22 апреля 2026 г. – в связи с участившимися случаями так называемого «донаоса» (подозрительных, часто анонимных донесений в Роскомнадзор на компании, якобы нарушающие 152-ФЗ и Постановление Правительства № 1119-ФЗ) вырастает риск незапланированных проверок, административных штрафов и репутационных потерь. Ниже — подробная инструкция, как заранее «закрыть лазейки», обезопасить процессы обработки персональных данных и свести к минимуму последствия ложных доносов.

Понимание механизма «донаоса»

• Что это? – анонимное или «инициативное» обращение (в том числе через форму на сайте Роскомнадзора) с утверждением, что компания нарушает правила обработки ПДн (утечка, отсутствие согласий, открытые доступы к СУБД и т. п.).
• Кто чаще всего подает? – недобросовестные конкуренты, бывшие сотрудники, «профессиональные заявители».
• Что проверяют? – наличие локального нормативного акта (ЛНА), фактическое соответствие 152-ФЗ, Постановлению № 1119 и требованиям 21-го приказа ФСТЭК.

Обязательный «щит» из документов

Локальный нормативный акт (Положение о защите ПДн)

Шаблон должен содержать:

1. Цели и правовое основание обработки (ст. 6, 9 152-ФЗ).
2. Перечень категорий субъектов и обрабатываемых ПДн.
3. Сроки хранения и порядок уничтожения.
4. Описание технических мер (шифрование, 2FA, резервное копирование).
5. Функции ответственного за организацию защиты ПДн (назначается приказом руководителя).

Регистры и журналы

• Журнал учета доступа — фиксируем, кто и когда получил доступ к ПДн.
• Реестр ИСПДн — перечень всех информационных систем, где обрабатываются ПДн.
• Регистр инцидентов — любые подозрения на утечку или неправомерный доступ.

Раздел «Права субъекта» на сайте

В открытом доступе размещаем:

• Форму запроса на доступ/удаление/исправление ПДн.
• Контакт ответственного (e-mail, телефон).
• Срок ответа – не более 30 дней.

Технические меры: 5 «быстрых» шагов

Процедуры «антикризисного» реагирования

Внутренний протокол в день поступления запроса Роскомнадзора

1. Фиксируем дату/время получения письма.
2. Сбор рабочей группы: юрист, CISO, ответственный за ПДн.
3. Экспресс-аудит:
   • сверка с Реестром ИСПДн;
   • проверка логов доступа за последние 90 дней;
   • отбор документов (ПНД, согласия, политика).
4. Формирование ответа в установленный срок.

Внешняя коммуникация

• PR-нота для клиентов/партнеров: «По запросу контролирующего органа мы произвели внутреннюю проверку, нарушений не выявлено, все данные защищены по 4-му уровню безопасности согласно ПП 1119».
• Юридическое сопровождение — привлечь специалиста по 152-ФЗ на аутсорсе или по retainer-договору.

Дополнительные «страховки»

Ежеквартальный внутренний аудит

Проверка по чек-листу:

☐ Все согласия актуальны, подписаны в двух экз.
☐ Актуализирован реестр ИСПДн (новые сервисы/сайты).
☐ Проведены внешние пентест/VaR-сканирование.
☐ Проверены шифрование и ключи (до 2048 бит RSA → 3072).

Обучение персонала

• Вводный курс «ПДн для новичков» (30 мин, LMS).
• Тренажер по фишинговым атакам (отправка «фальшивых» писем).
• Квартальный брифинг ИТ-подразделения: изменения в законодательстве, кейсы донаосов.

Киберстрахование

Добавить в полис D&O / Cyber Risk иск «на судебные расходы по 152-ФЗ».

Чтобы ложный донос не стал проблемой:

• Есть ли у вас актуальный ЛНА (положение) и утвержденный приказом ответственный?
• Храните ли журналы доступа не менее 18 мес.?
• Включено ли шифрование для всех носителей и копий?
• Есть ли согласия на фотосъёмку/рассылку/кросс-граничную передачу?
• Проведён ли внешний аудит за последние 6 мес.?

Если хотя бы один пункт вызывает сомнения — устраняйте до того, как «доброжелатель» успеет отправить донос.

© 2026, Консалтинговая группа «Безопасные персональные данные». Материал подготовлен на основе 152-ФЗ, ПП 1119 и требований ФСТЭК России.