Вебинар "Работа с персональными данными в 2025 году. Важные моменты"

• Начало вебинара в 11:00.  

• Вопрос о записи вебинара: запись будет доступна.  

• Приветствие участников и представление спикеров.  

• Маргарита, начальник отдела по организации мероприятий и обучения.  

• Компания "Астрал Безопасность" занимается информационной безопасностью более 15 лет.  

• Реализовано более 50 тысяч проектов, более 70 компаний в топ-листе.  

• Входит в топ-30 крупнейших компаний России в сфере информационной безопасности.  

• Внедрение решений для повышения защищенности и производительности инфраструктуры.  

• Обеспечение безопасности информационных систем и участие в государственной программе по импортозамещению.  

• Предоставление услуг центра мониторинга и тестирование на проникновение.  

• Необходимость подачи уведомления в Роскомнадзор до мая 2025 года.  

• Вложения в информационную безопасность и их эффективность.  

• Рекомендации по соблюдению законодательства и лайфхаки.  

• Информация о вебинарах и актуальных изменениях в законодательстве в социальных сетях.  

• Призыв подписаться на социальные сети для получения полезной информации.  

• Ярослав Федулов, ведущий эксперт по контролю и надзору за соблюдением законодательства.  

• Наталья Немудрая, эксперт по работе с персональными данными.  

• Елена Анатольевна, начальник отдела мониторинга и анализа центра правовой помощи гражданам.  

• Ярослав Федулов начинает разбор типовых ошибок операторов при реализации закона о персональных данных.  

• Нарушения, касающиеся подачи уведомлений и мер по выполнению обязанностей.  

• Изменения в законе о персональных данных с 2022 года.  

• Разграничение целей обработки персональных данных в реестре операторов.  

• Указание полного перечня обрабатываемых персональных данных и категорий субъектов.  

• Анализ уведомлений и документов операторов.  

• Выявление несоответствий и ошибок в обработке персональных данных.  

• Указание категорий субъектов персональных данных в зависимости от цели обработки.  

• Правовые основания обработки персональных данных: согласие, договор, законодательство.  

• Примеры правовых оснований в трудовых отношениях и договорах с клиентами.  

• Используйте шаблоны, разработанные Роскомнадзором, размещенные на портале персональных данных.  

• Заполняйте уведомления с соблюдением требований статьи 22 закона о персональных данных и приказа Роскомнадзора №180.  

• Отсутствие аудита деятельности по обработке персональных данных.  

• Делегирование заполнения уведомлений начальникам структурных подразделений.  

• Соблюдение рекомендаций Роскомнадзора и использование шаблонов на портале персональных данных.  

• Проведите аудит политики обработки персональных данных, локальных актов и договоров.  

• Унифицируйте перечень целей обработки персональных данных.  

• Распишите цели обработки и категории субъектов персональных данных.  

• Руководствуйтесь частью первой статьи 6 закона о персональных данных.  

• Внесите изменения в положения, если федеральный закон о персональных данных указан как правовое основание.  

• Зафиксируйте все используемые ПДн.  

• Укажите цель обработки персональных данных, категории субъектов, правовое основание, действия и способ обработки.  

• Опишите меры, предусмотренные статьями 18.1 и 19, сведения о СКЗИ, ответственность за обработку данных.  

• Укажите дату начала обработки и условия прекращения.  

• Направляйте уведомления об изменении сведений не позднее 15 числа месяца, следующего за месяцем изменений.  

• Уведомление может быть короче, чем основное уведомление, так как указываются только изменяющиеся сведения.  

• Отсутствие ответственного за организацию обработки персональных данных или некорректное определение его полномочий.  

• Назначение нескольких ответственных параллельно является нарушением.  

• Юридическое лицо должно разработать и опубликовать документ, определяющий политику обработки персональных данных.  

• Локальные акты, такие как порядок пропускного режима, также должны быть приняты.  

• Внутренний контроль и аудит должны проводиться в соответствии с требованиями закона.  

• Работники должны быть ознакомлены с законодательством о персональных данных и локальными актами.  

• Рекомендуется проводить обучение работников в рамках соблюдения требований законодательства.  

• Назначаются ответственные лица за организацию обработки персональных данных.  

• Разрабатывается документ, определяющий политику обработки персональных данных.  

• Локальные акты, такие как порядок пропускного режима, также должны быть разработаны.  

• Рекомендуется утвердить план проведения аудита и оформить его результаты.  

