КОМПЛАЕНС

GDPR: 12 материалов для старта в карьере Начинать путь в сфере Data Privacy бывает непросто из-за обилия терминов и сложных правил. Чтобы вы не утонули в море информации, мы собрали 12 статей на базовые темы из нашего блога, которые помогут быстро выстроить фундамент знаний: 1. Что такое GDPR: краткий обзор основ и истории главного закона, который вернул людям контроль над их персональными данными в цифровой реальности. 2. Персональные данные простыми словами: чтобы раз и навсегда разобраться, что именно считается персональными данными по GDPR и почему сюда попадает даже номер автомобиля. 3. Материальная сфера действия: разбираемся, на какие именно виды обработки данных распространяются требования Регламента, а на что они не влияют. 4. Экстерриториальное применение: здесь объясняем, почему правила GDPR иногда должны соблюдать даже те компании, которые находятся далеко за пределами Европы. 5. Контролер и процессор: учимся различать ключевые роли — кто определяет цели обработки данных, а кто просто выполняет инструкции. 6. Какие документы нужны по GDPR: путеводитель по «ядру» документации, которая помогает бизнесу доказать свою подотчетность перед регулятором. 7. Что такое RoPA: инструкция по созданию реестра обработок — «карты данных», с которой начинается любой серьезный комплаенс-проект. 8. Трансграничная передача данных: всё о том, как законно передавать информацию за границу и какие защитные механизмы для этого существуют. 9. Что такое DPIA: пошаговый план оценки рисков для прав пользователей, чтобы предотвратить проблемы еще на этапе планирования продукта. 10. Что такое Privacy by Design: о том, как проектировать системы так, чтобы защита данных была их встроенной частью, а не временной надстройкой. 11. Важность немедленного уведомления: краткая инструкция о том, как и когда сообщать об утечках, чтобы минимизировать ущерб и избежать санкций. 12. 12 самых известных штрафов: реальные примеры ошибок крупных брендов, которые наглядно показывают цену формального отношения к приватности. Сохраняйте эту подборку в закладки, чтобы база знаний всегда была под рукой. И обязательно делитесь постом с коллегой, который тоже только начинает погружаться в GDPR 📩

Послезавтра (14 августа) день открытых дверей Роскомнадзора (анонс). Начало в 13.00 мск. Прием вопросов закончен, подготовлена ссылка на трансляцию https://vkvideo.ru/live-76229642_456240202

