Вот типичная картина: политика на сайте опубликована, ответственный назначен приказом, согласия вроде бы собраны. Юрист со спокойной совестью закрывает вопрос ПДн до следующего года. А на деле HR только что выложил на сайт компании фото сотрудника с подписью без отдельного согласия на распространение. Маркетинг сделал рассылку по базе кандидатов, которые оставляли резюме год назад на другую вакансию. Бухгалтерия передала выгрузку по зарплате в сервис, с которым нет договора поручения. Все три действия — обычная рабочая рутина. И все три — формально нарушение 152-ФЗ.
Риск в неправомерной обработке ПДн возникает из-за лишнего поля в анкете, старой базы для рассылки, неактуального уведомления, передачи подрядчику без поручения или хранения данных без срока. Разбираем 10 сценариев и что проверить в каждом — от простого «нет основания для сбора» до автоматизированных решений и трансграничной передачи.
Компании часто находят проблему только после жалобы субъекта или запроса регулятора. Более безопасный путь — проверить текущие процессы ПДн заранее: где есть основание, где нужен отдельный документ, а где фактическая обработка уже не совпадает с политикой, согласиями и уведомлением.
Кто обычно отвечает за риск: карта по 10 сценариям
В реальности один риск часто затрагивает несколько подразделений: кадровый сервис ведет HR, договор проверяет юрист, доступы настраивает ИТ, а бюджет согласует руководитель.
Сценарий риска | Где обычно возникает | Кто обычно отвечает | Что проверить |
Нет правового основания для обработки | Сайт, формы заявок, HR-процессы, рассылки, клиентские базы | Юрист, HR, маркетинг, руководитель процесса | Есть ли закон, договор, согласие или другое основание по ч. 1 ст. 6 152-ФЗ |
Цель обработки не определена или не совпадает с реальностью | Анкеты, CRM, кадровый резерв, пропускной режим, акции | Юрист, HR, маркетинг, офис-менеджер | Для чего собираются данные и не используются ли они для другой цели |
Уведомление в РКН не подано или не обновлено | Новые формы сбора, новые категории данных, новые ИСПДн, трансграничная передача | Юрист, ответственный за ПДн, руководитель | Подано ли уведомление по ст. 22 152-ФЗ и актуальны ли сведения |
Нарушены безопасность и права субъектов | Общие папки, доступы без ролей, запросы субъектов, отзывы согласий | ИТ, ИБ, юрист, ответственный за ПДн | Ограничены ли доступы, есть ли порядок ответа на запросы и прекращения обработки |
Неправомерно обрабатываются специальные или биометрические ПДн | Медицинские справки, фото, СКУД, сведения о судимости | HR, ИТ, юрист, руководитель | Есть ли отдельное основание, письменное согласие и подтверждение необходимости обработки |
Передача данных третьим лицам без поручения | ЭДО, бухгалтерский аутсорсинг, CRM, рассылки, техподдержка, колл-центры | Бухгалтерия, ИТ, маркетинг, юрист, владелец договора | Есть ли договор поручения по ч. 3 ст. 6 152-ФЗ или другое основание передачи |
Нет внутренней документации | Политики, приказы, регламенты, списки доступов, акты уничтожения | Юрист, ответственный за ПДн, руководитель | Утверждены ли документы и соответствуют ли они реальным процессам |
Автоматизированные решения применяются без условий закона | Скоринг кандидатов, автоподбор, отказ по алгоритму, кредитные решения | HR, ИТ, юрист, руководитель процесса | Есть ли уведомление субъекта, письменное согласие и возможность обжалования |
Нарушения при трансграничной передаче | Иностранные CRM, облака, сервисы аналитики, международные группы компаний | ИТ, юрист, маркетинг, руководитель | Есть ли уведомление о трансграничной передаче и соблюдены ли требования ст. 12 152-ФЗ |
Ошибки в работе с данными сотрудников | Личные дела, ДМС, зарплатные проекты, обучение, кадровые сервисы | HR, бухгалтерия, юрист, руководитель | Есть ли письменные согласия там, где они нужны, и закреплены ли сроки хранения |
Самое опасное место — разрыв между документами и практикой: юрист считает, что согласие оформлено, HR — что публикация сотрудника на сайте обычная корпоративная новость, маркетинг — что база подходит для рассылки, а ИТ — что хранение в общей папке допустимо, потому что так сложилось исторически.
