В пятницу РКН на Дне открытых дверей поделился парой симпатичных тейков. Запись тут. А ниже – коротко о некоторых из них. Зачем и мы об этом? Заметили, что не все они одинаково услышаны комьюнити. В остальном же РКН повторил ранее известное – и это, конечно, хорошо.

Главный takeaway, хоть и очевидный: храни свой front

🔵Который год наблюдаем рост privacy-вовлеченности сограждан. За 2025 г. + первую половину 2026 г. в РКН направлено более 145 000 обращений (+20%). В ГРЧЦ только за первую половину 2026 г. обратилось более 6000 граждан (+36%). А значит, DSR-процедуры и в целом front-end комплаенс актуальны и важны как никогда.

🔵Также множится и количество мероприятий дистанционного мониторинга сайтов. В этом году РКН проверил почти 160 000 (+100%)! Из них 86% оказались с нарушениями. Опять-таки повод вспомнить, что проблемы front-end – наиболее вероятный сценарий привлечения нежелательного внимания РКН.

Не спеши буквально следовать услышанному

🔵Процесс собеседования соискателя, приславшего резюме напрямую, не подпадает под инициативу соискателя по заключению договора – нужно другое правовое основание, например, согласие. Сомнительный тейк в контексте активного буллинга согласий.

🔵На слайдах РКН зафиксировал мысль, что обработку ПД можно прекратить в том числе путем их обезличивания. Удобно, конечно. Но мы бы все же так не поступали. Ведь обезличенные ПД = все еще ПД. А обработка ПД после достижения цели недопустима.

🔵Нет трансграничной передачи ПД там, где РусКо из своей ИСПД передает ПД в свою же ИСПД, но размещенную за рубежом. Да, НО не забудьте убедиться, что эта «ваша» зарубежная ИСПД хостится на вашем железе и поддерживаете вы ее сами. Ведь если есть зарубежные ЦОД с арендуемой облачной инфрой и ИТ-партнер на поддержке – это уже трансгран.

Все, что мульти, – плохо. И мы с этим НЕ согласны в корне

🔵Так под «харам» попали мультиоператорские согласия, которые еще недавно были ОК. Точно так же, как и мультирекламораспространительские (для рассылки рекламы любой из компаний). Мы уверены, что инструмент по-прежнему рабочий. И об этом вскоре поговорим подробнее.

🔵Кстати, также нельзя указывать нескольких операторов в договоре поручения. А вот несколько обработчиков – можно, если цель общая. В чем виноваты именно операторы, у которых цель, объем и иные условия поручения тоже могут быть общими, – решительно не ясно.

И наконец, хорошие новости для тех, кто дочитал

🔵Оператор может сам заранее сформулировать ограничения и условия в согласии на распространение – пользователю останется либо согласиться с этим стеком, либо отказаться от распространения целиком. Можно пока забыть про автоматизацию сложных вариативных форм согласий на сайте.

🔵Акт об уничтожении составляет и оператор, и обработчик. Да, НО только в отношении тех данных, которые они непосредственно обрабатывают. Соответственно, если к конкретным ПД доступ имеет только обработчик, то акт составляет он, а оператор контролирует.

🔵В отличие от Европы, у нас допускается множественность правовых оснований в рамках одной обработки – жонглируйте на здоровье!

И традиционно наш поклон коллегам в РКН за приглашение и проведение ДоД – это крайне важное мероприятие для рынка и комьюнити. И напоследок – главная цитата М.Э. Вагнера:

У нас нет никаких показателей эффективности, привязанных к количеству составленных протоколов или взысканных штрафов.

Расходимся!

#Comply #ИнсайдерРКН

🙂 MAX | YT | RT | LI | Комплайтека

Еще один вебинар про нейросети? Да, но…

Мы не просто расскажем о рисках, но и дадим инструмент для их оценки.

Специально для наших подписчиков мы сделали новый раздел Комплайтеки, где красуется сравнительная таблица условий использования сервисов ИИ: российских и зарубежных, SaaS и OnPrem, Open Source и проприетарных. Полезно посмотреть перед тем, как внедрять новый сервис в продукты или процессы компании.

А что же насчет самого вебинара? Вот какие темы мы затронем:

🔵IP: права на датасеты и сгенерированный контент

Новый закон говорит об обучении нейросетей на объектах авторских и смежных прав только для суверенных и национальных моделей (ст. 10 № 243-ФЗ), а что с остальными сервисами? И кому по умолчанию все же принадлежат права? Будем разбираться.