Новые подходы к технической защите персональных данных   Судя по проекту приказа, который спешит на смену приказу ФСТЭК № 21, в ближайшие годы нормативно одобренные подходы к технической защите персональных данных будут определять три основных документа:   ⚫️новый приказ об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн (общественное обсуждение проекта завершено 8 августа 2026 года); ⚫️Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах (методический документ ФСТЭК от 12 апреля 2026 года); ⚫️Методика оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ (методический документ ФСТЭК от 7 августа 2026 года).   Формально нормативным правовым актом из этой троицы является только первый документ. Но его текущий проект содержит очевидные отсылки к методическим документам ФСТЭК.   В частности, проект предусматривает оценку достаточности и эффективности реализованных мер по обеспечению безопасности персональных данных через показатель уровня зрелости, определяемый в соответствии с методическими документами ФСТЭК (п. 9). Содержание самих мер для соответствующего уровня защищённости предлагается определять также с использованием методических документов ФСТЭК (п. 12).   В связи с вышеизложенным опубликованная на днях Методика оценки уровня зрелости представляет большой интерес для всех DPO и им сочувствующих. Рекомендуем ознакомиться с первоисточником, но для первого знакомства отметим главное.   ⚫️Внутренняя и внешняя оценки. Оператор может провести оценку самостоятельно или привлечь подрядчика с лицензией на техническую защиту конфиденциальной информации. Внешняя оценка считается более объективной, но обязательной не является. ⚫️Пять уровней зрелости: 0 – нулевой (требования не выполняются, мероприятия не реализованы) 1 – начальный 2 – системный 3 – контролируемый 4 – верифицируемый (наивысший уровень, предполагающий соответствие установленным требованиям и периодическую внешнюю проверку их эффективности). ⚫️21 направление деятельности. Именно по этому числу направлений по общему правилу оценивается техническая защита информации. Перечень должен быть конкретизирован оператором с учетом применимых отраслевых требований (в том числе с учётом требований нового приказа, который придет на смену приказу ФСТЭК № 21 и установит состав мер по обеспечению безопасности персональных данных).   ⚫️Требования к направлениям и их весовые коэффициенты. Деятельность внутри каждого направления оценивается по 8 видам требований: - документирование - выполнение - инструменты - квалификация персонала - контроль - обучение - внешний аудит - актуализация У каждого требования есть весовой коэффициент (от 0,1 до 0,2), а степень выполнения оценивается по шкале значений 0 / 0,5 / 1. Итоговое значение по виду требования определяется по формуле [весовой коэффициент х степень выполнения]. Cумма значений по всем требованиям даёт текущий уровень зрелости направления.   ⚫️Расчет итоговых значений. Числовое значение, рассчитанное по итогам оценки требований, сопоставляется с нормированными диапазонами, что даёт итоговый уровень зрелости (0–4) для каждого направления деятельности. Общий уровень зрелости организации определяется как среднее арифметическое текущих уровней по всем направлениям, а результаты визуализируются в виде «лепестковой» диаграммы, сопоставляющей текущий и целевой профили зрелости.   ⚫️Документирование итогов. По итогам оценки обязательно составляется отчёт с описанием области оценки, участников (в том числе лиц, предоставлявших исходную информацию), методологии и исходных данных, результатов по каждому виду требований и направлению, а также с графической интерпретацией результатов. Методика также предполагает сравнение результатов в динамике и формирование плана мероприятий по достижению целевых показателей.   Похоже, что в регулировании технической защиты персональных данных нас ждёт довольно заметный сдвиг: от привычной модели «определили уровень защищённости → выбрали набор мер» к более комплексной оценке того, насколько системно эти меры реализованы и работают на практике. Также бросается в глаза многокомпонентный подход к оценке, который неизбежно повлечет за собой запрос на автоматизацию соответствующего процесса.

