Направления
Бюро
Адвокаты
ГлавнаяНаправленияПерсональные данные · 152-ФЗ
Юрист по персональным данным и 152-ФЗ в Самаре
Чужие данные.Ваша ответственность.
Форма на сайте, CRM, база клиентов, личные дела сотрудников, рассылка — всё это обработка персональных данных. Компания становится оператором и отвечает за данные перед людьми и Роскомнадзором.
Наводим порядок: форма заявки — согласие и политика, счётчик на сайте — cookie-баннер, CRM — договор с обработчиком, утечка — уведомление за 24 часа, запрос Роскомнадзора — ответ и документы.
Карта данных
Где в вашем бизнесе живут персональные данные
Оператор — не только банк или маркетплейс. Это любая компания и любой предприниматель, которые собирают имена, телефоны и адреса. Выберите, что есть у вас.
Источник 1
Сайт и формы заявок
Каждая заявка с именем и телефоном — это сбор персональных данных. Сайт — самое видимое место для проверяющих и самое частое основание для жалоб.
Что нужно- Политика обработки, опубликованная на сайте
- Согласие отдельным документом, а не галочкой в соглашении
- Цели и сроки хранения под каждую форму
- Уведомление Роскомнадзора
ст. 9, 18.1, 22 Закона № 152-ФЗ
Источник 2
Cookie и аналитика
Счётчики посещений и cookie могут относиться к персональным данным, если по ним можно определить человека. Зарубежные счётчики добавляют вопрос трансграничной передачи.
Что нужно- Баннер о cookie с понятным выбором
- Описание счётчиков в политике
- Оценка сервисов аналитики
- Настройка форм и виджетов
ст. 3, 9, 12 Закона № 152-ФЗ
Источник 3
CRM и база клиентов
База — главный актив и главный риск утечки. Если CRM — облачный сервис, он обрабатывает данные по вашему поручению, а отвечаете перед клиентом вы.
Что нужно- Договор поручения с сервисом
- Хранение баз данных в России
- Доступы и меры защиты
- План реагирования на утечку
ст. 6, 18, 19 Закона № 152-ФЗ
Источник 4
Сотрудники и соискатели
Кадровые данные — отдельная зона внимания проверяющих: от резюме соискателя до передачи данных в банк для зарплатного проекта.
Что нужно- Положение о данных работников
- Согласия на передачу третьим лицам
- Сроки хранения резюме
- Ознакомление сотрудников под подпись
ст. 86–90 ТК РФ, ст. 9 Закона № 152-ФЗ
Источник 5
Рассылки
Реклама по SMS, почте и в мессенджерах — только с предварительного согласия получателя. Доказать его должен рекламораспространитель.
Что нужно- Отдельное согласие на рекламу
- Фиксация, когда и как оно получено
- Простой способ отписаться
- Договор с сервисом рассылок
ст. 18 Закона «О рекламе», ст. 9 Закона № 152-ФЗ
Источник 6
Видеонаблюдение
Записи камер содержат изображения людей. Важно, зачем ведётся съёмка, кто смотрит записи и сколько они хранятся.
Что нужно- Локальный акт о видеонаблюдении
- Предупреждающие таблички
- Сроки хранения записей
- Порядок доступа к архиву
ст. 11 Закона № 152-ФЗ, ст. 152.1 ГК РФ
Источник 7
Сервисы за рубежом
Зарубежная почта, облако, конструктор форм или аналитика — это может быть трансграничная передача данных. О ней нужно уведомить Роскомнадзор заранее.
Что нужно- Оценка, куда уходят данные
- Уведомление о трансграничной передаче
- Первичный сбор в российские базы
- Замена сервисов, где это проще
ст. 12, 18 Закона № 152-ФЗ
Если случилась утечка
Счёт идёт на часы
Закон даёт сутки на первое уведомление Роскомнадзора. Лучше, если план действий готов заранее, а не пишется в эти сутки.
- 0 ч
Инцидент выявлен
Фиксируем, что произошло, ограничиваем доступ, собираем факты.
- 24 ч
Первое уведомление
Сообщаем Роскомнадзору об инциденте: причины, возможный вред, принятые меры, контактное лицо.
ч. 3.1 ст. 21 Закона № 152-ФЗ - 72 ч
Итоги расследования
Направляем результаты внутреннего расследования и сведения о виновных, если они установлены.