🔵Трудовое право, контрактные и служебные РИД: риски от работников и подрядчиков

ИИ в руках сотрудников и подрядчиков создает целый букет рисков: от утечки данных и безвиновного нарушения прав на интеллектуальную собственность до потери прав на РИД. Отдельной проблемой становятся процессуальные риски: уже сейчас нейрослоп в документах вашего консультанта может навлечь на компанию позор и до 100 тыс. руб. штрафа.

🔵ЛНА: политика ИИ внутри компании

Тотальный запрет на использование ИИ кажется рабочим вариантом только на бумаге. Более устойчивый подход строится на отборе конкретных моделей и кейсов, фиксации ограничений на юридическом и техническом уровне и синхронизации правил работы с ИИ с остальными локальными актами компании. Такие акты действительно работают в судах, что подтверждают и дело «ЭнергоПроф», и позиция Конституционного суда по жалобе Сушкова.

🔵Риск-менеджмент: выбор между сервисами и моделями

Условия использования ИИ-сервиса скрывают множество деталей, которые редко читают до внедрения: территориальные ограничения, права на результат генерации, возможность переобучения модели на данных пользователя, границы ответственности провайдера. Нюансов много, недаром мы их все отразили в таблице Комплайтеки.

🔵ПД: утечки, трансгран и прочие риски

Использование нейросервисов нередко влечет за собой и работу с ПД – причем трансграничную. Многие популярные сервисы, к сожалению, не представлены на территории РФ, а условия использования соответствуют требованиям 152-ФЗ лишь у немногих из них. Каких именно – смотрите в таблице. Путь к выбору компенсирующих мер проходит через анализ потоков данных, и этот анализ отличается в зависимости от того, иностранный ли это SaaS, российский сервис или локальная модель.

#Comply #IPМнение #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

Отпуска подходят к концу, и запросов к юристам от бизнеса станет кратно больше. А чтобы вопросов было больше на них было удобнее отвечать – мы обновили чек-лист для проверки фронтенда сайтов и приложений.

Что изменилось:

🔵Появились штрафы за неправильную авторизацию и нарушения правил рекомендательных технологий. Напомним, что в ректехе материальность и раньше была высокой, т.к. закон прямо грозит блокировками при нарушениях.

🔵По новому закону об ИИ провайдеры больших фундаментальных моделей будут обязаны уведомлять о принадлежности прав на сгенерированные результаты. А правообладатели, если они хотят оградить свой контент от обучения ИИ, должны будут ограничивать его техническими средствами.

🔵Скоро вступают в силу требования об обязательной идентификации администраторов доменов .RU/.РФ/.SU через ЕСИА, что де-факто требует передачи доменов российским лицам.

🔵Прием цифровых рублей поэтапно становится обязательным для В2С.

🔵Потребителям обеспечена возможность передавать сведения для участия в программах лояльности через МАХ.

Кстати, о том, как со всем этим справляться обсудим на форуме DataПуть от Право.ру 17 сентября. Управляющий партнер Comply Артем Дмитриев вместе с коллегами поговорит еще и о зрелости privacy-функции – как к ней прийти.

Это не все. Из хороших новостей – из «Антифрод-3» убрали часть болезненных требований.

🔵Не будет дополнительных требований к авторизации: 3-летнему хранению логов и подключению к СОРМ, а также обязательному для иностранцев использованию для авторизации номера телефона.

🔵Приятная история «Антифрод-2» повторяется: исключены все изменения в 152-ФЗ. Ожидаем возвращения в следующих сериях.

Пользуйтесь, делитесь, приходите на конференцию, готовьтесь к новому деловому сезону!

#Comply #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

Коллеги из Московского УФАС выпустили обзор практики за II квартал 2026 года. В блоке о рекламе – про согласия на рекламные рассылки с примерами из сопровождаемых нами дел. Разбираем.

Что там?

🔵Скидка за подписку на рассылку – это можно. ВС РФ подтвердил, что если пользователь сам, явно и активно (чек-бокс, участие в акции) выражает согласие на получение рекламы – это надлежащее согласие, даже если взамен дают скидку или участие в розыгрыше. Мы уже рассказывали про определение ВС РФ № 309-ЭС26-2103 как важную веху в практике, и теперь эту позицию поддержало Московское УФАС в обзоре.