26 июля вступили в силу изменения статьи 12 152-ФЗ о трансграничной передаче ПД. Разбираем, что изменилось и как с этим быть. Что произошло? 🔵Исчезли все упоминания Конвенции № 108. Формальное участие государства в Конвенции больше не гарантирует ему статус «адекватного». Вы спросите, что же тогда гарантирует? Теперь только одно – перечень государств, который ведет РКН. 🔵Причем критерии «адекватности» тоже изменились. Теперь это не только законодательство страны, но и то, как оно реально применяется на практике. Отныне оценивается принятие эффективных мер защиты, обеспечение конфиденциальности и безопасности данных. Вы спросите, какой подписант Конвенции в реальности применяет это самое privacy-законодательство? Возможно, Германия, где Кельнский суд разрешил Meta* обучать ИИ на постах пользователей? А может, и ЕС с «чат-контролем»? Теперь список недружественных государств заиграл новыми красками – ранее мы уже сравнивали, кто где оказался. А кроме этого, можно еще вспомнить государства, по мнению которых РФ не обеспечивает надлежащей защиты получаемых ПД. Тревожно, если тут однажды будет работать принцип взаимности… Но и это не все! РКН уже вынес на обсуждение новый перечень адекватных стран вместо старого приказа № 128. Существенно ничего не поменялось. Да, пока всех-всех подписантов оставили в перечне, кроме Украины. Заодно РКН упростил и саму структуру документа: вместо двух разделов теперь сплошной алфавитный список из 88 стран. Изменений потребует форма проверочного листа РКН, которая до сих пор предусматривает отсылку к Конвенции № 108. Постойте, но ведь на общественное обсуждение уже вынесен проект обновленной формы этого листа, где из изменений в части трансграничной передачи только исключение пункта о соблюдении формы уведомления, а Конвенция осталась. Неразбериха… Как это повлияет на бизнес? Если раньше можно было умиротворенно полагаться на факт участия страны-получателя в Конвенции № 108, то теперь этого недостаточно. То, что было «адекватным» вчера, завтра может внезапно перестать им быть. Больше всего изменения могут затронуть тех, кто активно включен в цепочки трансграничной передачи. Например, использует зарубежные сервисы, взаимодействует с иностранными контрагентами, передает данные внутри глобальных групп компаний. Наиболее чувствительными к изменениям останутся е-com и финсектор. Из непредсказуемости изменений перечня следует необходимость хотя бы скромного continuity-плана (BCP): 🔵обеспечить проактивный (а не реактивный) маппинг процессов передачи ПД зарубежным партнерам и сервисам, включая кейсы удаленного доступа зарубежных компаний к ПД в РФ; 🔵определить, кто в компании отслеживает обновления перечня РКН и держит на контроле статус каждой страны-получателя; 🔵подготовить форму оценки правового регулирования страны-получателя, так как если она выпала из перечня, то потребуется отдельно обосновывать передачу по п. 2 ч. 5 ст. 12 – с более тщательной оценкой рисков; 🔵разработать план действий на случай, если РКН ограничит передачу: прекращение обработки переданных за пределы РФ ПД, поиск подрядчика в альтернативной юрисдикции или определение иного канала передачи и т. п. Конечно же, не стоит забывать и про старое доброе правило 10 рабочих дней. Трансграничить «неадекватам» можно не раньше, чем через 10 дней после уведомления РКН. За это время РКН вправе запросить дополнительные сведения или вовсе запретить передачу. Год назад мы писали про запреты от РКН на осуществление трансграничной передачи менее чем для 1% уведомлений, и, к счастью, с тех пор ситуация особо не изменилась. И напоследок На бумаге закон выглядит как рутинная техническая поправка. По сути же РКН забирает себе финальное слово в вопросах трансграничной передачи, а «адекватность» страны-получателя перестает быть «врожденным» юридическим критерием. А как вы думаете, кого из прежде адекватных исключат первым? Великобританию, Польшу, Эстонию… никого? *является нежелательной организацией и признана экстремистской на территории РФ #Comply #PrivacyМнение 🙂 MAX | YT | RT | LI | Комплайтека

32 вопроса и ответа от территориальных Управлений Роскомнадзора здесь. На сайтах территориальных Управлений Роскомнадзора встречаются ответы по различным вопросам персональных данных. Некоторые из них устарели, но другие все еще имеют значимость. Мы собрали вопросы и ответы со всех сайтов территориальных управлений Роскомнадзора, проверили их на актуальность, сгруппировали и опубликовали в одном месте. По возможности добавили наш комментарий. Для опытных экспертов открытий не будет. Подойдет для базового понимания 152-ФЗ или что бы дать ссылку коллеге - не эксперту.

#defensive Методика оценки зрелости деятельности 🇷🇺 Опубликованный 7 августа 2026 года ФСТЭК России документ вводит порядок оценки уровня зрелости деятельности в области технической защиты информации, не составляющей государственную тайну, по 21 направлению и распространяется на все системы с значимыми объектами КИИ, операторов и подрядчиков данных субъектов, а также на информационные системы персональных данных (ИСПДн). В том числе данный методический документ ложится в основу мероприятий 117 приказа ФСТЭК России. Ссылка на источник: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-7-avgusta-2026-g

