В современной России защита персональных данных регулируется Федеральным законом № 152‑ФЗ «О персональных данных» и рядом подзаконных актов (приказы ФСТЭК, поправки к КоАП и др.). Нарушения могут привести к штрафам в миллионы рублей, а также к репутационным потерям. Ниже представлен подробный практический гайд для руководителей компаний, который поможет построить процесс обработки ПДН так, чтобы исключить риск внесения данных в реестр нарушителей.

Что такое «база ПДН» и почему её следует избегать

Термин «база ПДН» в контексте законодательства обычно относится к реестрам, в которые вносятся сведения о нарушениях требований по защите персональных данных. В такие реестры могут попасть:

• операторы, совершившие несанкционированный доступ к данным;
• компании, не получившие согласие субъекта на обработку ПДН;
• организации, нарушившие требования к уровню защищённости (УЗ‑1…УЗ‑3).

Попадание в такой реестр влечёт за собой:

1. Повышенные штрафы (по новым поправкам в КоАП — базовый штраф до 5 млн рублей и выше);
2. Ограничения на участие в государственных контрактах;
3. Потерю доверия клиентов и партнёров.

Ключевые законодательные требования

Федеральный закон 152‑ФЗ

Обязанности оператора ПДН включают:

• Сбор и хранение согласий субъектов;
• Определение целей и законных оснований обработки;
• Обеспечение записи, систематизации, накопления, хранения, уточнения и извлечения ПДН на территории РФ (исключения указаны в части 1 статьи 6);
• Назначение ответственного за обработку (Оператор ПДн).

Приказы ФСТЭК (например, приказ № 21)

Определяют требования к защите ПДН в информационных системах (шифрование, контроль доступа, аудит, резервное копирование).

Поправки к КоАП (2026 г.)

Вводятся новые составы правонарушений и повышаются базовые штрафы за:

• Необеспечение технической защиты ПДН;
• Отказ от предоставления субъекту доступа к своим данным;
• Неправильное определение уровня защищённости (УЗ‑1…УЗ‑3).

Оценка рисков и определение уровня защищённости (ИСПДн)

Перед запуском любой системы необходимо провести оценку уровня защищённости персональных данных (ИСПДн). Процедура включает:

1. Классификацию данных (обычные ПДН, специальные категории, биометрические данные);
2. Идентификацию угроз (утечка, несанкционированный доступ, деобезличивание);
3. Определение требуемого уровня защиты (УЗ‑1 — самое высокий, УЗ‑3 — базовый);
4. Выбор технических и организационных мер в соответствии с уровнем.

Если в базе смешанные категории (например, обычные ПДН + биометрические записи), применяется наивысший уровень (УЗ‑1).

Технические меры защиты

Шифрование и токенизация

• Шифрование данных в покое (AES‑256) и при передаче (TLS 1.3);
• Токенизация чувствительных полей (номер паспорта, ИНН) для снижения риска деобезличивания.

Сегментация и раздельное хранение

Исходные наборы ПДН и их обезличенные версии должны храниться в разных сегментах ИС или в отдельных экземплярах баз данных с строгим разграничением доступа.

Контроль доступа (RBAC)

• Ролевой доступ – каждый пользователь получает только те права, которые необходимы для выполнения его функций;
• Регулярный пересмотр прав (не реже чем раз в квартал).

Аудит и журналирование

Все операции с ПДН (чтение, изменение, удаление) должны фиксироваться в журналы доступа с указанием времени, пользователя и типа операции. Журналы хранят минимум 12 месяцев.

Обезличивание (анонимизация)

При необходимости использовать данные в аналитических целях применяйте методы:

• Удаление прямых идентификаторов (ФИО, паспортные данные);
• Псевдонимизация (замена идентификаторов на случайные коды);
• Агрегация (сводные статистики без детализации).

Методы и алгоритмы обезличивания необходимо держать в секрете, иначе они могут быть использованы для деобезличивания.

Организационные меры и внутренний контроль

Политика обработки ПДН

Документ должен включать:

1. Порядок получения и хранения согласий;
2. Процедуру классификации и маркировки данных;
3. Требования к уровню защиты в зависимости от категории данных;
4. Порядок проведения аудитов и тестов на проникновение;
5. Ответственность за нарушения.

Согласие субъектов

Согласие должно быть:

• Явным (отдельный чек‑бокс, подписанный электронный документ);
• Отзывным (субъект может отозвать в любой момент);
• Хранимым в виде отдельного реестра с указанием даты, цели и способа обработки.

Обучение персонала

Регулярные тренинги (не реже 2 раз в год) по темам:

• Основы 152‑ФЗ и ответственности за нарушения;
• Практики безопасного обращения с ПДН (фишинг, социальная инженерия);
• Процедуры реагирования на инциденты.

Внутренний аудит и внешние проверки

Проводите:

• Самоаудит раз в полгода (проверка соответствия политике, журналам, уровню УЗ);
• Внешний аудит независимым специалистом не реже чем раз в год (по требованию регулятора).

Реагирование на инциденты

Наличие плана реагирования (IR‑плана) – обязательный элемент. План должен включать:

1. Схему уведомления ответственного за ПДН и уполномоченного органа (Роскомнадзор) в течение 72 часов;
2. Оценку масштаба утечки (количество записей, категории данных);
3. Мероприятия по локализации и устранению уязвимости;
4. Коммуникацию с субъектами данных (информирование, предложения по защите их интересов);
5. Документирование всех действий для последующего аудита.

Практический чек‑лист «Не попасть в базу ПДН»

• Определить роли. Назначить ответственного оператора и уполномоченного по защите данных.
• Собрать согласия. Обеспечить их получение, хранение и возможность отзыва.
• Классифицировать данные. Присвоить каждой категории уровень УЗ‑1…УЗ‑3.
• Внедрить технические меры. Шифрование, RBAC, аудит, сегментацию.
• Обезличить данные для аналитики и тестовых стендов.
• Разработать политику и процедуры. Утвердить их на уровне руководства.
• Провести обучение персонала. Проверка знаний (тесты, симуляции фишинга).
• Организовать регулярный аудит. Внутренний + внешний.
• Подготовить IR‑план. Тестировать его на реальных сценариях.
• Отслеживать изменения законодательства. Подписаться на рассылки ФСТЭК, Роскомнадзора.

Соблюдение требований 152‑ФЗ и сопутствующих нормативов — это не только юридическая обязанность, но и стратегический фактор конкурентоспособности. Правильный подход к классификации, технической защите, внутреннему контролю и обучению персонала позволяет:

• Снизить риск попадания в реестр нарушителей;
• Избежать финансовых штрафов и репутационных потерь;
• Повысить доверие клиентов и партнёров.

Помните: проактивность важнее реактивных мер. Инвестируйте в безопасность сегодня — и ваш бизнес будет защищён от санкций завтра.

Полезные ссылки

• Текст ФЗ 152‑ФЗ «О персональных данных»
• Приказ ФСТЭК № 21 «О защите ПДН в информационных системах»
• Обзор поправок к КоАП 2026 г.