В 2024 году сфера защиты персональных данных (ПДн) в России продолжила активное развитие: законодатели ужесточили ответственность за утечки‚ регуляторы ввели новые требования к обезличиванию‚ а сами утечки достигли рекордных 1‚58 млрд записей. В статье — систематизированный обзор главных изменений и практических шагов‚ которые должен предпринять любой оператор ПДн‚ чтобы остаться в правовом поле и уменьшить риски.

Утечки ПДн: масштаб роста и уроки 2024 года

Цифры и факты

• 1‚581 млрд записей — объём скомпрометированных персональных данных в 2024 году‚ рост на 30 % по сравнению с 2023 годом (1‚202 млрд).
• Одно крупное инцидентное событие — утечка 500 млн записей‚ зафиксированная Роскомнадзором в начале 2024 года.
• Отчёт компании InfoWatch подтверждает: утечки касаются как государственных‚ так и частных организаций‚ при этом доля внутренних злоупотреблений увеличивается.

Что это значит для бизнеса

1. Рост риска репутационных потерь и судебных исков.
2. Увеличение штрафов (см. раздел 3) делает «обезопаситься» дешевле‚ чем «вылечить последствия».
3. Необходимость пересмотра внутренних регламентов: аудит доступа‚ классификация данных‚ внедрение DLP-систем.

Новые законодательные инициативы

Федеральные законы 420-ФЗ и 421-ФЗ (вступили в силу 30 ноября 2024 года)

30 ноября 2024 года Президент подписал два ключевых акта:

• 420-ФЗ — вносит изменения в КоАП РФ: резко повышаются штрафы за нарушения в сфере ПДн (до 6 млн руб. для юрлиц).
• 421-ФЗ — вносит изменения в Уголовный кодекс: уголовная ответственность за крупные утечки и незаконную обработку.

Федеральный закон 233-ФЗ : обезличивание и ИИ

Операторы обязаны:

1. Передавать только обезличенные данные при использовании ИИ-систем.
2. Применять утверждённые Роскомнадзором методики обезличивания (Приказ № 140 от ).

Приказ Роскомнадзора № 140: методы и требования к обезличиванию

С 1 августа 2024 года действует:

• Единый реестр методов обезличивания (k-anonymity‚ l-diversity‚ t-closeness и др.).
• Обязательная оценка риска реидентификации не реже одного раза в год.

Практический чек-лист для оператора ПДн на 2025 год

Обновить локальные акты

Добавить положения:

• о процедуре обезличивания;
• о регистрации инцидентов и уведомлении Роскомнадзора в течение 24 часов.

Провести Data Audit

1. Выявить все источники персональных данных (базы‚ файлы‚ SaaS).
2. Классифицировать по степени чувствительности.
3. Определить правовое основание каждой обработки.

Внедрить технические меры

• Шифрование хранящихся и передаваемых данных (AES-256‚ TLS 1.3).
• Многофакторная аутентификация (MFA) для всех административных доступов.
• Система предотвращения утечек (DLP) с контент-анализом.

Подготовить сотрудников

Курсы по:

1. новым стандартам обработки ПДн;
2. фишинговым атакам и социальной инженерии.

Подключиться к сервису Госуслуг

С 2024 года согласие на обработку биометрических данных можно оформить онлайн через портал Госуслуг — это снизит бумажную нагрузку и упростит регламент.

Что готовит 2025-2026 год

• Повышение порогов чувствительности: ожидается‚ что в конце 2025 года вступят в силу поправки‚ расширяющие перечень биометрических данных.
• Обязательный аудит безопасности (Security Assessment) для компаний с выручкой > 1 млрд руб.
• Интеграция с ГИС «Безопасность данных» — федеральный реестр инцидентов‚ к которому операторы будут передавать сведения в машиночитаемом формате.

2024 год стал переломным для рынка ПДн: юридические риски выросли‚ но и появились конкретные инструменты для минимизации утечек. Если вы ещё не обновили внутренние регламенты‚ не отложите это на второе полугодие: штрафы уже фиксируются‚ а судебная практика будет накапливаться стремительно. Начните с чек-листа выше и не забудьте проконсультироваться с экспертом по ИБ и праву — сейчас это инвестиция‚ которая может спасти миллионы рублей и репутацию компании.