• Ознакомление работников с законодательством можно оформить через лист ознакомления или трудовой договор.  

• Обучение должно подтверждаться соответствующими документами.  

• Работодатели должны ознакомить работников с порядком обработки их персональных данных.  

• Разрабатывается локальный акт, устанавливающий порядок обработки персональных данных работников.  

• Оператор должен определить места хранения материальных носителей персональных данных.  

• Утверждается перечень лиц, имеющих доступ к персональным данным.  

• Уничтожение персональных данных осуществляется в соответствии с законодательством.  

• Согласие на обработку персональных данных должно соответствовать требованиям части четвертой статьи девятой закона.  

• В случаях, когда требуется письменное согласие, оно должно включать определенные сведения.  

• Часто встречающиеся нарушения: отсутствие сведений о субъекте данных, перечня обрабатываемых данных и способа отзыва согласия.  

• Согласие на обработку персональных данных рекомендуется хранить неограниченно долго.  

• В случае жалоб оператор должен подтвердить правовое основание обработки данных.  

• Согласие должно храниться не менее трех лет для подтверждения законности обработки данных.  

• Информация о группе инвалидности относится к специальным категориям персональных данных.  

• Обработка данных работодателем осуществляется в рамках статьи 10, за исключением случаев, когда требуется согласие на обработку.  

• Проверка алко-рамкой требует уточнения процесса тестирования для определения категории обработки данных.  

• Первичные профсоюзные организации должны подавать уведомления в Роскомнадзор, если они являются операторами персональных данных.  

• Новый 420-й федеральный закон пока не вступил в силу, и его изменения не комментируются.  

• Оператор самостоятельно определяет, кого назначить ответственным за организацию обработки персональных данных.  

• Важно, чтобы были определены полномочия ответственного лица.  

• Использование Google Analytics рассматривается как трансграничная передача персональных данных.  

• Использование Google Таблиц требует анализа информации, которую в них вносят.  

• Самозанятые физические лица должны подавать уведомления об обработке персональных данных.  

• Цели обработки данных должны быть связаны с фактической деятельностью организации.  

• Необходимо анализировать все бизнес-процессы и документы для определения целей обработки данных.  

• Можно объединять схожие однородные процессы обработки данных в одну цель.  

• Конкретный подход зависит от анализа документов и фактической деятельности.  

• Операторы должны разработать внутренние документы, определенные законом о персональных данных.  

• Отсутствие документов является нарушением и требует устранения.  

• В одном уведомлении указываются все цели обработки данных.  

• Цели обработки данных раскрываются в уведомлении, включая обрабатываемые данные и правовое основание.  

• Вопросы, не рассмотренные на встрече, будут отправлены участникам в письменном виде.  

• Приглашение следующего участника для обсуждения новых законов.  

• Центр правовой помощи гражданам в цифровой среде создан в сентябре 2021 года по инициативе Роскомнадзора.  

• Основная задача - защита прав граждан, чьи права нарушены в результате незаконного использования персональных данных.  

• Центр оказывает юридические услуги, включая досудебное урегулирование и представление интересов в суде.  

• Обратиться можно по телефону, электронной почте или через форму на сайте.  

• В Москве есть личный прием, а также филиалы в нескольких федеральных округах.  

• Заключено более 50 соглашений с МФЦ для оформления заявок через их платформы.  

• 77% обращений связаны с цифровым мошенничеством, 9% - с незаконной обработкой данных.  

• Ошибки операторов часто приводят к жалобам, например, ненадлежащая идентификация клиентов.  

• Примеры: мошенники взламывают аккаунты на порталах госуслуг и финансовых организаций, оформляют кредиты и займы на чужие номера телефонов.  

• Пример с кредитной организацией: гражданин не совершал сделку, но суд отказал из-за отсутствия доказательств.  

• Центр помог собрать доказательства и выиграл дело, взыскав компенсацию морального вреда.  

• Пример с банком: банк ошибочно взыскал деньги с полной тезки, что было опровергнуто и взыскан моральный вред.  

• Центр помогает гражданам собирать доказательства и бороться за свои права.  

• Примеры успешных дел публикуются на сайте и в новостях.  

• Центр разъясняет гражданам требования законодательства, если они ошибочно полагают, что их права нарушены.  

• Центр не занимается наказанием операторов, но сообщает о нарушениях в Роскомнадзор.  

• Пример: москвич взыскал компенсацию морального вреда с организации за утечку персональных данных.  

