🥰 Управление рисками в эпоху данных: приглашаем вас на Евразийский конгрессе по защите данных 😎
🔸Совсем скоро наши коллеги из RPPA.pro проведут ежегодный Евразийский конгресс по защите данных!
🔸В рамках Конгресса от 👁Privacy Advocates на сессии в гостях у hh.ru по теме «Управление рисками» выступят Алексей Мунтян и Александр Партин.
🔸Разберем актуальные вызовы, современные подходы к оценке угроз и практические инструменты минимизации рисков в сфере комплаенса и защиты информации.
📅 19 октября 2026 года, Москва
📍ЗАРЕГИСТРИРОВАТЬСЯ НА КОНГРЕСС

👁 PA | 💬 Max | 🗣️ ВК

⚖️ Уголовный штраф 100 тыс. ₽ за передачу матери ПД из базы ГИБДД
🔸Прибайкальский районный суд Республики Бурятия осудил старшего инспектора ГИБДД по п."г" ч.3 ст.272.1 УК РФ. Назначены штраф 100 тыс. ₽ и двухлетний запрет занимать должности на госслужбе, связанные с доступом к охраняемой законом тайне. Телефон суд постановил конфисковать. Приговор от 08.09.2026 по делу №1-81/2026.
🔸Мать сотрудницы попросила найти телефон собственника автомобиля по госномеру. Инспектор вошла в ФИС ГИБДД-М под своей учетной записью и продиктовала матери ФИО и возраст собственника и допущенного к управлению водителя, а также номер телефона водителя.
🔸Суд признал доступ неправомерным, поскольку запрос не был связан со служебными обязанностями. Устную передачу по телефону квалифицировал как незаконное предоставление компьютерной информации с ПД. Среди доказательств были сведения об обращении к базе и аудиозапись разговора. Довод о неознакомлении с инструкцией суд отверг, учитывая должностной регламент и показания руководителя.
🔸Передача касалась ПД двух людей одному получателю. Корыстная заинтересованность инспектору не вменялась, квалифицирующим признаком стало использование служебного положения. Суд не нашел оснований признать деяние малозначительным.
🔸В ст.272.1 УК РФ есть исключение для обработки ПД исключительно для личных и семейных нужд. Здесь сведения передавались матери, однако суд применил уголовную норму. Применимость самого исключения в приговоре отдельно не разобрана, поэтому универсального вывода о пределах семейных нужд из него сделать нельзя.
🔸Показательно сравнение с постановлением Хасавюртовского городского суда от 06.03.2026 по делу №1-72/2026. Там продажу снимков паспортов переквалифицировали со ст.272.1 на ст.137 УК РФ. Суд учел, что документы клиенты добровольно передали для ксерокопирования. В деле инспектора источником ПД была служебная база, обращение к которой признано неправомерным. При квалификации важны и получение ПД, и последующие действия с ними.
🔸Признак использования служебного положения применяют и к работникам коммерческих организаций. Например, Ломоносовский районный суд Архангельска 25.03.2026 по делу №1-193/2026 вменил его продавцу-консультанту салона связи, работавшему у дилера оператора и передававшему ПД абонентов из рабочих систем.
🔸Для операторов ПД это повод проверять цели запросов к ИСПД, выявлять обращения без рабочей задачи и разбирать с сотрудниками последствия передачи ПД по просьбам знакомых и родственников.

👁 PA | 💬 Max | 🗣️ ВК

📋👁 Чек-лист по ПД при использовании ИИ уже в "Альманахе" Privacy Advocates
🔸Опубликовали базовый чек-лист для облачных ИИ-сервисов, API, локальных моделей и ИИ-агентов. На одной странице 16 контролей (обязательных и рекомендуемых) с примерами и ссылками на нормы.
🔸Заполнять чек-лист нужно до запуска вместе с DPO, специалистом по ИБ и ответственным за использование ИИ. Повторять оценку следует при плановой проверке и до изменения модели, поставщика или условий работы с ПД.
🔸В комментариях фиксируются подтверждения проверки, ограничения и сроки исправления. Это помогает определить, для каких задач и данных ИИ можно использовать.