🔵А вот «вписанное» согласие – то есть спрятанное внутри пользовательского соглашения или условий программы лояльности без отдельного волеизъявления именно на рекламу – по-прежнему плохо. И здесь ФАС привел кейсы из практики: предписание по делу № 077/05/18-4152/2026 – про «вшитое» в правила сайта и без отдельного чек-бокса согласие на рекламу, и решение Арбитражного суда г. Москвы по делу № А40-311022/25 – про «навязанное» согласие на рекламу, получаемое при оформлении дисконтной карты, от которого не отказаться.

Об этом же говорили с представителем Московского УФАС на Петербургском правовом саммите. Там прозвучало, что «вписанные» согласия – это уже давно не точечная проблема, а системная. Под предупреждения об их устранении попали кредитные организации, операторы платных дорог, цифровые платформы и даже маркетплейсы в кейсе с рекламными пушами. Похожий подход подтвердил суд и в деле № А40-319403/25. Там банк пытался оспорить предупреждение Московского УФАС за автоматически проставленное согласие на рекламу при оформлении карты – не вышло, суд признал это не только нарушением закона о рекламе, но и недобросовестной конкуренцией.

Как это повлияет на бизнес?

Тренд не новый, но теперь закреплен и обзором, и судебной практикой. Недостаточно, чтобы согласие на рекламу где-то в тексте существовало – нужно, чтобы пользователь мог осознанно и отдельно его дать (или не дать), не теряя при этом доступ к основной услуге. Это все НЕ значит, что надо на ваших сайтах собирать с каждого пользователя два чек-бокса: на рекламу и на обработку ПД в целях рекламных коммуникаций. Как кто-то мог понять это с последнего дня открытых дверей РКН 😁

Достаточно одной галочки с явным согласием на получение рекламы и гиперссылки на текст согласия на обработку ПД в целях продвижения товаров, работ, услуг, в том числе коммуникации с пользователем. То есть один выстрел одно действие клиента удовлетворяет и ч. 1 ст. 18 Закона о рекламе, и ст. 15 Закона о ПД. 

Сейчас хороший момент поправить это, если у вас согласия:

🔵не собираются на рекламные рассылки вообще,
🔵собираются, но «вписаны» в какой-то иной документ,
🔵опубликованы, но нет логов, которые могут подтвердить их сбор.

Рано или поздно приводить формы и процесс управления согласиями в порядок все равно придется – либо самостоятельно, либо по предписанию, а во втором случае это уже дороже и с репутационными издержками. При этом скорость, с которой бизнес реально сможет перейти на новые валидные формы согласия, по нашим наблюдениям, крайне низкая – никакого «чуда» здесь не случится, нередко приходится ждать, пока эти новые формы проникнут во всю клиентскую базу.

И напоследок

Хорошая новость в том, что рецепт не изменился и он понятен: необходимо явное активное действие пользователя, отдельное от других согласий, с реальной возможностью отказаться. Все остальное – вопрос времени, пока это не заметят ФАС / РКН, пользователь или… рекламный тролль. К сожалению, в обзоре пока нет кейсов по борьбе с троллингом, но мы не теряем надежды и обязательно вернемся к этой теме. А если тролли уже атакуют вас – вы знаете, куда обращаться.

А у вас в согласиях реклама уже вынесена отдельным чек-боксом, или все еще «живет» внутри анкеты, оферты или политики?

Здесь буквально сегодняшние советы Московского УФАС тем, кто рассылает рекламу.

#Comply #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

Ст. 272.1 УК действует не первый год, и мы ее уже комментировали тут. И даже успели поспорить с коллегами: опасна ли статья для рутинных бизнес-сценариев работы с ПД? Нам отвечали, что рисков нет, честный оператор спит спокойно.
 
Мы были бы рады ошибаться. И хотя пока привлекают в основном за то, для чего статья и вводилась: пробивы, сливы, вынос и вот это вот все, НО неприятные симптомы уже есть.
 
Статистика 
 
За 2025 год согласно Единому отчету о преступности возбуждено / направлено в суд вот сколько дел: 
🔵ст. 272.1 УК – 1157 / 170 
🔵ст. 137 УК – 1304 / 829 
 
Практика применения статьи очевидно находится в стадии формирования. 
 
Практика оказалась шире обещанного 
 
История фотографа училища. По работе он снимал кадетов и копировал фотографии из сети училища на личный «Яндекс Диск», чтобы обработать их дома. Уволившись, продал архив за 13 тыс. рублей человеку, который оказался НЕ родителем кадета. Итог – п. «а» ч. 3 ст. 272.1 УК, штраф и годичный запрет работать с ПД. 
 
