В условиях ужесточения требований Федерального закона 152‑ФЗ «О персональных данных» и растущего количества проверок со стороны Роскомнадзора, компании всё чаще обращаются в специализированные Консультационные центры по защите персональных данных (КДН). Одним из ключевых вопросов, который волнует клиентов, является сохранность их конфиденциальной информации во время консультаций. Ниже рассмотрены правовые, организационные и технические меры, которые применяются в КДН для обеспечения полной конфиденциальности.

Правовая основа защиты конфиденциальности

• ФЗ‑152 (Об обработке персональных данных) – определяет обязательства оператора и требования к обработке ПДн.
• Статья 6 ФЗ‑152 – «Условия обработки персональных данных», где прописаны цели, перечень действий и обязанность соблюдать конфиденциальность.
• Требования к защите ПДн в информационных системах (Приказ ФСТЭК № 21 «Об утверждении требований к защите персональных данных в ИС ПДн»).
• GDPR (для компаний, работающих с данными граждан ЕС) – применяется в дополнение к национальному законодательству.

КДН обязаны соблюдать все перечисленные нормы, а также внутренние политики конфиденциальности, разработанные специально для консультационной деятельности.

Организационные меры

Назначение ответственного за обработку персональных данных (ОПД)

Каждый КДН имеет Ответственного за обработку персональных данных, который контролирует соблюдение требований ФЗ‑152, ведёт реестр обработок, а также отвечает за взаимодействие с надзорными органами.

Перед началом любой консультации с клиентом в КДН подписывается договор‑оферта, содержащий:

1. Перечень персональных данных, подлежащих обработке.
2. Цели их обработки (только предоставление консультационных услуг).
3. Обязательства по неразглашению и ограничениям доступа.
4. Условия возврата/уничтожения данных после завершения проекта.

Политика конфиденциальности и локальные акты

КДН публикует Политику конфиденциальности на своём сайте и размещает внутренние регламенты (положение о персональных данных, инструкции для сотрудников). Эти документы регламентируют:

• Порядок получения согласий субъектов данных.
• Механизмы контроля доступа.
• Процедуру реагирования на инциденты.

Обучение персонала

Сотрудники КДН проходят обязательные тренинги по защите ПДн, включающие:

• Понимание прав субъектов данных.
• Требования к работе с криптосредствами.
• Сценарии реагирования на запросы Роскомнадзора.

Технические меры защиты

Шифрование и криптографическая защита

Все передаваемые клиентом документы (договоры, сведения о ПДн, аналитика) шифруются с помощью сертифицированных криптосредств (например, ГОСТ‑28147‑89, AES‑256). КДН разрабатывает документацию по эксплуатации криптосредств, включающую:

• Процедуры генерации и хранения ключей.
• Регулярную ротацию ключей (не реже 6 месяцев).
• Контроль доступа к криптографическому модулю.

Защищённые каналы связи

Для удалённых консультаций используются:

• VPN с двухфакторной аутентификацией.
• Защищённые видеоконференции (TLS‑защищённые сервисы).
• Электронная почта с S/MIME‑подписью.

Системы контроля доступа (RBAC)

Внутренняя ИС КДН построена на модели Role‑Based Access Control. Каждый сотрудник получает доступ только к тем данным, которые необходимы для выполнения его обязанностей. Доступ к клиентским файлам ограничивается:

• Только для консультантов, работающих с конкретным клиентом.
• Только в режиме «только чтение» для аналитических специалистов.
• Запретом копирования и печати без специального разрешения.

Журналы и аудит

Все действия с персональными данными фиксируются в журналах аудита (логирование доступа, изменения, загрузка/выгрузка файлов). Журналы хранятся в отдельном защищённом хранилище и доступны только уполномоченному аудитору.

Защита от утечек (DLP)

Системы Data Loss Prevention (DLP) автоматически сканируют сообщения, файлы и электронную почту, блокируя попытки передачи конфиденциальных сведений за пределы корпоративной сети.

Процедуры взаимодействия с клиентом

1. Предварительная оценка готовности – КДН проводит экспертную оценку готовности клиента к проверке Роскомнадзора, выявляя уязвимости и предлагая план мероприятий.
2. Согласование объёма данных – клиенту предоставляется перечень персональных данных, которые будут обрабатываться в рамках консультации.
3. Получение согласий – если требуется, КДН помогает оформить согласия субъектов данных в соответствии с ФЗ‑152.
4. Передача данных – осуществляется через зашифрованный канал, после чего клиент получает подтверждение о получении.
5. Консультация – в ходе встречи (очно или онлайн) консультант использует только защищённые рабочие станции, где отключены функции копирования и скриншотов.
6. Отчёт и закрытие проекта – после завершения консультации КДН готовит отчёт, в котором фиксирует все использованные данные и порядок их уничтожения.

Работа с надзорными органами

КДН предоставляет клиентам:

• Информирование о запланированных проверках надзорных органов.
• Экспертную оценку готовности к проверке Роскомнадзора.
• Помощь в подготовке и подаче ответов на запросы Роскомнадзора.
• Сопровождение в ходе самой проверки (предоставление требуемой документации, объяснительная записка).

Все взаимодействия с Роскомнадзором документируются, а копии запросов и ответов хранятся в отдельном архиве, защищённом от несанкционированного доступа.

Устранение рисков и реагирование на инциденты

План реагирования

КДН имеет план реагирования на инциденты, включающий:

• Определение инцидента и его классификацию.
• Уведомление ответственного лица и руководства.
• Оценку ущерба и меры по локализации.
• Уведомление субъекта данных (при необходимости) и Роскомнадзора в течение 72 часов, если инцидент может повлечь серьёзные последствия.

Тестирование и аудит

Регулярный пентест и внутренний аудит ИС позволяют выявлять новые уязвимости и своевременно их устранять. Результаты аудита включаются в отчёт клиенту.

Лучшие практики для клиентов

1. Тщательно изучайте Политику конфиденциальности КДН перед подписанием договора.
2. Убедитесь, что в договоре прописаны сроки хранения и уничтожения ваших данных.
3. Требуйте подтверждения о шифровании передаваемых файлов.
4. Попросите предоставить журнал аудита доступа к вашим данным после завершения проекта.
5. Обеспечьте собственную подготовку к проверкам Роскомнадзора (соберите необходимые согласия, проверьте актуальность внутренней документации).

Консультационный центр по защите персональных данных (КДН) использует комплексный подход к обеспечению конфиденциальности: от правовой базы и строгих договорных обязательств до современных технических средств (шифрование, DLP, RBAC) и от обученных специалистов до продуманного процесса взаимодействия с клиентом и надзорными органами. При соблюдении перечисленных мер клиент может быть уверен, что его персональные данные находятся под надёжной защитой, а любые консультативные услуги предоставляются в полном соответствии с требованиями ФЗ‑152 и международных стандартов.

Дата публикации: 22 апреля 2026 г.