👁 PA | 💬 Max | 🗣️ ВК

☁️ К банковской тайне предлагают допускать ИТ-компании с собственными серверами
🔸Рабочая группа правительственной подкомиссии по развитию ИИ подготовила поправки к законопроекту об облачных услугах и ИТ-аутсорсинге для финансовых организаций. Инициативу поддерживает Минцифры.
🔸Размещать, хранить и обрабатывать банковскую тайну и другие сведения ограниченного доступа предлагается разрешить аккредитованным ИТ-компаниям на принадлежащих им серверах. Это позволит банкам шире использовать внешнюю инфраструктуру и сократить расходы.
🔸Подрядчиков также предлагают обязать сообщать финансовым организациям об инцидентах, связанных с нарушением требований к защите информации, в течение двух часов после обнаружения.
🔸Опрошенные Forbes эксперты обращают внимание на неопределенность требования к принадлежности серверов. При его трактовке как права собственности за пределами допуска могут оказаться провайдеры с арендованным или лизинговым оборудованием. Дополнительные требования Банка России к надежности и безопасности могут сделать такой аутсорсинг доступным только крупнейшим игрокам.
🔸Законопроект приняли в первом чтении еще в 2023 году. По словам главы комитета Госдумы по финансовому рынку Анатолия Аксакова, второе чтение должно состояться в этом году. Описанные изменения пока остаются инициативой.

👁 PA | 💬 Max | 🗣️ ВК

👀🎉 Privacy Advocates 5 лет!
🥳 Хочется на минуту отложить все срочное и сказать спасибо людям, с которыми прошли эти пять лет. Регуляторика за это время старательно следила, чтобы нам было чем заняться. Но сегодня можно немного отвлечься.
🧡 Спасибо нашей команде. За то, что можно попросить помощи, честно признаться, что застрял, и вместе разобраться. За терпение к правкам друг друга и чувство юмора, которое порой помогает дожить до конца созвона. Нам повезло собраться вместе.
🤝 Спасибо клиентам за доверие. Вы приглашаете нас в свою работу, делитесь тем, что за пределами компании обычно не обсуждают, и рассчитываете на нашу помощь. Мы это ценим. Очень приятно видеть, как после долгих обсуждений решение начинает работать. А потом снова встретиться уже с новой задачей.
🙌 Спасибо партнерам за совместные проекты, знакомства и возможность посоветоваться. Здорово, когда есть кому позвонить со сложным вопросом. И когда из разговора постепенно рождается идея, которую хочется сделать вместе.
💬 Спасибо всем, кто читает наши публикации, приходит на встречи и пользуется нашими материалами. Кто задает вопросы, спорит и замечает неточности. За поправки тоже спасибо. Особенно за те, которые успели прийти до публикации 🙂
☕ За пять лет было много работы. Наверняка что-то можно было сделать быстрее, проще и с меньшим количеством версий одного документа. Зато теперь у нас есть люди, с которыми хочется браться за следующую задачу. И которых хочется увидеть просто так, без повестки встречи.
🥂 Мы редко пишем такое в рабочих чатах, поэтому скажем здесь. Мы рады, что познакомились с вами. Спасибо, что помогаете нам, доверяете и остаетесь рядом.

🎂 С днем рождения нас!
🫂 Обнимаем всех, кто стал частью этих пяти лет!

👁 PA | 💬 Max | 🗣️ ВК

💡Вопрос: Законно ли действия работодателя, если он передал персональные данные работника в банк, а тот выпустил зарплатную карту без заявления и согласия самого работника?

🏛️Роструд (онлайнинспекция.рф/questions/view/256226): В рамках трудового законодательства незаконны, а за разъяснениями относительно нарушения законодательства о персональных данных рекомендуем обратиться в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций.
🔸Согласно ч. 3 ст. 136 ТК РФ заработная плата выплачивается работнику, как правило, в месте выполнения им работы либо переводится в кредитную организацию, указанную в заявлении работника, на условиях, определенных коллективным договором или трудовым договором. Работник вправе заменить кредитную организацию, в которую должна быть переведена заработная плата, сообщив в письменной форме работодателю об изменении реквизитов для перевода заработной платы не позднее чем за пятнадцать календарных дней до дня выплаты заработной платы.
🔸При передаче персональных данных работника работодатель должен соблюдать следующие требования:
- не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;
- не сообщать персональные данные работника в коммерческих целях без его письменного согласия ( ст. 88 ТК РФ).

