Вопрос-ответ

К сожалению, вы не указали специфику и род деятельности вашей организации, поэтому постараемся ответить в общем случае.

Действительно, если вы имеете в виду ст. 13.11 КоАП, то она предусматривает штраф от 5000 до 10 000 руб. Однако не забывайте, что в случае проверки вам будет вынесено предписание устранить нарушение. И устранение нарушения будет дополнительно проконтролировано. Причём может оказаться, что срок на устранение нарушений составит от 3 дней, и за это время вы можете не успеть устранить выявленные нарушения. В таком случае вас ждёт повторный штраф по ст. 13.11 плюс штраф по ст. 19.5 КоАП, который в случае проверки ФСТЭК составляет до полумиллиона рублей.

Не забудьте также про затраты на персонал, который будет сопровождать с вашей стороны все эти процедуры, проверки, предписания и прочее.

Кроме того, согласно ч. 3 ст. 23 152-ФЗ, Роскомнадзор вправе:

• требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путём персональных данных;
• принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований закона;
• направлять заявление в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии и т. д.

Как вы понимаете, такие меры могут в некоторых случаях принести предприятию убытков даже больше, чем штраф в полмиллиона рублей. Учтите также репутационные риски в случае появления в прессе информации о том, что ваша организация нарушает требования по защите персональных данных (Роскомнадзор публикует результаты проверок на своём сайте). И так далее.

На наш взгляд, все эти риски стоят того, чтобы привлечь специалистов и решить этот вопрос раз и навсегда. Тем более что в случае наших «типовых решений» речь идёт о нескольких десятках тысяч рублей за проект и комплект документов. Однако мы не навязываем своего мнения, прекрасно понимая, что у вас может быть своя специфика, когда «контролёрам до вас не добраться, не проконтролировать» и т. п. (причём это без иронии).

P. S. В дополнение стоит иметь в виду, что Роскомнадзором внесена инициатива (откроется в новой вкладке) по увеличению размера административного штрафа по ст. 13.11 КоАП до 200–500 тыс. рублей.

Мы «оторвали» эту часть работ от основного пакета вот почему.

В ходе первой части работ мы разрабатываем систему защиты информации (СЗИ) и готовим основной пакет документов. Это приказы, инструкции, журналы учёта, концепция, модель угроз и проект СЗИ.

За этапом разработки системы защиты должен логически следовать этап её внедрения. В этой точке в нашем процессе оказания услуги возникает «точка ветвления». Она связана с тем, что часть клиентов предпочитает закупать и инсталлировать средства защиты самостоятельно, часть доверяет это нам. Иногда этап внедрения может растянуться на довольно существенное время. Связано это с тем, что не всегда возможно в короткий срок внедрить СЗИ без ущерба для основных процессов операционной деятельности заказчика.

После этапа внедрения мы заключаем отдельный договор и проводим работы по созданию методики аттестационных испытаний, разрабатываем паспорта для всех ИСПДн заказчика, проводим испытания (это достаточно скрупулёзная процедура, включающая в том числе снятие контрольных сумм наиболее критичных файлов на каждом рабочем месте или сервере, входящем в ИСПДн). В результате этих работ заказчику выдаётся заключение и аттестат соответствия / декларация о соответствии (в зависимости от специфики деятельности).

Теоретически вы можете не заказывать у нас последний этап работ, а выполнить его самостоятельно. В случае проверки вы предъявите комплект документов, проект и самостоятельно разработанную декларацию о соответствии. Однако это достаточно «скользкий» путь, и трудно спрогнозировать реакцию на это инспекторов. В этом случае мы, как лицензиат по ТЗКИ, несём ответственность только за соответствие разработанной нами документации требованиям законодательства, но не за соответствие реальных систем (ИСПДн) требованиям Закона (тут нужно прочувствовать разницу).

Если же мы довели работы до конца, выдали заключение о соответствии законодательству, то наш специалист (которого мы выделяем вам для участия в проверке) в полной мере вас сопровождает, а наша компания несёт финансовую ответственность за соответствие фактических ИСПДн (а не проектов) требованиям законодательства.

Исключением может быть лишь ситуация, когда после аттестационных испытаний и снятия контрольных сумм заказчиком были внесены существенные изменения в ИСПДн, и при этом заказчик забыл нас об этом заблаговременно уведомить перед проверкой.

Вы, безусловно, являетесь оператором персональных данных и соответствуете определению оператора ПДн, данному в п. 2 ст. 3 152-ФЗ «О персональных данных». Поэтому проводить комплекс мероприятий по приведению ИСПДн в соответствие с требованиями по защите вам, безусловно, нужно — особенно с учётом большого, как мы предполагаем, объёма таких данных в вашей базе.

Что касается согласия субъектов ПДн, то в соответствии со ст. 6 152-ФЗ основанием для обработки ПДн в вашем случае может являться либо согласие субъекта на обработку его ПДн, либо «необходимость исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных».

С согласием у вас может возникнуть проблема: получить его по форме, соответствующей требованиям ст. 9 закона (в бумажном виде, с собственноручной подписью и т. д.), может оказаться непросто. Поэтому вам лучше выбрать второй вариант и определиться с предметом договора, который будет для вас основанием для обработки персональных данных субъекта. Тут возможны следующие варианты.