Для регулярной сверки таких процессов удобнее вести не разрозненные таблицы, а реестр: цель, основание, система, ответственный, сроки хранения, передача третьим лицам. Privacy Box помогает собрать процессы обработки ПДн в управляемую модель, чтобы видеть не только документы, но и фактические участки риска.
1. Обработка без правового основания
Законные основания перечислены в ч. 1 ст. 6 152-ФЗ: обработка для целей, предусмотренных законом, исполнение договора, заключение договора по инициативе субъекта, законные интересы оператора, правосудие и другие. Ошибка возникает, когда компания уже собирает или использует данные, но не может объяснить, на каком основании это делает:
форма на сайте собирает ФИО, телефон и email, но согласие оформлено некорректно;
в анкете кандидата запрашивают лишние данные без понятной цели;
маркетинг использует клиентскую базу для рассылки, хотя данные собирались для другого процесса;
HR публикует ФИО и фото сотрудника на сайте по обычному согласию, без отдельного согласия на распространение по ст. 10.1 152-ФЗ.
Здесь важен практический вопрос: не кто формально отвечает за ПДн, а кто запускает конкретное действие. HR размещает карточку сотрудника, маркетинг делает рассылку, бухгалтерия передает данные в сервис. У каждого такого действия должно быть основание.
2. Цель обработки не определена или не совпадает с реальностью
Персональные данные нельзя собирать на всякий случай. Частый пример — кадровый резерв: кандидат передал данные для подбора на вакансию, а компания потом использует эти контакты для маркетинговой рассылки. Цель изменилась, а основание под новую цель не появилось.
Другая типовая ситуация — избыточный сбор: на входе в офис требуют копию паспорта, хотя для пропуска достаточно меньшего объема сведений. Отдельный риск — продолжение обработки после достижения цели, когда данные уволившегося сотрудника или бывшего клиента могут годами оставаться в системах без актуального основания.
3. Уведомление в РКН не подано или не обновлено
Оператор обязан направить уведомление о намерении обрабатывать персональные данные до начала обработки (ч. 1 ст. 22 152-ФЗ). Типичные ошибки — начинают обработку до уведомления или не обновляют его после изменений: новые цели, категории данных, ИСПДн, иностранный сервис, трансграничная передача.
С 30 мая 2025 года невыполнение обязанности по уведомлению влечет ответственность по ч. 10 ст. 13.11 КоАП РФ. Это фиксируется отдельно, даже если остальные документы у компании в порядке.
4. Нарушены безопасность и права субъектов
152-ФЗ требует не только правильно оформить документы, но и обеспечить безопасность обработки и права субъектов (ст. 18.1 и 19). Нарушение может выглядеть обыденно: данные лежат в общей папке, доступ есть у сотрудников, которым он не нужен, уволенный работник сохраняет доступ к системе, запрос субъекта потерялся между отделами, согласие отозвано, а рассылка тем временем продолжается.
Поможем проверить ваши процессы ПДн
Покажем, где есть основание для обработки, где нужен отдельный документ, а где реальные процессы уже разошлись с политикой и согласиями.
5. Неправомерно обрабатываются специальные или биометрические ПДн
Сведения о здоровье, национальной принадлежности, убеждениях, судимости — специальные категории. Отпечатки пальцев, изображение лица, образцы голоса для идентификации — биометрия. Ошибка часто в том, что компания не распознает особую категорию данных в обычном процессе: справки о судимости без нормативного основания, СКУД с распознаванием лиц без надлежащего согласия, медицинские сведения без корректного основания. Биометрию нельзя обосновать удобством, и формальное наличие согласия тоже не всегда защищает компанию, если оно не охватывает весь объем обработки.
