Что нужно знать про персональные данные, чтобы не попасть на штрафы. Тезисы из первых уст — 22 апреля 2026 г. в 10:51:24.048
Что нужно знать про персональные данные, чтобы не попасть на штрафы. Тезисы из первых уст Сегодня участвовала в юридическом форуме «Безопасный бизнес 2026». Одна из самых полезных секций - выступление Валерия Викторовича Павлова, заместителя руководителя Управления Роскомнадзора по Омской области. Тема вечная и больная: обработка персональных данных и интернет-реклама. Записала главное. Делюсь. Когда согласие на обработку персональных данных не требуется Есть несколько законных оснований, о которых часто забывают. Согласие не нужно, если вы: — исполняете договор с клиентом, — участвуете в судопроизводстве, — защищаете жизнь и здоровье человека, — занимаетесь журналистской деятельностью, — взыскиваете просроченную задолженность. В остальных случаях - только согласие. И не любое, а правильное. Специальные категории и биометрия Сведения о здоровье, национальности, политических взглядах, судимости - это специальные категории. Биометрия - данные о физиологических особенностях, по которым можно установить личность. Важный нюанс: фотография или видео не считаются биометрией, если не используются для автоматизированной идентификации. Фото в личном деле или на сайте - это просто персональные данные, не биометрия. Но если вы обрабатываете специальные категории или биометрию - согласие должно быть письменным и отдельным документом. Вписать его в договор нельзя. Одна цель - одно согласие Золотое правило от Роскомнадзора. Если в одном документе перечислено несколько целей, а человек потом захочет отозвать согласие только на одну из них, у вас начнутся проблемы. Лучше сразу делать отдельные согласия под каждую задачу. Согласие на распространение Оформляется отдельно. Нельзя объединить его с общим согласием на обработку. Форма должна соответствовать приказу Роскомнадзора №18 от 21 апреля 2021 года. Если не соответствует - контролирующий орган не засчитает. Чекбоксы и молчание Молчание никогда не считается согласием. Нельзя заранее проставлять галочки в формах на сайте. Нельзя делать так, чтобы данные уходили в обработку независимо от того, стоит галочка или нет. Фраза «Я согласен с политикой конфиденциальности» без чекбокса с прямым согласием на обработку - тоже нарушение. Уведомление об обработке Подавать должны почти все операторы. Исключений мало (защита безопасности государства, обработка без средств автоматизации). Но если вы используете смартфон или компьютер - вы уже обрабатываете данные с помощью автоматизации, а значит, обязаны подать уведомление в Роскомнадзор. Проверить, есть ли вы в реестре, можно на портале ведомства. Там же можно подать уведомление электронно. Типовые нарушения, которые находят постоянно 🔹 Отсутствие уведомления об обработке персональных данных. 🔹 Обработка данных без правовых оснований (нет согласия или договора). 🔹 Отсутствие политики конфиденциальности на сайте или отсутствие ссылки на неё у каждой формы сбора данных. 🔹 Некорректный срок действия согласия. Нельзя писать «бессрочно» или «70 лет». Правильно: «до достижения цели обработки». Про сайты и зарубежные сервисы Сайт должен находиться на территории РФ. Использование иностранных сервисов аналитики (например, Google Analytics) может быть признано трансграничной передачей персональных данных. За этим следят. Штраф до 3 млн. рублей. Как проверяют Действует риск-ориентированный подход. Операторы делятся на категории риска. Высокий и значимый риски проверяются планово. Средний риск - в Омской области таких около 30 проверок в год. Но профилактические визиты могут прийти к любому, и отказаться от них нельзя. Почему я об этом пишу Во-первых, полезно. Во-вторых, 28 апреля я веду второй модуль в рамках бесплатного обучения для представителей органов власти и местного самоуправления Омской области. Будем разбирать, как правильно обрабатывать персональные данные в информационных системах. Без воды, с примерами и регламентами.