ч. 3.1 ст. 21 Закона № 152-ФЗ
штраф для организации за утечку — в зависимости от числа пострадавших; за утечку биометрии — до 20 млн ₽
ч. 12–14, 17 ст. 13.11 КоАП РФгодовой выручки — оборотный штраф за повторную утечку
ч. 15 ст. 13.11 КоАП РФЧастые ошибки
Пять заблуждений, которые приводят к штрафам
Проверяющий сравнивает документы с сайтом, CRM и практикой работы. Расхождения видны сразу.
1«Мы маленький бизнес, закон не для нас»
152-ФЗ распространяется на всех операторов, включая ИП. Одной формы заявки на сайте достаточно.
2«Согласие прописано в пользовательском соглашении»
Согласие оформляется отдельно от других документов — галочка «принимаю условия» его не заменяет.
3«Политику скачали из интернета»
Чужая политика не описывает ваши цели, данные и сроки хранения. Это первое, что видно при проверке.
4«Данные хранит подрядчик — он и отвечает»
Перед человеком за обработчика отвечает оператор, то есть вы. Нужен договор поручения с требованиями закона.
5«Уведомление Роскомнадзора — формальность»
За обработку без уведомления предусмотрен отдельный штраф. Сведения в реестре нужно обновлять при каждом изменении.
Услуги
Восемь задач, которые решаем
От первого аудита до защиты по делу об административном правонарушении. Можно под ключ или одну задачу — например, только документы для сайта.
1Аудит обработки данных
Понимаем, какие данные, где и зачем вы собираете — и где риск штрафа выше всего.
- Карта процессов и информационных систем
- Цели и правовые основания обработки
- Оценка вреда и рисков
- Отчёт с планом исправлений
2Документы оператора
Комплект, который отражает ваши процессы, а не чужой шаблон.
- Политика обработки персональных данных
- Положение о данных работников
- Приказы, назначение ответственного
- Журналы, акты уничтожения данных
3Сайт и маркетинг
Самое видимое место для проверяющих и самое частое основание для жалоб.
- Согласие отдельным документом
- Cookie-баннер и счётчики аналитики
- Согласие на рекламные рассылки
- Формы заявок, чаты, CRM
4Уведомления Роскомнадзора
Попадаем в реестр операторов и держим сведения в нём актуальными.
- Уведомление об обработке данных
- Изменения сведений в реестре
- Уведомление о трансграничной передаче
- Локализация баз данных в России
5Проверки
Готовим заранее, а если проверка уже идёт — сопровождаем до акта и после.
- Подготовка к проверке
- Ответы на запросы Роскомнадзора
- Возражения на акт проверки
- Обжалование предписаний
6Утечки и инциденты
Счёт идёт на часы: важно уведомить вовремя и правильно описать инцидент.
- Уведомления за 24 и 72 часа
- Внутреннее расследование
- Взаимодействие с ГосСОПКА
- План реагирования на инциденты
7Работодателю
Данные сотрудников и соискателей — отдельная зона внимания проверяющих.
- Согласия работников и соискателей
- Передача данных в банки и подрядчикам
- Видеонаблюдение и пропускной режим
- Договоры с обработчиками данных
8Защита по делам
Если нарушение уже выявлено — добиваемся минимальных последствий.
- Дела по ст. 13.11 КоАП РФ
- Снижение штрафа, замена предупреждением
- Претензии и иски граждан
- Споры с Роскомнадзором в суде
Как мы работаем
От аудита к спокойной проверке
Аудит
Выясняем, какие данные, где и зачем вы обрабатываете и кому их передаёте.
Карта данныхДокументы
Политика, согласия, приказы, договоры с обработчиками — под ваши процессы.
Комплект оператораУведомления
Подаём уведомление в Роскомнадзор, при необходимости — о трансграничной передаче.
Реестр операторовВнедрение
Формы и cookie на сайте, инструкции для сотрудников, план реагирования на утечку.
Сайт, CRM, командаСопровождение
Изменения закона, запросы и проверки, инциденты — на связи, когда нужно.
Без сюрпризовНачнём с аудита?
Расскажите, где вы собираете данные клиентов и сотрудников, — подскажем, с чего начать.
Обсудить
Документы должны описывать то, что происходит на самом деле. Проверяющий сравнивает политику с сайтом, CRM и практикой работы.Принцип практики
Консультация
Данные под контролем.Бизнес спокоен.
Расскажите, где и как вы собираете данные клиентов и сотрудников. При утечке звоните сразу — на первое уведомление есть сутки.
- Почта
- info@lawdp.ru
- Telegram
- @advokat_dyachenko
- Адрес
- г. Самара, ул. Никитинская, 30, оф. 13
- Режим работы
- Пн — Пт, 9:00 — 18:00