6. Передача данных третьему лицу без поручения
Если третье лицо обрабатывает данные по поручению оператора — нужен договор поручения по ч. 3 ст. 6 152-ФЗ с перечнем данных, действиями, целями, требованиями к защите, обязанностью уведомлять об инцидентах. Самая распространенная ошибка — считать, что обычного договора услуг достаточно, хотя внешний сервис фактически получает доступ к ПДн и обрабатывает их для компании. Для таких задач подходит разработка и актуализация документов по 152-ФЗ, включая поручения, согласия и связанные договорные условия.
7. Нет внутренней документации
Для соблюдения требований 152-ФЗ компании нужен не один файл с политикой, а набор документов, который описывает обработку и подтверждает контроль.
Минимальный контур: приказ о назначении ответственного, политика обработки ПДн в открытом доступе (ч. 2 ст. 18.1 152-ФЗ), документы о мерах защиты, документ о классификации информационных систем, регламент обращений субъектов, список лиц с доступом к ПДн, правила хранения материальных носителей, шаблоны согласий, поручений, актов уничтожения. Проблема возникает, когда документы существуют формально, но не описывают реальные процессы.
8. Автоматизированные решения без условий закона
Когда решение, затрагивающее права и интересы человека, принимается автоматически без участия человека, применяется ст. 16 152-ФЗ. Примером может послужить алгоритм ранжирования резюме: если кандидат исключается из подбора автоматически, но не знает об этом, и согласие на такую обработку не оформлено (ч. 4 ст. 9 152-ФЗ), то возникает нарушение. Использование внешней платформы не переносит ответственность на провайдера технологии.
9. Трансграничная передача с нарушениями
Требует соблюдения ст. 12 152-ФЗ: оператор должен убедиться, что страна-получатель обеспечивает адекватную защиту, и направить уведомление о трансграничной передаче в РКН. Риск часто появляется в обычных сервисах: иностранная CRM, облачное хранилище, сервис аналитики, международная группа компаний.
10. Ошибки в работе с данными сотрудников
Регулируются не только 152-ФЗ, но и ТК РФ (ст. 86–88). Ключевой риск — передача данных работника третьим лицам без письменного согласия, когда оно требуется по ст. 88 ТК РФ: кадровые агентства, страховщики, операторы ЭДО, подрядчики по охране труда. Второй риск относится к хранению: работодатель должен закрепить в локальных актах, как, где и сколько хранятся личные дела, справки, копии документов (ст. 87 ТК РФ).
Какая ответственность возможна за неправомерную обработку ПДн
Нарушения в сфере персональных данных могут повлечь:
административные штрафы до 15 млн рублей в отдельных случаях;
штрафы до 3% от оборота при повторных нарушениях;
персональную ответственность должностных лиц до 2 млн рублей;
уголовную ответственность по ст. 272.1 УК РФ;
репутационные потери при публичном инциденте.
Для руководителя здесь важен не только размер штрафа. Проблема в том, что нарушение редко ограничивается одним документом. Ошибка в согласии может затронуть HR-процесс. Неактуальное уведомление — сайт, CRM и ИТ, передача подрядчику — договор, доступы, безопасность и ответственность перед субъектом.
Что сделать, чтобы снизить риск неправомерной обработки
Начать стоит с проверки правовых оснований по каждому процессу. Для чего обрабатываются паспорт, ИНН, СНИЛС, медицинские справки, фото, сведения о близких родственниках, контакты клиентов, резюме кандидатов? У каждой цели должно быть основание: закон, договор, согласие или другое основание.
Затем нужно проверить цели, объем данных, категории субъектов и сроки хранения. Часто персональные данные работников и клиентов хранятся дольше, чем требуется. Например, копии паспортов после прекращения трудовых отношений или справки о доходах без оправданной цели.
