

Да, если их деятельность объединена одной общей целью обработки ПДн, прописанной в договоре поручения.

Вопрос

Какое правовое основание указывать обработчику в уведомлении о намерении осуществлять обработку ПДн?
Таймкод: 02:05:06 – 02:05:51

Ответ

Договор с оператором. Это ключевая ошибка – обработчики указывают согласие гражданина, но согласие дается оператору, а не обработчику. Более того, согласие выдается на поручение на обработку, оно не равнозначно согласию на обработку ПДн.

Трансграничная передача ПДн и локализация

Вопрос

Что не является ТГП?
Таймкод: 00:46:20 – 00:48:40

Ответ

Передача ПДн российскому юридическому или физическому лицу (в том через иностранные мессенджеры, сервисы)

• Передача ПДн из ИСПДн оператора в РФ в его же ИСПДн за пределами РФ
• Передача ПДн с территории иностранного государства на территорию иностранного государства
• Размещение ПДн на сайте в сети «Интернет», доступ к которому имеет неопределенный круг лиц, в том числе возможные пользователи, находящиеся на территории РФ

Вопрос

Является ли доступ через российский сервис к зарубежным нейросетям ТГП?
Таймкод: 01:56:00 – 01:57:29

Ответ

Нет, если пользователь самостоятельно передает данные зарубежной нейросети (в данном случае отношения площадка-пользователь). Трансграничная передача ПДн предполагает отношения «оператор-оператор», когда российский оператор сам передает данные иностранному оператору.

Поэтому при самостоятельном вводе пользователем данных в зарубежный сервис уведомление РКН о трансграничной передаче не требуется.

Вопрос

Российская компания передает ПДн работников иностранной материнской компании, которая в дальнейшем дополняет, «обогащает» профиль работника. Это правомерно?
Таймкод: 01:57:38 – 01:59:53

Ответ

• Право иностранной компании на актуализацию сведений должно быть предусмотрено в договоре между российским ЮЛ и материнской компанией (договор поручения).
• Требования по локализации: актуализация и расширение сведений должны в первую очередь осуществляться в российской базе с последующей передачей в иностранную БД либо синхронно в обеих базах. Не должно быть «перекоса» в сторону иностранной БД.

Вопрос

Выполняется ли требование по локализации, если ПДн сначала собираются и локализуются в России, а затем вводятся непосредственно в информационную систему иностранной компании?
Таймкод: 02:00:05 – 02:00:54

Ответ

Да, применительно к первоначальному сбору ПДн требование локализации считается выполненным. Дальнейшая передача данных в информационную систему иностранной компании относится уже не к требованиям по локализации, а к иным вопросам (соблюдение порядка ТГП, обеспечение правового основания такой передачи).

Вопрос

Организация командировок сотрудника за пределы РФ является ТГП?
Таймкод 02:56:48 – 02:57:25

Ответ

Необходимо рассмотреть два аспекта:

• если работодатель передает ПДн своих работников за пределы РФ иностранной компании, это трансграничная передача, которая требует подачи уведомления
• если работодатель отправляет работника в командировку в рамках исполнения трудовой функции, никакого дополнительного согласия работника на такую передачу не требуется

Вопрос

Необходимо ли подавать уведомление о ТГП по каждому факту передачи и в отношении каждого субъекта ПДн?
Таймкод: 03:05:18 – 03:06:15

Ответ

Уведомление о ТГП подается в отношении всей деятельности оператора. Уведомление может быть подано один раз. Повторно его подавать не требуется, если не изменились цели обработки, объем ПДн и перечень стран, в которые осуществляется ТГп. При изменении этих сведений уведомление необходимо актуализировать.

Вопрос

Можно ли использовать иностранные сервисы и программные продукты, например Google, для обработки ПДн? Является ли использование таких сервисов ТГП и какие требования необходимо соблюдать?
Таймкод: 03:24:16 – 03:26:48

Ответ

При использовании иностранного сервиса необходимо анализировать его функционал и определять, какие именно потоки данных будут осуществляться.

Google Analytics и Google Forms подпадают под разные требования.

• Использование Google Analytics может рассматриваться как ТГП.
• В случае с Google Forms, если через сервис осуществляется сбор ПДн, прежде всего необходимо учитывать требования к их локализации.

Иные вопросы

Вопрос

Нужно ли указывать в уведомлении об обработке ПДн также арендуемые / облачные ИСПДн?
Таймкод: 02:05:57 – 02:06:59

Ответ

Да. Указываются все ИСПДн, где осуществляется обработка, независимо от того, принадлежат они оператору или арендуются.

Вопрос

Может ли быть акт оценки вреда (Приказ № 178) быть составлен в электронной форме?
Таймкод: 02:44:50 – 02:44:57

Ответ

Да, подписан ЭЦП.

Вопрос

Нужно ли составлять акт оценки вреда (Приказ № 178), если у оператора нет видов деятельности, требующих оценки?
Таймкод: 02:45:00 – 02:45:35

Ответ

Рекомендуется составить акт об отсутствии видов деятельности, требующих оценки вреда.