👁 PA | 💬 Max | 🗣️ ВК

🤖 Практический гайд по комплаенсу ПД при использовании ИИ в бизнесе
🔸 Анатомия ИИ-системы, шесть слоев от агента до весов модели и зона комплаенса на каждом
🔸 Хронология 2025-2027, от новых правил обезличивания до 243-ФЗ и суверенных моделей
🔸 Профессиональная тайна как второй замок поверх режима ПД
🔸 Первая практика, штраф 50 000 ₽ за выдуманные нейросетью ссылки (А27-7831/2025) и законное увольнение за загрузку отчетов в DeepSeek (02-1545/2026)
🔸 ИИ-агенты, статус поставщика, локализация и ТПД
🔸Семь шагов управления ИИ в компании

✅ Перед запуском конкретного сценария сверяйтесь с нашим чек-листом ПД при использовании ИИ

👁 PA | 💬 Max | 🗣️ ВК

🏦 Банки смогут отдавать данные клиентов на обработку сторонним ИТ-компаниям
🔸Депутаты Госдумы разрешили финансовым организациям отдавать информацию ограниченного доступа на обработку сторонним ИТ-компаниям. К такой информации относятся сведения, содержащие персональные данные клиентов или банковскую тайну. Законопроект о регулировании информационного аутсорсинга был принят сразу во втором и третьем чтениях.
🔸Кредитные организации смогут передавать данные на аутсорс либо ИТ-компаниям, либо банкам с универсальной лицензией, более 50% которых находится в собственности государства, региона, муниципалитета или россиянина, не имеющего другого гражданства. Информационные системы исполнителя должны находиться в России. О намерении привлечь аутсорсера банк обязан уведомить ЦБ. К уведомлению нужно приложение заключение ФСБ или ФСТЭК об аудите выбранного исполнителя.

👁 PA | 💬 Max | 🗣️ ВК

#privacy #пд #комплаенс #юмор

👁 PA | 💬 Max | 🗣️ ВК

👮‍♂️ Суд отправил под домашний арест фигуранта дела о кибератаке на "Додо-пиццу"
🔸Тверской суд Москвы отправил под домашний арест обвиняемого по делу о масштабной кибератаке на IT-систему "Додо-пицца", сообщили РИА Новости в пресс-службе Мосгорсуда.
🔸В официальном Telegram-канале "Додо-пицца" 28 сентября появилось сообщение, что IT-система компании подверглась кибератаке. О произошедшем представители компании сообщили в Роскомнадзор. Доступ злоумышленникам был заблокирован.
🔸Мужчина обвиняется в незаконном использовании, передаче, сборе и хранении компьютерной информации, содержащей персональные данные, из корыстной заинтересованности в составе группы лиц по пунктам "а, в" части 3 статьи 272.1 УК РФ. Следствие продолжает устанавливать причастных к преступлению.

👁 PA | 💬 Max | 🗣️ ВК

👁😎 22 октября на EDPC 2026 Алексей Мунтян расскажет, как DPO выбирать инструменты автоматизации и не переплачивать за обещания вендоров

Почти каждый privacy-сервис обещает закрыть комплаенс ПД за вас. Но за ошибку инструмента отвечает оператор, вплоть до оборотного штрафа в 500 млн ₽ за повторную утечку.

В докладе разберем:
🔸 какие задачи DPO можно отдать автоматизации целиком, а где решение остается за человеком
🔸 семь классов инструментов и предел каждого, о котором вендор обычно молчит
🔸 восемь критериев оценки и стоп-фактор, когда сам сервис становится еще одной ИСПД без поручения и локализации
🔸 как проверить ИИ-ассистента своим бенчмарком и отличить галлюцинацию от более опасной конфабуляции
🔸 что ломается через несколько месяцев после внедрения

📅 22 октября 2026, Москва, офис СберТех, день Legal Ops & Автоматизация
📍 РЕГИСТРАЦИЯ