Следующий шаг — обновить документацию: политики, приказы, договоры, согласия, поручения, акты уничтожения, регламенты обращения субъектов. Документы должны описывать фактические процессы, а не абстрактную модель обработки.
Отдельно стоит проверить трансграничную передачу. Если данные уходят в иностранные сервисы, нужно оценить основания, уведомление в Роскомнадзор и фактическую инфраструктуру.
Последний обязательный элемент — инструктаж сотрудников. Все, кто работает с ПДн, должны понимать, какие действия разрешены, какие требуют согласия или поручения, куда направлять запрос субъекта и что запрещено делать с персональными данными.
Короткий чек-лист самопроверки
Перед внутренней проверкой удобно пройти семь вопросов:
По каждому процессу понятно правовое основание обработки.
Цели обработки закреплены и совпадают с реальностью.
Уведомление в РКН подано и обновлено.
Согласия оформлены под конкретные цели и сценарии.
Передача третьим лицам закрыта поручением или другим основанием.
Сроки хранения определены, а уничтожение подтверждается документами.
HR, бухгалтерия, маркетинг, ИТ и юрист понимают свои зоны ответственности.
Когда на эти вопросы нет быстрых ответов, риск уже нельзя считать только юридическим. Это вопрос управления процессами внутри компании: кто собирает данные, кто хранит, кто передает, кто удаляет и кто сможет подтвердить законность обработки при запросе.
Если на часть вопросов из чек-листа нет однозначного ответа, аудит соответствия обработки персональных данных помогает сопоставить документы с реальными процессами и определить, что требует исправления в первую очередь.
Что важно запомнить
Неправомерная обработка ПДн возникает не только из-за утечки или грубого нарушения. Она может начаться с обычного рабочего действия: лишнего поля в анкете, неактуального уведомления, рассылки по старой базе, публикации фотографии сотрудника, передачи данных подрядчику или хранения документов без срока. Формальные документы снижают риск только тогда, когда совпадают с реальными процессами.
После первичной самопроверки можно отделить простые правки от системных пробелов. Одно дело — поправить формулировку согласия. Другое — обнаружить, что сайт, CRM, HR, бухгалтерия, подрядчики и уведомление в РКН давно живут отдельно друг от друга. В такой ситуации удобнее оставить заявку на разбор конкретного контура обработки, чем переписывать документы вслепую.
Проверьте свои процессы ПДн
Сверим, где есть основание для обработки, где нужен отдельный документ, а где реальные процессы уже разошлись с политикой и согласиями.
Популярные вопросы
Что такое неправомерная обработка персональных данных? Обработка с нарушением требований законодательства о ПДн без основания, с неверной целью, без уведомления в РКН, без нужного согласия, без поручения подрядчику или с нарушением сроков хранения.
Достаточно ли политики на сайте, чтобы обработка ПДн была законной? Нет, нужно, чтобы фактическая обработка совпадала с документами.
Когда нужно отдельное согласие на распространение ПДн? Когда данные раскрываются неопределенному кругу лиц. Например, при публикации ФИО и фото сотрудника на открытом сайте.
Почему уведомление в Роскомнадзор так важно? Оператор обязан направить его до начала обработки по ст. 22 152-ФЗ; если обработка уже идет, а уведомление не подано или не обновлено, возникает риск по ч. 10 ст. 13.11 КоАП РФ.
Что проверить при передаче ПДн подрядчику? Обрабатывает ли он данные по поручению. Если да, нужны условия по ч. 3 ст. 6 152-ФЗ.
Кто внутри компании обычно отвечает за риски по ПДн? HR — за кандидатов и сотрудников, бухгалтерия — за зарплатные и учетные процессы, маркетинг — за рассылки и публикации, ИТ — за системы и доступы, юрист — за основания и документы.
Что сделать в первую очередь для снижения риска? Начать с карты процессов: какие данные обрабатываются, зачем, на каком основании, где хранятся, кому передаются, кто отвечает и когда данные должны быть уничтожены.
Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFJ5fnpy