Какую информацию о пользователях собирают голосовые помощники? Голосовые помощники прочно закрепились в повседневной жизни многих пользователей. Помощников просят поставить будильник, включить музыку, узнать погоду или управлять устройствами умного дома.   В основе работы голосового помощника лежит принцип постоянного прослушивания. При прослушивании устройство непрерывно анализирует акустический фон, ожидая слова-активатора — фирменной фразы вроде «Алиса», «Hey, Siri» или «Ok, Google». Вся обработка звука на этом этапе происходит локально, на самом устройстве, и служит лишь для обнаружения ключевой фразы.   Как только активация произошла, дальнейший процесс схож для всех семейств голосовых помощников:   - микрофон захватывает звуковой сигнал; - нейросетевые алгоритмы распознавания составляют словесную расшифровку; - извлечённая информация по защищённым каналам отправляется на облачные серверы компании-разработчика; - искусственный интеллект анализирует смысл запроса, контекст, предыдущие взаимодействия, метаданные (время, дату, IP-адрес, идентификатор устройства, геолокацию); - формируется ответ, синтезируемый в голосовое сообщение; - ответ отправляется обратно на исходное устройство и проигрывается пользователю.   Производители утверждают, что используют сквозное шифрование при передаче и хранении, а также обезличивают данные, привязывая их не к имени, а к случайному идентификатору устройства. Однако это обезличивание может носить обратимый характер. Официальные сроки хранения информации могут составлять годы, если пользователь не удалит историю вручную. Но даже в случае ручного удаления данные могут остаться на серверах производителя, например, для улучшения качества распознавания речи и работы алгоритмов машинного обучения.   Голосовые помощники — это очень удобно, особенно в режиме многозадачности, когда на всё «не хватает рук». Но при их использовании существует несколько путей потенциальной утечки конфиденциальной информации.   Первый и самый очевидный путь — ложная активация. Модель голосового помощника основана на вероятностных алгоритмах, и на практике она далека от идеала. Шум телевизора, похожее по звучанию слово, музыка или даже кашель могут быть ошибочно интерпретированы как команда. В этом случае устройство активируется, начинает запись и отправляет фрагмент аудио в облако, считая, что пользователь обратился к нему. Это явление известно как «ложная активация» («false wake»), и оно неоднократно становилось предметом судебных разбирательств. Из-за неё в облако уходят фрагменты приватных разговоров, которые никогда не предназначались для помощника, и могут стать частью обучающей выборки или даже рекламного профиля.   Второй путь — уязвимости в облачной инфраструктуре или в приложениях-навыках сторонних разработчиков (skills). Злоумышленник, получивший доступ к API или взломавший сервер, может выкачать архивы записей.   Третий путь — человеческий фактор: сотрудники или подрядчики, имеющие доступ к обезличенным записям, могут копировать их на личные носители, публиковать в открытых каналах или продавать.   Четвёртый, менее очевидный, но юридически легитимный — запросы со стороны судебных и правоохранительных органов, которые в разных странах могут обязать компанию предоставить записи конкретного пользователя, и это уже само по себе является формой «утечки» в широком смысле, несмотря на то, что это происходит с санкции закона.   Голосовые помощники — это мощные системы сбора данных, которые могут записывать окружающие звуки по ошибке или из-за технических сбоев. Эти записи хранятся годами, и при определённых условиях могут стать достоянием третьих лиц.   Полностью исключить риски невозможно, но можно их уменьшить следующими способами:   - регулярно чистить историю голосовых команд в настройках аккаунта; - отключать микрофон физической кнопкой, когда умное устройство не используется; - не обсуждать конфиденциальные темы в радиусе слышимости голового помощника.