Фотограф был, конечно, не прав. НО все же ПД получены изначально законно, а апелляция исключила из обвинения признак незаконного получения: доступ изначально был по должности. Но состав все равно устоял (Апелляционное определение Кемеровского областного суда от 09.06.2026 по делу № 22-1729/2026).
 
По мнению коллег из АЦУПиК, один из вариантов объяснений, почему проигнорирована законность получения:

Прочтение ч. 1 и ч. 2 может создать ложное ощущение, что, когда речь идет о биометрии или несовершеннолетних, незаконный доступ НЕ требуется.

Что доктрина?

В Вестнике Волгоградской академии МВД опубликован материал по ст. 272.1 УК. В статье показательно, что автор относит к составу, а что нет. Например:
🔵Несоблюдение формы согласия при наличии самого согласия не делает получение ПД незаконным для целей ст. 272.1 – это вопрос 152-ФЗ и КоАП, а не УК. Это хорошо! 
🔵Если срок обработки истек или согласие отозвано, а ПД не уничтожены, это образует предмет преступления – данные незаконно получены. То есть сбой в сроках хранения попадает в зону внимания УК. А вот это уже нехорошо. 

Со всем ли мы в целом согласны? Нет. Но мы лишь напомним, что статья вышла в ведомственном издании, значит, читать ее будут не столько privacy-юристы, сколько сами знаете кто. Поэтому теперь все же придется выучить разницу между удалением и уничтожением ПД. Кто не выучил – тот зэк.

И еще

В этих делах есть и РКН. Так, в деле фотографа оперативники еще до возбуждения дела через РКН установили, что проданный фотоархив содержит ПД кадетов.

Т. е. бланкетность нормы может дополняться через интерпретацию РКН 152-ФЗ.

Что делать?

Базовый минимум таков: 
🔵контроль сроков: по каждому процессу автоматическое/ручное удаление, акты, отработка отзывов, контрольные процедуры и ответственные; 
🔵инвентаризация оснований: по каждому процессу оно должно быть и должно быть доказуемым… даже если это не согласие; 
🔵проверка законности при получении ПД от контрагентов: заверения, запросы, подтверждение происхождения; 
🔵контроль доступов и выгрузок: разграничение прав, логирование, запрет выгрузок на личные устройства и в облака, а при увольнении – отзыв доступов и подтверждение уничтожения; 
🔵распределение ответственности: размытое «отвечает за сбор, хранение и передачу ПД клиентов» не подходит, нужно четкое каскадирование; 
🔵обучение и протокол реагирования: работники должны знать, что делать при запросе, выемке или допросе, иначе могут наговорить на состав… ваш состав.

Из наших скромных наблюдений за этот год. Компании стараются локализовать уголовно-правовые риски на тех работниках, которые в действительности и вершат privacy-бесчинство. Для этого вводят положения, приказы, указы и инструкции. Но на практике оказывается, что на бизнес-юниты перекладывают обязанности, которые ими неисполнимы… И вместо локализации ответственности получается обратный эффект: документы существуют, не исполняются, менеджмент об этом знает или должен знать. Так рисков для менеджмента становится только больше.

#Comply #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

На прошлой неделе на DataПуть от Право.ru Артем Дмитриев собирал и модерировал сессию «На новую орбиту: как измерить зрелость privacy-функции».

Мы обсудили, как понять, что privacy-функция зрелая и эффективная? Ведь очевидно, что количество политик, согласий и проведенных DPIA само по себе мало что значит. Ибо зрелость ≠ compliance. Для конференций эта тема совсем свежая – тем интереснее.

Несколько тейков нашей дискуссии: 

🔵Измеримость. Зрелая функция дает измеримый результат – для бизнеса, клиента и самой privacy-команды. С разговора о метриках и дашбордах мы и начали. Антон Турнов, МТС, показал, как такой дашборд может выглядеть и как использовать цифры. Например, «всего запросов» vs «проактивные запросы». А мы напомним про нашу матрицу privacy-метрик.

🔵Эффекты. Если функция зрелая, то эффекты, конечно, есть. Отличный пример – кейс Авито. Мария Шурукина подтвердила, что мероприятия по повышению прозрачности для пользователей позволили снизить количество их запросов по ПД более чем в 2 раза. Это ли не чудо!? Вот тут смотреть мульт-политику Авито.

🔵Коллаб с другими функциями. Екатерина Егорова поделилась подходом, при котором в Точка Банке DPO участвует в согласовании проекта на уровне инфраструктуры, а затем уже внутренние аудиторы проводят «выпускающий контроль качества» по согласованной с DPO методологии. Хороший пример, как privacy превращается в часть процесса.