Во-первых, обслуживающие организации, с которыми у вас есть договоры, могут уже сами, в свою очередь, иметь договоры с гражданами, которые включают пункты о согласии субъектов на передачу их ПДн на обработку вашему контакт-центру. В этом случае именно эти договоры и будут являться для вас основанием для обработки ПДн граждан, и получать с них согласия дополнительно не нужно.

Во-вторых, вы можете сами заключить с гражданином, звонящим в ваш контакт-центр, договор информационно-справочного обслуживания. Самым простым способом заключения такого договора будет размещение на вашем сайте оферты и короткое голосовое сообщение в начале каждого телефонного разговора со ссылкой на эту оферту. Не забудьте включить в этот договор согласие гражданина на передачу его ПДн в обслуживающие организации, так как передача третьим лицам возможна (см. ст. 7) только с «согласия на передачу» (не путать с «согласием на обработку»).

Напоминаем, что согласно ст. 434 ГК РФ такая оферта будет являться частным случаем договора в письменной форме.

А кроме того, не забудьте, что согласно ч. 3 ст. 9 152-ФЗ обязанность предоставить доказательство того, что гражданин заключил с вами (либо с обслуживающей организацией) договор, законом возлагается на вас.

Во-первых, очень многое зависит от вашей конкретной системы: однопользовательская она или многопользовательская, из скольких рабочих мест состоит и т. д. А кроме того, существует масса способов понижения класса.

У нас есть «типовое» решение для медицинских учреждений, которое, возможно, вас устроит. Подробнее — в соответствующем разделе.

Нет. Более того, насколько нам известно, ФСТЭК сейчас старается выдавать эти лицензии только тем организациям, которые занимаются оказанием сторонним компаниям услуг по технической защите.

Несмотря на то что вообще-то вы вправе претендовать на получение такой лицензии для своих внутренних целей (при условии выполнения лицензионных требований), на наш взгляд, сделать это будет непросто, так как может найтись масса поводов отказать вам в получении такой лицензии.

Насколько нам известно, не существует общедоступного источника, где по номеру ИНН без какой-либо дополнительной информации можно было бы получить фамилию, имя, отчество и иную личную информацию, позволяющую определить на её основании физическое лицо.

Если вы ссылаетесь на ЕГРИП, то в нём содержится информация только об индивидуальных предпринимателях, и предоставляется она на основании Федерального закона № 129-ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей», а также Правил ведения ЕГРИП. По физическим лицам — налогоплательщикам такой общедоступной базы нет. (Вопросы возможного неправомерного распространения каких-то баз на некоторых рынках мы оставляем за скобками: они на нас, как на оператора персональных данных, занимающегося приведением собственных систем в соответствие со 152-ФЗ, влияния оказывать не должны.)

Поэтому, с нашей точки зрения, обработку номеров ИНН без какой-либо дополнительной информации (фамилии, имени…), позволяющей однозначно определить физическое лицо, нельзя считать обработкой персональных данных.

Да, получать такое согласие необходимо.

Согласие может быть предусмотрено в заявлении на предоставление полиса или карты, которое работник направляет на имя руководителя организации, либо быть включено в трудовой договор с работником, если такой договор предусматривает страхование работника по программе ДМС и передачу его данных в страховую компанию.

Обратите внимание: с 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов, которые подписывает субъект (ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ), поэтому включение согласия в текст трудового договора или заявления теперь не допускается.

Если СУБД находится под вашим управлением и вы можете, пользуясь административными правами, получить любой доступ к этим данным, то, конечно, вы являетесь оператором ПДн, и вам требуется иметь одно из оснований для обработки этих ПДн, предусмотренных ч. 1 ст. 6 152-ФЗ. То есть в вашем случае необходимо наличие согласия субъектов на обработку их ПДн именно вами как оператором.

Есть и другой путь. Если вам удастся исключить с помощью технических средств доступ с вашей стороны к ПДн, вносимым вашими клиентами, то клиентам не придётся (юридически) передавать эти данные на обработку вам как оператору. Такими техническими средствами могут быть, например, средства шифрования информации, когда клиент «кладёт» к вам в базу ПДн, закрытые ключом, известным клиенту, но не известным вам (в этом случае вы теряете возможность индексации, сортировки, группировки и т. д. по соответствующим ключевым полям). Либо вам нужно внедрять средства защиты, специально предназначенные для использования в виртуальных средах (исключающие доступ оператора виртуальных сервисов к данным клиентов).

Вполне возможно, что наиболее эффективным способом такого «внедрения» станет сертификация вашей собственной системы по требованиям безопасности информации.

Нет, такой необходимости нет. Есть требование применять СЗИ, «прошедшие в установленном порядке процедуру оценки соответствия». Все вопросы, связанные с оценкой соответствия, регулируются Федеральным законом от 27.12.2002 № 184-ФЗ «О техническом регулировании». Этот закон предусматривает различные формы оценки и подтверждения соответствия, и сертификация является лишь одной из них. Есть и другие формы, например декларирование соответствия техническому регламенту, проекту, условиям договора и т. п.

Таким образом, с правовой точки зрения применение сертифицированных СЗИ для защиты ПДн не является обязательным. Но с правоприменительной точки зрения, на наш взгляд, чтобы избежать лишних вопросов и конфликтов в ходе возможных проверок, в определённых случаях целесообразно применять именно сертифицированные СЗИ, подходя к этому вопросу взвешенно, обоснованно и руководствуясь здравым смыслом.