Врач подписал согласие на планшете. Но что потом докажет фармкомпания? 📄 Фармкомпании часто взаимодействуют со специалистами здравоохранения: информируют о препаратах, приглашают на мероприятия, рассылают научные материалы, проводят опросы. Во многих таких процессах основанием для обработки ПДн становится согласие. Все чаще его предлагают подписать на планшете: представитель показывает текст согласия на экране, а врач, фармацевт или научный сотрудник ставит подпись стилусом или пальцем. Это электронная графическая подпись — ЭГП. Удобно, но для legal и compliance возникает вопрос: можно ли считать такое согласие надежным по 152-ФЗ? Российский закон отдельно не выделяет ЭГП и не устанавливает порядок ее получения. В судебной практике и доктрине ЭГП иногда рассматривают как аналог собственноручной подписи со ссылкой на п. 2 ст. 160 ГК РФ: такой аналог допустим, если предусмотрен законом, иным правовым актом или соглашением сторон. Но переносить эту логику на согласия по ПДн нужно осторожно. РКН не рассматривает согласие на обработку ПДн как одностороннюю сделку и не распространяет на него автоматически положения ГК РФ. При этом 152-ФЗ не содержит специальных правил про ЭГП. Значит, ЭГП как способ фиксации волеизъявления прямо не запрещена. Но если для обработки требуется письменное согласие по ч. 4 ст. 9 152-ФЗ, оно должно быть подписано собственноручно либо в форме электронного документа, подписанного электронной подписью. Поэтому подпись на планшете нельзя запускать как простую замену бумаги. ЧТО ПРОВЕРИТЬ 1️⃣ Есть ли соглашение об использовании ЭГП С учетом неопределенности безопаснее оформить с субъектом отдельное соглашение об использовании ЭГП. В нем стоит заранее зафиксировать, что такой способ подтверждает волеизъявление специалиста. 2️⃣ Можно ли доказать принадлежность подписи Этот риск применим к любым правоотношениям, не только по 152-ФЗ. Если возникнет спор, оператору нужно подтвердить не только картинку подписи, но и то, что ее поставил конкретный специалист после ознакомления с текстом согласия. Желательно использовать ПО, которое фиксирует время подписания, устройство, версию текста, идентификатор подписанта и параметры подписи: траекторию, скорость движения пера, давление. 3️⃣ Есть ли альтернативные способы ЭГП лучше не делать единственным вариантом. Для фармкомпании стоит предусмотреть: — бумажное согласие с собственноручной подписью; — чек-бокс там, где письменная форма не обязательна; — простую электронную подпись, например СМС-код, при наличии соглашения об использовании ПЭП. Подпись на планшете удобна, но ее применение остается неопределенным. Для фармы важно заранее определить, где нужна письменная форма, оформить правила использования ЭГП. Если вы уже собираете согласия на планшетах или планируете внедрить такой процесс, начните с проверки формы согласия, сценария подписания и имеющихся документов. Б-152 поможет оценить модель и снизить риск претензий со стороны субъектов и регулятора. 😎 💙 VK | 💬 ТГ | 💬 МAX | 📝 Дзен

Проверьте себя: все ли описано в вашей Cookie Policy? Если вы думаете, что ваша Cookie Policy касается только непосредственно cookie, у нас для вас новости. Название этого документа — историческая условность, которая часто вводит бизнес в заблуждение. На практике регуляторы требуют раскрывать информацию о любой технологии, которая хранит данные на устройстве пользователя или получает к ним доступ. 📌 Что на сайте может выполнять функции, схожие с cookie? Помимо куки, современные сайты и приложения используют целый арсенал инструментов. Вот основные из них, которые должны быть в вашей политике: 📎 Local Storage (Локальное хранилище) — это условный ящик для хранения в браузере, который гораздо вместительнее куки (обычно 5–10 МБ). Данные здесь не исчезают после закрытия вкладки, что удобно для хранения темы оформления или работы в офлайн-режиме. 📎 Пиксели отслеживания (Web Beacons) — небольшие пиксели, которые незаметно фиксируют время прочтения письма, местоположение и операционную систему. 📎 Device Fingerprinting («Цифровой отпечаток») — техника сбора уникальных характеристик устройства (шрифты, настройки часов, версия ОС), чтобы узнать пользователя. 📎 SDK и встроенные плагины — сторонние компоненты (например, видеоплееры YouTube или кнопки соцсетей), которые могут читать и записывать данные на устройство от имени внешних сервисов. 📌 Почему их важно включать в политику и как это сделать? В политике компания обязана предоставить «четкую и исчерпывающую информацию» о любых методах доступа к устройству пользователя (будь то смартфон, компьютер или даже смарт-ТВ). Игнорирование того же Local Storage в документе — это один их сигналов непрозрачности обработки. Чтобы политика была понятной и полезной пользователям, мы рекомендуем представлять данные в виде таблиц. В них должны быть указаны: точное название технологии (ключа или файла), владелец, конкретная цель использования, срок хранения и категория (например, «строго необходимая» или «рекламная»). Отсутствие альтернативных технологий в политике — лишь один из промахов, которые совершают компании при составлении cookie policy. Кроме него мы замечаем, что компании: 1. Не следят за соответствием того, что написано в политике и того, что реально работает на сайте. 2. Пытаются объявить все технологии «строго необходимыми». 3. Используют расплывчатые цели вроде «для улучшения работы сайта». 4. Указывают срок жизни данных как «до удаления пользователем», что не раскрывает реальных настроек системы. 5. Обещают выбор, который технически не срабатывает. 6. Перекладывают ответственность за управление согласием только на настройки браузера. Всех этих ошибок можно избежать, изменив привычный для многих компаний паттерн составления политик: «сначала готовим сайт, а потом документы». Качественная Cookie Policy начинается не с юридического шаблона, а с технического аудита ресурса. Только понимая архитектуру сайта, можно составить документ, который защитит компанию и вызовет доверие у пользователей. А как провести такой аудит и грамотно отразить его результат в документе, рассказала Наталья Анисимова, CIPP/E, AIGP, FIP, в новой статье для нашего блога. Хотите узнать, как правильно провести проверку сайта и составить политику, к которой не придерется ни один регулятор? ➡️ Читайте нашу статью «Что скрывает ваш сайт: как составить Cookie Policy без ошибок» ⬅️