🔵Ресурсы. Егор Смородинов привел расчет продолжительности аудита процессов. Если DPO один, то на это ему потребуется чуть больше 5 лет... Наглядная иллюстрация того, зачем DPO-функции нужны ресурсы. Результат – поздравляем Егора с расширением DPO-команды ВкусВилла 🍬

🔵Автоматизация. Она вам не нужна, если вы задумались о ней ДО систематизации и алгоритмизации. Как известно, если автоматизировать беспорядок, то получите автоматизированный беспорядок. Кирилл Зюбанов, RWB, настоятельно рекомендует начинать с алгоритмизации.

🔵Готовность к инцидентам. Екатерина Рубцова рассказала, что в Еврохиме на случай инцидента разработаны RACI-матрицы для кросс-функциональных команд и чек-листы реагирования. Причем их несколько в зависимости от типа инцидента. А на случай, если заранее согласованного сценария нет, предусмотрены особые RACI и чек-лист.

А мы для сессии сделали экстракт из нашей матрицы оценки зрелости privacy-процедур + рассказали, как пользоваться этим инструментом: 1️⃣Выделяем privacy-процедуры, например, уничтожение ПД, работа с контрагентами, контроль изменений и т. д. 2️⃣ Далее смотрим на каждую процедуру по пяти критериям: формализация ➡️ проникновение в бизнес ➡️ управление ➡️ оценка ➡️ оптимизация.

То есть недостаточно иметь SOP. Нужны playbook’и и self-service для бизнеса, понятные роли и эскалации, контроли и метрики, lessons learned, риск-ориентированный подход и автоматизация.

❗️Чтобы вам было с кем / с чем себя сравнивать, мы попросили in-house коллег из крупнейших компаний на этой конференции заполнить опросник по своим компаниям и агрегировали полученные ответы для двух privacy-процедур: vendor и change management. Вот что получилось:

🟩 Формализация – 67%
🟩 Проникновение в бизнес – 62%
🟨 Управление – 60%
🟥 Оценка – 34%
🟥 Оптимизация – 30%

Показательно и ожидаемо! Правила мы уже писать умеем. Встраивать их в бизнес – тоже более-менее. А вот метрики, KPI для бизнес-юнитов, lessons learned, риск-ориентированное управление и автоматизация – зона для роста.

Конечно, 100% практически нереалистичны, но, по нашей оценке, зрелость там, где 60+👨‍🦳 Рекомендуем внимательно оценить свои ритуалы, чтобы понять, во что инвестировать время в 2027 году, а где пора перестать быть ручным сервисом и передать часть работы бизнесу или машине.

Спасибо за дискуссию Антону Турнову, Марии Шурукиной, Екатерине Егоровой, Анастасии Петровой, Екатерине Рубцовой, Егору Смородинову и Кириллу Зюбанову.

И да, вместе обсуждая итоги, решили, что выступления на конференциях неплохо бы маркировать: [privacy / иное] light / hard. Все форматы нужны, но, вероятно, разным слушателям.

#Comply #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

Сегодня в Москве обещают аномальные +20°C – чем не лето!

Но у нас еще горячее: обсуждаем согласия на рекламу и троллей на заседании Экспертного совета по рекламе и антимонопольному законодательству при Московском УФАС.

🔵Максим Али, партнер и руководитель практики ИС, рассказывает про: «Злоупотребление правом в рекламных спорах – как ФАС и суды реагируют на троллей и смогут ли их побороть?»

🔵Артем Дмитриев, управляющий партнер, затронет тему: «Согласие на рекламу и согласие на обработку ПД – где заканчивается одно и начинается другое».

📍Специально для подписчиков и участников заседания подготовили чек-лист по рекламным согласиям. Собрали самые частые баги с согласиями. Не только юридические, но также организационные и технические. Даже если вы не заядлый спамер, есть много ошибок, которые происходят случайно. Это непроверенные атрибуты в логах, некорректные фразы в согласии или рекламе, общие на несколько компаний базы подписчиков, ошибки дедупликации и многое другое.

Скоро поделимся записью заседания – там точно есть что посмотреть💙

#Comply #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

Вечер понедельника – самое время обсудить, какие privacy-тренды нынче актуальны!

Сегодня в 19:00 Сергей Сайганов, партнер и руководитель технологической практики Comply, выступит на площадке Moscow Digital School.