• Вопрос о влиянии увеличения штрафов за утечки на уменьшение их количества остается дискуссионным.  

• Взвешенно относиться к обработке персональных данных.  

• Не собирать избыточные данные, чтобы избежать негативных последствий.  

• Внимательно относиться к обращениям граждан, пострадавших от преступлений.  

• Операторы могут обращаться за помощью как граждане.  

• Информация о работе центра доступна на сайте.  

• Центр помогает гражданам, пострадавшим от мошеннических действий.  

• Наталья Немудрая рассказывает об изменениях в 2024 году.  

• Рекомендации по минимизации рисков работы с персональными данными.  

• Вопрос о том, является ли электронная почта персональными данными.  

• Электронная почта является персональными данными.  

• Пример с рабочей почтой Натальи.  

• Ошибки в сборе и хранении персональных данных из-за непонимания их статуса.  

• Каждая организация является оператором персональных данных.  

• Требования закона распространяются на всех, кто обрабатывает данные.  

• Исключения касаются организаций, обрабатывающих данные не автоматизированным способом.  

• Увеличение ответственности за отсутствие уведомления с мая 2025 года.  

• Штрафы для юридических и физических лиц.  

• Проверка наличия организации в реестре операторов.  

• Назначение ответственного за обработку персональных данных.  

• Разработка локальных документов и приведение в порядок сайта компании.  

• Часто встречаются ошибки в оформлении сайта, что приводит к проблемам с законодательством.  

• Рекомендуется провести аудит сайта и проверить его на соответствие требованиям 152-ФЗ.  

• В конце мероприятия будет опрос для желающих провести аудит сайта бесплатно.  

• Проверьте наличие всех необходимых средств защиты информации на местах.  

• Уведомление в Роскомнадзор должно отражать все действия по предотвращению неправильной обработки персональных данных.  

• Проверьте, что ваше уведомление в реестре операторов соответствует текущим требованиям законодательства.  

• Обновляйте уведомления не позднее 15-го числа следующего месяца после изменений.  

• Если что-то меняется, подавайте корректирующее уведомление на портале Роскомнадзора.  

• Уведомление об утечках подается в течение 24 часов с момента подозрения на инцидент.  

• Назначьте ответственного за подачу уведомления и обучите сотрудников.  

• После подачи уведомления у вас есть 72 часа на расследование и предоставление объяснительной в Роскомнадзор.  

• Уведомляйте о неправомерном копировании базы данных, утечке в интернет, угрозах раскрыть данные и шифровальщиках.  

• Штрафы за отсутствие уведомления составляют до 5 тысяч рублей для юридических лиц и до 3 миллионов рублей с мая 2025 года.  

• Если факт утечки не подтвердится, можно написать объяснительную и избежать штрафа.  

• Штрафы зависят от объема утечки: до 15 миллионов рублей за первичную утечку и от 1 до 3% от прошлогоднего оборота за повторную утечку.  

• Смягчающие обстоятельства: ежегодные инвестиции в инфобезопасность, отсутствие отягчающих обстоятельств, документальное подтверждение соблюдения требований к защите данных.  

• Операторы могут избежать наказания, если докажут принятие всех необходимых мер для предотвращения утечки.  

• Штрафы за утечки персональных данных будут серьезными.  

• Важно разработать документы, подать уведомления и обучить сотрудников.  

• Избежать утечек иногда невозможно, но можно минимизировать риски.  

• Можно избежать утечек, если сотрудники понимают свои обязанности.  

• Взломы инфраструктуры заказчика могут быть неизбежны.  

• Важно доказать, что утечка произошла не по вашей вине.  

• Сократите сбор персональных данных, если они не нужны для бизнеса.  

• Проведите инвентаризацию баз данных и удалите ненужные.  

• Проведите беседы с сотрудниками и проверьте их работу.  

• Выясните, где сотрудники берут и хранят персональные данные.  

• Проверьте, как они передают данные между группами компаний.  

• Составьте приказы о работе с базами данных.  

• Разделите базы данных на более мелкие для минимизации рисков.  

• Это поможет сократить штрафы и уменьшить объем похищенных данных.  

• Проводите регулярные аудиты и обучение сотрудников.  

• Установите актуальные средства защиты информации.  

• Проводите регулярные аудиты работы с персональными данными.  

• Выделите ответственного за организацию обработки персональных данных.  

• Вкладывайтесь в информационную безопасность, не менее 0.1% от оборота.  

• Вкладывайте в средства защиты информации, услуги и аудиты.  