📋 Роскомнадзор обновляет проверочный лист по контролю за обработкой ПД 🔸 Проект правит форму проверочного листа из приказа РКН от 24.12.2021 № 253. Лист менялся один раз, приказом от 10.01.2023 № 1, и с тех пор 152-ФЗ переписали четыре закона: 266-ФЗ, 233-ФЗ, 23-ФЗ и 156-ФЗ. Сейчас в таблице 75 строк, после правки будет 77. Общественное обсуждение до 18 августа. 🔸 Пять новых вопросов. Уничтожение или обезличивание ПД по достижении целей обработки (ч. 7 ст. 5). Соответствие согласия критериям конкретности, предметности, информированности, сознательности и однозначности плюс оформление отдельно от иных документов и информации (ч. 1 ст. 9, требование про отдельное оформление принес как раз 156-ФЗ). Содержание согласия на распространение по требованиям РКН (ч. 9 ст. 9). Уведомление об обработке с раскрытием по каждой цели категорий ПД, категорий субъектов, правового основания, перечня действий и способов обработки (ч. 3.1 ст. 22). Обезличивание по требованиям и методам РКН (ч. 12 ст. 23). 🔸 Три вопроса исключаются. Строка 14 о содержании согласия на распространение, строка 20(1) о содержании уведомления о трансграничной передаче (ч. 4 ст. 12) и строка 33 об организационных мерах защиты ПД (ч. 1 ст. 19). 🔸 Исключение строки 14 это корректировка ошибки. Она ссылалась на ч. 1 ст. 10.1, где требований к содержанию такого согласия нет, и на приказ РКН от 24.02.2021 № 18, срок действия которого ограничен 1 сентября 2027 года. Новая строка 10(1) отсылает к ч. 9 ст. 9 и к требованиям уполномоченного органа вообще, без привязки к конкретному приказу с истекающим сроком. 🔸Строки 31 и 47-49 адресованы юридическим лицам, строки 50-57 государственным и муниципальным органам. 🤔 Из листа уходит единственный прямой вопрос об организационных мерах защиты ПД. Технические меры и правда вне компетенции РКН, они у ФСТЭК и ФСБ, но ч. 1 ст. 19 говорит именно об организационных, и обязанность оператора никуда не делась. 👁 PA | 💬 Max | ❤️ ЯМ | 🗣️ ВК

По данным исследования «Битрикс24», в стране формируется новый класс специалистов, которые создают цифровые сервисы без знания языков программирования – задачи описываются текстом, а код и архитектуру формируют ИИ‑агенты. Темпы роста впечатляют: всё больше предпринимателей и руководителей начинают использовать ИИ как инструмент разработки, создают рабочие продукты, выстраивают собственные стеки и внедряют приложения в операционные процессы. Разработка перестаёт быть эксклюзивной компетенцией ИТ‑отделов и становится частью повседневной работы владельцев процессов и команд. На этом фоне появляются новые закономерности: меняется состав круга пользователей, ускоряется создание рабочих решений, формируются новые подходы к инструментам и моделям, а вместе с ростом практики проявляются и новые уязвимости. Как вайбкодинг становится массовой практикой? Как появляются рабочие продукты? Какие риски проявляются и как меняется роль ИТ? Ответы ищите в карточках. Подписывайтесь на АФТ в MAX