Коротко о главном:

🔵Собирать согласия на обработку ПД «на всякий случай» всегда было нехорошо, но сейчас риск кристаллизуется: по новой редакции ПП № 1046 такой сбор согласий поднимает категорию риска. Вместо согласий – наконец-то усиливаются позиции договора и иных оснований. Радостный тренд, пусть и не такими темпами, как нам хотелось бы.

🔵Усиливается внимание к согласиям на рекламу и способам их доказывания. Сперва прошло громкое дело «Мэлон Фэшн Груп», затем вышел обзор практики от Московского УФАС, а также прошел Экспертный совет, посвященный рекламе. Московское УФАС выдало в этом году более 20 предупреждений за «вписанные» в другие тексты согласия, а иные региональные УФАС в своих запросах намекают на double-opt-in подписки на рекламу.

🔵Нашумевший Антифрод 3.0. Вопреки мнению многих, запрашивать у субъекта согласия еще никто не запрещает – их нельзя требовать (но так было, в целом, всегда 👀). А еще, возможно, реализуется история с реестром согласий на Госуслугах, которую мы прорабатывали с РКН еще в 2020 году.

🔵Утечки. Более 50 дел в мировых судах с начала года, всего в одном из них штраф заменен предупреждением. На днях опубликовано первое дело по ч. 16 ст. 13.11 об утечке специальных категорий. А еще подтверждаем нашу давнюю позицию: нужен конкретный план и playbook на случай утечки, чтобы качественно собрать и согласовать доказательную базу для расследования.

📍Чтобы проверить себя, не откладывая, подготовили на Комплайтеке онлайн-чеклист по ключевым темам выше. Собрали самые частые вопросы, на которых обжигается бизнес, чтобы вы смогли проверить свою готовность отстоять позицию компании в случае запроса субъекта, разбирательства с регулятором либо утечки. Пользуйтесь на здоровье!

#Comply #Комплаенс #Privacy

🙂 MAX | YT | RT | LI | Комплайтека

Privacy.Seasons –
новый сезон, новые privacy-легенды!

Продолжаем серию подкастов, где лидеры рынка делятся лучшими практиками, реальными кейсами и инсайтами. В этом сезоне герой – победитель премии The Department 2026 от Legal Insight в номинации «Эффективная правовая защита персональных данных», Chief Privacy & Awareness Officer Wildberries & Russ Кирилл Зюбанов.

Ведущие неизменны: Артем Дмитриев, управляющий партнер Comply, и Екатерина Ефимова, руководитель направления ПД ГРЧЦ Роскомнадзора.

В этом выпуске:
🔵всенаправленный подход в работе DPO;
🔵интеграцию privacy-функции в процессы GR, PR, Legal и Security;
🔵алгоритмизацию и автоматизацию privacy-процессов;
🔵управление ожиданиями;
🔵переиспользование результатов работы.

Персональные данные – не товар. На подкасте обсудили, как рассказать об этом, как следить за этим, какие правила сформировать для того, чтобы не начинать с нуля в рамках каждой задачи, и насколько глубоко privacy-функция должна переплетаться со смежниками. Я убежден, что профессия privacy-эксперта находится если не в начале своего пути, то близко к нему, впереди – колоссальные вызовы, сложные проблемы и безграничный потенциал

Кирилл Зюбанов, CPAO Wildberries & Russ

А если пропустили предыдущие выпуски – рекомендуем наверстать. Своими практиками уже делились Альфа-Банк, Авито, Точка Банк и Арнест ЮниРусь.

Кстати, эти выпуски стали призерами премии Best Law Firm Marketing 2026 от Право.ру! Приятно, когда полезный для privacy-сообщества контент получает признание и за его пределами.

Смотреть и слушать пятый выпуск:
🔵YouTube
🔵RuTube
🔵Mave
🔵Telegram-плеер

#Comply #PrivacySeasons #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

30 сентября Минцифры вынесло 3-й антифрод-пакет на публичное обсуждение. До этого проект был на межведомственном согласовании. И в чем-то ему это пошло на пользу. 

Что изменилось в редакциях проекта

В первоначальной редакции согласие предлагали допускать только (!) в случаях, прямо предусмотренных законом или отраслевыми НПА. Однако из обновленного проекта изменений 152-ФЗ исключили ряд положений, как указано ниже:

🔵ст. 4 – что отраслевые НПА определяют «случаи получения согласий»;
🔵п. 1 ч. 1 ст. 6 – что согласие допускается только тогда, когда «…случаи получения которого предусмотрены международным договором, федеральным законом или НПА…»;
🔵ч. 1 ст. 9 – что согласие может быть предоставлено субъектом «…в случаях и форме, предусмотренных международным договором, федеральным законом или НПА…».

