Каталог / Комплаенс
Нарушение законодательства о персональных данных
Обработка персональных данных без оснований, согласий и защиты, нарушение локализации и уведомлений.
Типичные последствия
Штрафы (включая крупные при повторных нарушениях), проверки, иски, ущерб репутации.
Как этот риск проявляется и что с ним делать
Нарушение защиты персональных данных
Несоблюдение 152-ФЗ: обработка без законных оснований, утечки, отсутствие уведомления Роскомнадзора
Почему это важно. Крупные штрафы (при повторных утечках оборотные), уголовная ответственность, обязанность уведомлять об утечках; размеры и условия сверять с действующей редакцией КоАП и 152-ФЗ
Типичная ситуация. Утечка клиентской базы из CRM подрядчика; штраф за обработку ПДн без согласия
Меры снижения:
- Аудит ПДн. Проведение аудита обработки персональных данных
- Политика ПДн. Разработка политики обработки персональных данных
- Уведомление Роскомнадзора. Подача уведомления об обработке ПДн
Обработка персональных данных без согласия и законных оснований
Сбор и использование персональных данных клиентов и сотрудников без согласий, политики обработки и договоров с подрядчиками
Почему это важно. Одна из частых причин штрафов и жалоб; требования 152-ФЗ применяются к любой компании, которая собирает данные клиентов или сотрудников
Типичная ситуация. Форма на сайте собирает телефон и имя без согласия; база клиентов передана подрядчику без договора
Меры снижения:
- Реестр обработки персональных данных, политика и согласия. Опишите, какие данные, где и зачем вы собираете; разместите политику, получайте согласия в формах и документах, назначьте ответственного
- Договоры с подрядчиками и ограничение доступа к данным. Включите в договоры обязанности по защите данных, давайте доступ по ролям и только нужным сотрудникам
Нарушение требований локализации и трансграничной передачи персональных данных
Хранение и передача персональных данных граждан РФ в зарубежных сервисах и облаках без соблюдения требований
Почему это важно. CRM, рассылки, облачные хранилища и ИИ-сервисы могут находиться за рубежом; конкретные требования и сроки сверяйте с действующими нормами
Типичная ситуация. База клиентов хранится в зарубежной CRM; клиентские данные загружены в зарубежный ИИ-сервис
Меры снижения:
- Проверка зарубежных сервисов и ИИ на передачу персональных данных. До подключения сервиса выясните, куда уходят данные и на каком основании, при необходимости обезличивайте или выбирайте российского поставщика
- Определить, где хранятся персональные данные, и перенести базы в разрешённую юрисдикцию. Составьте карту систем с персональными данными (CRM, почта, рассылки, облака) и проверьте, где находятся серверы; сверьте с действующими требованиями
Неготовность к утечке персональных данных и обращениям субъектов
Нет процедуры уведомления регулятора об утечке, ответа на запросы субъектов и журнала инцидентов
Почему это важно. При утечке сроки уведомления короткие; отсутствие процедуры превращает технический инцидент в нарушение закона
Типичная ситуация. Обнаружена утечка базы клиентов, никто не знает, кого и в какие сроки уведомлять
Меры снижения:
- Процедура реагирования на утечку персональных данных. Роли, порядок расследования, сроки и шаблоны уведомления регулятора и клиентов, журнал инцидентов; сроки сверяйте с действующими нормами
- Порядок обработки запросов субъектов персональных данных. Назначьте ответственного, срок и шаблоны ответов на запросы о данных, их исправлении и удалении
Оценить этот риск для своего бизнеса