• Поддерживайте локально-нормативные акты в актуальном состоянии.  

• Список документов можно найти на сайте Роскомнадзора.  

• Рекомендации по подготовке к проверкам опубликованы на портале Роскомнадзора.  

• Локальные нормативные акты проверяются не только Роскомнадзором, но и ФСБ.  

• Документы должны раскрывать цели сбора данных, категории данных, сроки обработки и хранения.  

• Информационные системы должны быть приняты приказами.  

• Документы можно разрабатывать самостоятельно или с помощью консалтинговых организаций.  

• Наличие документов может смягчить наказание при утечке данных.  

• Можно обратиться к партнерам для разработки документов.  

• Документы скачиваются в формате DOC или RTF и могут быть обновлены при изменениях в работе с данными.  

• Уведомления должны соответствовать локальным документам.  

• В сервисе можно подготовить уведомления в правильной последовательности.  

• Уведомления можно отправить прямо из сервиса.  

• Тариф "Расширенный" стоит 15 тысяч рублей, "Эксперт" - 40 тысяч рублей.  

• В тарифе "Эксперт" поддержка осуществляется экспертами по телефону.  

• Демонстрацию сервиса можно получить у партнеров группы компаний "Астрал".  

• Штрафы за утечку данных менее тысячи субъектов составляют до 100 тысяч рублей.  

• С мая 2025 года штрафы увеличатся до 300 тысяч рублей.  

• Наказание может быть применено не только за утечку, но и за другие нарушения в работе с персональными данными.  

• С декабря 2024 года введена статья 272.1, предусматривающая лишение свободы за незаконное хранение и передачу персональных данных.  

• Пример: сотрудник уволился и скопировал клиентскую базу, что является нарушением для нескольких лиц.  

• Организация, принявшая сотрудника с клиентской базой, допустила незаконное хранение и использование персональных данных.  

• Важно понимать, откуда получены данные и как с ними работать.  

• Каждый сотрудник должен нести ответственность за свои действия с персональными данными.  

• Каждый на своей должности несет ответственность за утечку данных.  

• Примеры: копирование баз на флешки, работа с данными на чужих компьютерах.  

• Важно быть внимательным при работе с удаленными сотрудниками и фрилансерами.  

• Роскомнадзор расширяет полномочия по контролю за операторами персональных данных.  

• Операторам необходимо назначать ответственных и проверять актуальность контактной информации.  

• Важно реагировать на запросы Роскомнадзора и использовать искусственный интеллект для проверки сайтов.  

• Роскомнадзор активно использует искусственный интеллект для проверки сайтов.  

• Сервисы для проверки сайтов на соответствие требованиям Роскомнадзора.  

• Возможность бесплатного демо-доступа для проверки сайтов.  

• Ответственность за обработку персональных данных может быть возложена на любое лицо по договору.  

• Для судебных дел можно передавать все данные, запрашиваемые судом.  

• Фотографии из мероприятий могут быть персональными данными, в зависимости от их содержания.  

• Сбор данных для оформления пропуска в организацию является сбором персональных данных.  

• Базы данных должны быть описаны в соответствии с 152-ФЗ.  

• Передача данных между компаниями регулируется внутренними соглашениями, которые не публикуются публично.  

• Журналы по обучению сотрудников могут вестись как на бумаге, так и в электронном виде.  

• Важно фиксировать тему, дату, время и подпись сотрудника.  

• Коммерческие организации обязаны оформлять акты ввода-вывода в эксплуатацию информационной системы персональных данных.  

• Требования к оформлению одинаковы для всех организаций.  

• Если по закону требуется идентификация личности, сократить работу с персональными данными невозможно.  

• Собирайте только те данные, которые требуются по законодательству или нормативно-правовым актам.  

• Вебинар был насыщенным и интересным.  

• Все презентации будут выложены для ознакомления.  

• Запущен опрос для поддержки участников по итогам вебинара.  

• Возможность оставить заявку для детальной проработки вопросов.  

• Демонстрация сервиса 152.DOLK и аудит по персональным данным.  

• Тестирование на проникновение и курсы по информационной безопасности.  

• Важность наличия документации и средств защиты информации.  

• Оценка эффективности информационных систем должна обновляться раз в три года.  

• Возможность обратиться за помощью в сфере информационной безопасности.  

• Вебинар был полезен для участников.  

• Призыв следить за социальными сетями и мероприятиями.  

• Благодарности всем участникам и спикерам.