Вопрос

Как реагировать на запросы граждан по ст. 14 152-ФЗ о предоставлении информации об обработке ПДн?
Таймкод: 02:45:40 – 02:48:29

Ответ

Гражданин должен подтвердить наличие правоотношений с оператором. Запрос должен содержать ФИО, паспортные данные, подпись и обстоятельства, подтверждающие правоотношения.

Сам запрос не является таким подтверждением – это инструмент реализации права субъекта ПДн, а не доказательство наличия отношений.

Вопрос

Нужно ли уничтожать сами согласия после достижения цели обработки или отзыве согласия субъектом ПДн?
Таймкод: 02:48:30 – 02:49:30

Ответ

Нет. Согласие – правоустанавливающий документ. Оно теряет юридическую силу, но сам документ подлежит хранению как доказательство наличия правоотношений. Уничтожение возможно только после истечения сроков архивного хранения.

Вопрос

Какие требования, рекомендации к использованию рекомендательных технологий (ст. 10.2-2 149-ФЗ)?
Таймкод: 02:49:30 – 02:52:52

Ответ

• Обязательно (а) разместить правила использования рекомендательных технологий и (б) информировать посетителей об их использовании (прямо предусмотрено законом).
• Эти правила нельзя объединять с политикой об обработке ПДн – это два разных документа, предусмотренных разными законами.

Вопрос

Что является рекомендательной технологией?
Таймкод: 02:50:50 – 02:52:02

Ответ

Что является: предложение товаров на основе анализа поведения пользователя (например, «вам может понравиться» на основе просмотров).

Что не является рекомендательной технологией:

• «умная форма» (подстановка слов по первым буквам) – это автоматизированное заполнение полей
• список популярных товаров (без анализа поведения пользователя) – это аналитика, не рекомендация

Вопрос

Является ли обработка ПДн в рамках фармаконадзора основанием для получения согласия?
Таймкод: 02:53:32 – 02:55:04

Ответ

Нет. Обработка осуществляется для исполнения требований закона.

Что еще учесть?

• При привлечении третьих лиц для обработки ПДн необходимо оформить поручение.
• После прохождения всех испытаний, завершения процедур, достижения целей обработки и после истечения сроков необходимых для хранения этих данные, данные уничтожаются.

Вопрос

Каковы сроки хранения лог-файлов, подтверждающих действия на сайте?
Таймкод: 02:55:06 – 02:55:54

Ответ

Срок никак не регламентирован и определяется оператором самостоятельно. Однако рекомендуется хранить их как можно дольше для подтверждения наличия правовых оснований обработки (например, проставление галочки о согласии).

Вопрос

Нужно ли конкретизировать в требовании гражданина, которое направляется в адрес оператора, какие именно данные подлежат уничтожению?
Таймкод: 02:58:11 – 03:00:50

Ответ

Да. Гражданин должен указать, какие именно ПДн подлежат уничтожению. Требование исполняется только в случаях, предусмотренных законом: данные не актуальны, недостоверны, незаконно получены или не соответствуют заявленной цели обработки.

Оператор вправе разработать форму такого требования.

Если речь идет о посте в социальной сети:

• если публикация в соцсети целиком завязана на ПДн – она подлежит удалению полностью
• если только часть – можно уточнить у гражданина

Вопрос

Можно ли передавать ПДн бенефициаров по требованию иностранного законодательства в рамках законного интереса?
Таймкод: 03:01:00 – 03:02:10

Ответ

РКН рекомендует не опираться на законный интерес, а исходить из природы запроса. Если у компании возникает обязанность по закону – отдельный законный интерес не требуется. Необходимо оценить, на каких требованиях основан запрос и является ли российская компания участником правоотношений.

Вопрос

Должны ли страховые агенты (физические лица) подавать уведомления об обработке ПДн?
Таймкод: 03:02:30 – 03:02:59

Ответ

Нет. Если агент действует по гражданскому договору от лица страховой компании, он не является самостоятельным оператором. Если привлекается отдельная компания (например, для экспертизы), она должна подавать уведомление.

Вопрос

Инициатор общего собрания собственников (ЖКХ, СНТ) – является ли он оператором ПДн и должен ли уведомлять РКН?
Таймкод: 03:03:44 – 03:04:55

Ответ

Нет. Проведение общего собрания – реализация законного права гражданина, а не профессиональная деятельность.

Вопрос

В чем разница между удалением и уничтожением ПДн?
Таймкод: 03:27:40 – 03:30:13

Ответ

• Уничтожение – безвозвратное удаление без возможности восстановления, завершение всего цикла обработки.
• Удаление – частичная модерация. Например, в рамках смежных правоотношений, которые пересекаются, цель обработки достигнута, и происходит удаление неактуальных сведений. При удалении у оператора продолжают существовать цели и правоотношения, в рамках которых осуществляется обработка.

Законодательные требования установлены именно к уничтожению, поскольку она обеспечивает невозможность использования ПДн в других целях.