👁 PA | 💬 Max | 🗣️ ВК

🏛️ АКИТ попросила разрешить хранить данные россиян за рубежом из-за атак БПЛА на ЦОДы
🔸Ассоциация компаний интернет-торговли (АКИТ, объединяет крупнейших онлайн-ретейлеров, маркетплейсы и сервисы доставки, такие как Ozon, Wildberries, «Купер», «Яндекс Маркет» и т.д.) попросила правительство разрешить российским компаниям использовать дата-центры в дружественных странах для хранения и обработки персональных данных россиян.
🔸АКИТ предлагает ввести специальный правовой режим для компаний, пострадавших от масштабных аварий и повреждений цифровой инфраструктуры. Он позволит временно размещать критически важные системы в зарубежных резервных дата-центрах, если обеспечить их работу на российских площадках невозможно.
🔸Для этого ассоциация предлагает предусмотреть временное исключение из требований закона «О персональных данных», которые обязывают использовать российские базы данных при первичной обработке персональной информации граждан. Специальный режим предлагается применять на период восстановления инфраструктуры, но не позднее 1 марта 2028 года.
🔸Воспользоваться им компании смогут при официальном подтверждении инцидента, невозможности обеспечить работу критически важных систем в России и соблюдении требований информационной безопасности.
🔸Перечень стран, в которых будет разрешено размещать данные, предлагается определить уполномоченному органу. Порядок выдачи временных разрешений АКИТ предлагает разработать вместе с Минцифры и Роскомнадзором. После стабилизации ситуации компании должны будут вернуться к обычному порядку обработки данных, следует из письма. Ассоциация также предлагает не вводить дополнительные платежи за международный трафик, необходимый для резервирования информации и восстановления сервисов.
🔸В Ассоциации больших данных (АБД, объединяет «Яндекс», VK, «Сбер», Т-Банк, Россельхозбанк, Билайн, МТС, ВТБ, Avito, HeadHunter, Точка Банк, Аналитический центр при правительстве) назвали предложение АКИТ «логичной антикризисной мерой». «Российские дата-центры и требования к хранению данных формировались в иных условиях, без учета нынешних рисков масштабных атак на цифровую инфраструктуру. Сегодня быстро восстановить критически важные системы внутри страны не всегда возможно», — отметила пресс-служба АБД в комментарии Forbes.
👁 При этом предлагаемый АКИТ специальный правовой режим, если его введут, будет включаться только после подтвержденного инцидента — он «фактически закрепит, что заранее держать резерв за рубежом нельзя», обратил внимание эксперт по защите персональных данных и соучредитель Regional Privacy Professionals Association (RPPA) Алексей Мунтян. «Это ограничит компании, которые моделируют угрозы и распределяют копии по разным площадкам до удара, а не после. Между тем требование о локализации, как следует из части 5 статьи 18 152-ФЗ, касается только сбора персональных данных, так что добросовестный бизнес может позаботиться о данных граждан уже сейчас. Риски повышают и мораторий на проверки в том же пакете, и выбор стран по дружественности, а не по уровню защиты данных», — заявил Мунтян Forbes. Он подчеркнул, что копии за рубежом «стоит хранить зашифрованными с ключами в России, сохранив полную ответственность компании перед покупателями».

👁 PA | 💬 Max | 🗣️ ВК

🏛️ Опубликован приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 16.09.2026 № 253 "Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных"
🔸 Акт отменяет приказ РКН от 05.08.2022 № 128 целиком и утверждает перечень заново. Нормы о сроке вступления в силу в проекте нет, в отличие от приказа № 128, где было прямо указано 1 марта 2023 года. По общему правилу это десять дней после официального опубликования.
🔸 Изменилась структура. Вместо двух разделов, 55 государств-сторон Конвенции 108 и 34 государства, не являющихся сторонами, но соответствующих ее положениям, теперь один сплошной алфавитный перечень из 88 позиций. Содержательное изменение ровно одно - из перечня исключена Украина.

👁 PA | 💬 Max | 🗣️ ВК

🏛️ В подмосковных МФЦ ввели оформление документов с помощью нейросети
🔸Во всех офисах МФЦ Московской области заработал ИИ-сервис, распознающий данные из паспортов и свидетельств о рождении и заполняющий заявления на популярные услуги, сообщает Мингосуправления региона во вторник.
🔸Нейросеть взяла на себя первичную работу с документами при оформлении внутренних паспортов и пятилетних заграничных, получении СНИЛС, а также при подтверждении гражданства для детей до 14 лет. Это должно уменьшить риск опечаток и ошибок при внесении данных из документов сотрудниками МФЦ вручную, рассказали в министерстве.
🔸Искусственный интеллект встроен в рабочую программу сотрудников: оператор сканирует документ заявителя, нейросеть «прочитывает» его, определяет тип и автоматически вносит все данные – фамилию, имя, серию и номер – в нужные поля формы заявления. Специалист МФЦ проверяет правильность заполнения и отправляет документ в ведомство.