За чем пока продолжаем наблюдать

🔵Да, по проекту в ст. 18 остается запрет для оператора требовать согласие, если обязанность его получения не предусмотрена «…международным договором или федеральным законом…». Законодатель хотел ограничить сбор согласий только случаями, когда это прямо предусмотрено законодательством, но предложенная им формулировка не создает новых ограничений. Ведь согласие по умолчанию должно быть свободным, и оператор не вправе его требовать.

🔵Проект сам по себе не устанавливает, какие цели допустимы. Он пока лишь определяет, что набор данных и действий с ними будет установлен для конкретной цели обработки отраслевым НПА. Это не запрет на согласия.

🔵Как быть, если нет НПА или НПА не покрывают применимых целей обработки ПД. Да, для многих целей отраслевой акт может и не появиться. Отсутствие НПА = отсутствие разрешенного объема обработки ПД для конкретной цели на основании согласия/ЗИ/договора, НО это ≠ запрет обработки ПД на основании, например, согласия для тех целей, которые не предусмотрены такими НПА или иным законодательством. Это вовсе не означает, что «раз не запрещено – собираем все» и требуем согласия. Принципы соразмерности и минимизации из 152-ФЗ придумали еще до Антифрода.

🔵Конечно, еще многое может случиться. Надо ждать, что получится в итоге, ведь изначально, согласно пояснительной записке к проекту, план РКН был именно «…сократить случаи избыточного сбора ПД на основании согласий… в объеме, превышающем необходимый объем для хозяйственной деятельности…». Более того, РКН добавлял, что этот проект «ограничивает обработку ПД на основании согласий случаями, прямо установленными законом».

А вот к чему уже пора готовиться 

Пока все спорили про «запрет согласий», аккурат осталась платформа согласий на Госуслугах – операторы должны будут передавать в ЕСИА сведения о полученных и отозванных согласиях. Граждане увидят, кто и зачем обрабатывает их данные, и смогут отозвать согласие или пожаловаться в РКН в пару кликов. Состав сведений определит Правительство.

То есть ваши «согласия на всякий случай» скоро станут видны самому субъекту. Со всеми вытекающими жалобами. И государство тоже получит больше контроля над активностью пользователей.

Поэтому к 2028 году лучше подойти подготовленными (если вдруг это еще не сделали):

🔵провести инвентаризацию целей и состава данных по каждому процессу;
🔵разобраться, где основание – согласие, а где – договор или законный интерес;
🔵если найдется несвободное согласие, то подобрать иное основание обработки;
🔵привести в порядок учет согласий и отзывов – без него в ЕСИА передавать будет нечего. А «нечего передать» – так себе позиция перед РКН.

Проект еще будет меняться, и «случаи получения согласий» могут вернуться так же тихо, как их исключили. 

«Бонус» от Минцифры

В очередной раз подход к правилам авторизации поменялся на 180°. В августе мы успели обрадоваться, что из Антифрод 3.0 убрали требование о 3-летнем хранении логов и обязательной авторизации на иностранных сайтах по номеру телефона.

Но эти требования вернулись. Не то чтобы мы искренне верили, что логи не заставят хранить, но дополнительные требования к иностранцам создают море вопросов, которые мы уже задавали в канале в июле.

#Comply #PrivacyМнение

🙂 MAX | YT | RT | LI | Комплайтека

С 19 по 22 октября в Москве пройдет ежегодный Eurasian Data Protection Congress. Comply традиционно делится экспертизой на площадке конгресса и в этом году поддерживает как генеральный партнер💙

19 октября Артем Дмитриев, управляющий партнер Comply, выступит модератором сессии «Управление рисками».

Поговорим о том, какие риски есть в ИИ-системах и что следует учесть при обработке ПД в «облаках». Кроме того, обсудим проблемы внедрения и использования ИИ-решений в организации с точки зрения DPO и почему ИИ никогда не сможет стать DPO.

20 октября Максим Али, партнер Comply, в секции «Данные, IP и ответственность» расскажет о том, какие интеллектуальные (и не только) права влияют на юридическую чистоту датасетов в ИИ.

Обсудим, какие права на произведения, исполнения, фонограммы и базы данных скрываются в составе обучающей выборки. Разберем также, насколько достаточны лицензии и старые договоры с авторами и исполнителями, как проверить происхождение приобретаемых наборов данных, что делать с правами на изображение и использование голоса и к каким последствиям приводит удаление спорных материалов из уже использованной выборки. Отдельно коснемся российского спора вокруг Tinkoff VoiceKit.