👁 PA | 💬 Max | 🗣️ ВК

🏛️ АБД предложила разработать правила хранения данных россиян за рубежом
🔸Ассоциация больших данных (АБД) заявила о готовности разработать правила безопасного хранения и обработки персональных данных россиян в дата-центрах дружественных стран. Предложение связано с атаками беспилотников на дата-центры российских компаний. В АБД считают, что хранение данных на нескольких площадках, в том числе за рубежом, поможет избежать перебоев в работе цифровых сервисов в случае повреждения инфраструктуры.
🔸Ассоциация предлагает совместно с участниками рынка определить требования к защите персональных данных, сроки их хранения за границей и порядок передачи информации. Предполагается, что новые правила будут действовать ограниченное время, но пользоваться зарубежными дата-центрами компании смогут не только после атак или других происшествий, а и для заранее подготовленного резервного хранения данных.
🔸При этом, как подчеркнули в АБД, размещение информации за рубежом не должно снижать уровень ее защиты. Российские компании по-прежнему будут отвечать за безопасность персональных данных независимо от того, в какой стране они хранятся.
🔸В ассоциации считают, что разработку новых правил необходимо начать как можно скорее, поскольку атаки на дата-центры уже происходят, а возможный масштаб повреждений сложно предсказать. АБД готова в экстренном порядке подготовить предложения для обсуждения с профильными ведомствами и участниками рынка.

👁 PA | 💬 Max | 🗣️ ВК

🏛️ В России могут запретить хранение навигационных данных автомобилей за рубежом
🔸Депутаты Госдумы приняли в первом чтении на пленарном заседании законопроект о хранении и обработке навигационных данных автомобилей исключительно в России.
🔸Законопроект был внесен в Госдуму группой депутатов во главе с председателем комитета по безопасности и противодействию коррупции Андреем Луговым (ЛДПР). Изменения предлагается внести в статью 11 федерального закона "О навигационной деятельности".
🔸Согласно пояснительной записке, сейчас данные о передвижении транспорта по российским дорогам часто хранятся за рубежом. После официального ухода иностранных компаний с российского рынка перевозчики продолжают пользоваться их сервисами через VPN и посредников из стран ближнего зарубежья, а отечественные сервисы зачастую хранят информацию за рубежом.
🔸По мнению авторов проекта, данные о маршрутах, грузах и пассажиропотоках имеют стратегическое значение и их сбор недружественными странами угрожает национальной безопасности РФ.
🔸Порядок хранения и обработки навигационной информации, поступающей от автотранспортных средств, в настоящее время в РФ отсутствует, в связи с чем предлагается обязать лица, предоставляющие услуги в сфере навигационной деятельности, хранить и обрабатывать навигационную информацию от транспортных средств, передвигающихся по автомобильным дорогам, исключительно на территории России.

👁 PA | 💬 Max | 🗣️ ВК

😎 У наших друзья из RPPA совсем скоро стартует 2 поток Level-up IT!

Отдельное внимание будет уделено:
🟡большим языковым моделям и связанным с ними технологиям;
🟡облачным сервисам;
🟡базам данных;
🟡другим технологическим изменениям, произошедшим за последний год.

❗️ Старт: 5 ноября 2026 года
▶️ Стоимость: 65 000 руб (для физических лиц).

Участники всех курсов также получают бессрочный доступ к записям и материалам курса и сертификат об успешном прохождении обучения.

Образовательная лицензия РППА Офис № Л035-01298-77/01030105 от 22 января 2024

⚖️ На Урале экс-инспектора ДПС оштрафовали за продажу персональных данных
🔸Тагилстроевский районный суд Нижнего Тагила Свердловской области приговорил бывшего инспектора ДПС Романа Иванова к штрафу в размере 1,1 млн рублей за незаконную передачу персональных данных автовладельцев из базы ГИБДД и получение взятки. Об этом сообщили в объединенной пресс-службе судов региона.
🔸Суд установил, что в январе к Иванову обратился житель Екатеринбурга, предложивший за вознаграждение предоставлять сведения о владельцах автомобилей из базы ГИБДД. Инспектор согласился и передавал заказчику фотографии карточек учета транспортных средств и другие персональные данные, получая по 500 рублей за каждую карточку. С января по апрель он передал более 40 карточек, заработав 16 тыс. рублей. При этом для доступа к базам данных инспектор использовал учетные записи коллег, не знавших о его действиях.
🔸Суд также вынес частное постановление в адрес начальника МУ МВД России "Нижнетагильское" в связи с нарушениями, которые привели к распространению персональных данных. Житель Екатеринбурга, приобретавший сведения об автовладельцах, ранее был осужден Кировским районным судом Екатеринбурга.

👁 PA | 💬 Max | 🗣️ ВК