А 21 октября Лиана Оваканян, юрист Comply, выступит с темой «BCP и DRP глазами privacy: резервирование, репликация, локализация ПД».

Рассмотрим, где непрерывность бизнеса сталкивается с локализацией, какие схемы резервирования допустимы и почему резервная копия – тоже ПД. А еще покажем, как применить принципы privacy by design, чтобы резервирование работало на бизнес и не создавало рисков перед регулятором.

📍Более полная информация о конгрессе доступна по ссылке.

#Comply #Комплаенс

🙂 MAX | YT | RT | LI | Комплайтека

Отфильтровали для вас несколько любопытных тейков из прошедшего 7 октября Экспертного совета по рекламе и антимонопольному законодательству при Московском УФАС.

🔵Негодная реклама >>> недобросовестная конкуренция

Мы настолько сконцентрированы на ст. 13.11 и 14.3 КоАП, что стало освежающим напоминание УФАС о том, что за ненадлежащую рекламу предупреждение можно получить и по ст. 14.8 Закона о защите конкуренции, так как она рассматривается как акт недобросовестной конкуренции (НДК).

Что это значит для участников рынка?
Во-первых, риск штрафа по ст. 14.33 КоАП. Именно к нему идет спор ТБанка с Московским УФАС (дело 077/01/14.8-15397/2025). Антимонопольщики признали действия банка НДК – после того, как банк не исполнил их предупреждение. 
 
Во-вторых, есть угроза связанных с НДК исков от:
🔣пострадавшего конкурента: об убытках;
🔣УФАС: об обращении взыскания выручки от НДК в доход бюджета.

🔵Вписать или не вписать

УФАС продолжает борьбу против вписанных и принудительных согласий. Но в некоторых бизнес-кейсах они не всегда будут таковыми. Например, согласие на рекламу вкупе с согласием на участие в акции вписанным не будет (вспоминаем кейс Melon Fashion Group или согласие на рекламу + согласие на обработку ПД). Фильтр для проверки – предусмотренная в согласии работа с данными должна помочь кастомизировать наши коммуникации на их пути к пользователю (опросы, исследования, аналитика).

Также не впервые подтвердилась позиция УФАС о том, что предпроставленные галочки на рекламу – харам (суды не всегда будут согласны с этим). Это же подтверждается и в споре ТБанка с Московским УФАС.

При этом в самом судебном деле по оспариванию предупреждения ФАС (А40-319403/2025) аргументация суда все же сводится только к вписанности и принудительности согласия на рекламу на этапе сбора.

🔵Одно на всех

Мультираспространительское согласие по-прежнему не должно пугать ничем, кроме своего названия, если мы обеспечиваем закрытый перечень рекламораспространителей для пользователя. Это подтвердил и УФАС.

Поэтому исходим из того, что при обновлениях перечня применять такие изменения следует только к тем пользователям, кто на входе согласился на уже обновленный список рекламораспространителей.

🔵Фарш нарушения не провернуть обратно

После коммуникации на ненадлежащем согласии время вспять не повернуть и с пользователем не договориться (по актуальной практике). ФАС защищает не конкретного заявителя, который и мог дать ретро-согласие за деньги, а сразу всех.

Некоторые члены Экспертного совета не согласились с таким подходом, но все были едины в одном – практика не позволяет использовать ретро-согласия, чтобы помириться с заявителем.

🔵Необычный взгляд на кейс MFG

УФАС посмотрел на определение ВС РФ по делу MFG с любопытной точки зрения. Не только как на победу бизнеса в споре, но и как на подтверждение тезиса – устами ВС – о «презумпции нежелательности рекламы».

Стоит об этом помнить, но и ровно этот же посыл позволил ВС заключить, что акция, бонус или иное благо является нормальным способом сделать рекламу, наоборот, желательной.

Ждем новый обзор Московского УФАС по согласиям, в том числе по результатам Экспертного совета.

P.S. Если вы дочитали до конца, значит точно прочитаете и наш чек-лист распространенных ошибок в работе с рекламой.

Спасибо Московскому УФАС и участникам за осенний листопад пользы!

📍Запись мероприятия:

🔵VK Video
🔵YouTube
🔵RuTube

#Comply #Комплаенс #ИнсайдерФАС

🙂 MAX | YT | RT | LI | Комплайтека