Практические выводы по позициям Роскомнадзора, озвученным на семинаре 05.11.2026

Понятие ПДн

• Позиция ведомства: ПДн — сведения, прямо или косвенно относящиеся к определённому или определяемому физлицу. Отсутствие ФИО не исключает статус ПДн.

• Практический вывод: Оценивать возможность прямой и косвенной идентификации по всему набору сведений.

• Нормативная основа: Ст. 3 152-ФЗ

Комбинация идентификаторов

• Позиция ведомства: Номер телефона сам по себе не является ПДн. Однако в сочетании с именем, фамилией или адресом электронной почты он может позволить идентифицировать человека и становится персональными данными.

• Практический вывод: Оценивать совокупность сведений, а не каждый идентификатор изолированно; применять требования 152-ФЗ, если набор позволяет определить физическое лицо.

• Нормативная основа: ст. 3 152-ФЗ

Телефон, VIN, госномер

• Позиция ведомства: По позиции ведомства, сами по себе эти идентификаторы не относятся к ПДн, поскольку относятся к устройству или автомобилю.

• Практический вывод: Оценивать контекст использования и возможность связать идентификатор с конкретным человеком.

• Нормативная основа: 152-ФЗ

Видеосъёмка общественных пространств

• Позиция ведомства: Марка и госномер автомобиля сами по себе не являются ПДн. В отношении изображения человека учитываются положения ГК РФ; в описанной ситуации согласие на использование изображения не требуется.

• Практический вывод: Разграничивать сведения об автомобиле и изображение человека; учитывать обстоятельства съёмки и использования изображения.

• Нормативная основа: ГК РФ; 152-ФЗ

Обезличенные сведения

• Позиция ведомства: Обезличивание не означает автоматического прекращения действия требований 152-ФЗ.

• Практический вывод: Проверять статус каждого набора данных с учётом его состава и возможности идентификации.

• Нормативная основа: 152-ФЗ

Основания обработки

• Позиция ведомства: При наличии основания из ч. 1 ст. 6 152-ФЗ дополнительное согласие не требуется.

• Практический вывод: До начала обработки определить правовое основание и не получать дублирующее согласие.

• Нормативная основа: Ч. 1 ст. 6 152-ФЗ

Обработка без согласия

• Позиция ведомства: Обработка для исполнения обязанностей, предусмотренных трудовым, налоговым, социальным и иным законодательством, может осуществляться без согласия.

• Практический вывод: Определить законодательное основание для каждой операции и не запрашивать согласие, если оно не требуется.

• Нормативная основа: Ч. 1 ст. 6 152-ФЗ; ТК РФ и иные федеральные законы

Специальные категории ПДн

• Позиция ведомства: Обработка специальных категорий запрещена, кроме прямо предусмотренных законом случаев. Само по себе согласие не заменяет наличие законного основания.

• Практический вывод: Проверять наличие предусмотренного законом исключения до начала обработки специальных категорий ПДн.

• Нормативная основа: Ст. 10 152-ФЗ

Данные о здоровье

• Позиция ведомства: Закон предусматривает случаи обработки сведений о здоровье без согласия, в частности в медицинской, трудовой и страховой сферах. Согласие на медицинское вмешательство не равно согласию на обработку ПДн.

• Практический вывод: Разделять документы о медицинском вмешательстве и правовые основания обработки ПДн.

• Нормативная основа: Ст. 10 152-ФЗ; 323-ФЗ

Биометрические ПДн

• Позиция ведомства: Для отнесения данных к биометрическим необходимо учитывать прямое регулирование законом. В качестве примеров названы ЕБС, геномная информация и дактилоскопия.

• Практический вывод: Проверять наличие законодательных оснований для квалификации сведений как биометрических ПДн.

• Нормативная основа: Ч. 1 ст. 11 152-ФЗ; 572-ФЗ; 242-ФЗ; 128-ФЗ

Фотографии и видеозаписи

• Позиция ведомства: Фото в обычном паспорте, личных делах, соцсетях и корпоративных системах сами по себе не являются биометрическими ПДн. Биометрическим ведомство считает электронное изображение лица на электронном носителе документа.

• Практический вывод: Разграничивать обычные фотографии и данные, используемые для биометрической идентификации.

• Нормативная основа: Ст. 11 152-ФЗ

Биометрическое видеонаблюдение

• Позиция ведомства: Видеонаблюдение становится биометрической обработкой, если система использует заранее сформированные шаблоны лица для идентификации.

• Практический вывод: Проверить, формирует ли система шаблоны лица и использует ли их для идентификации.

• Нормативная основа: Ст. 11 152-ФЗ

Машиночитаемая доверенность

• Позиция ведомства: По позиции ведомства, отдельное согласие на обработку ПДн при оформлении машиночитаемой доверенности не требуется, поскольку её оформление и оборот регулируются законодательством.

• Практический вывод: Оформлять машиночитаемую доверенность на предусмотренном законом основании без получения отдельного согласия на обработку ПДн, если отсутствуют дополнительные самостоятельные цели обработки.

• Нормативная основа: Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»; 152-ФЗ

Обработка данных лиц, привлекаемых к административной ответственности

• Позиция ведомства: При реализации полномочий по выявлению административных правонарушений, составлению протоколов и направлению материалов в суд согласие лица, привлекаемого к ответственности, не требуется.

• Практический вывод: Осуществлять обработку ПДн в рамках производства по делу об административном правонарушении на предусмотренном законом основании без получения дополнительного согласия.

• Нормативная основа: п. 2 ч. 1 ст. 6 152-ФЗ

Обработка данных при поступлении на государственную или муниципальную службу

• Позиция ведомства: Приём документов, проведение конкурсных и иных процедур в рамках государственной или муниципальной службы регулируются специальными нормами. В предусмотренных ими случаях отдельное согласие на обработку ПДн не требуется.

• Практический вывод: Проверить специальное законодательство, регулирующее конкретную процедуру поступления на государственную или муниципальную службу, и определить предусмотренное им основание обработки.

• Нормативная основа: Федеральный закон от 27.07.2004 № 79-ФЗ «О государственной гражданской службе Российской Федерации»; Федеральный закон от 02.03.2007 № 25-ФЗ «О муниципальной службе в Российской Федерации»; 152-ФЗ

Содержание согласия

• Позиция ведомства: Согласие должно быть добровольным, предметным, конкретным и информированным; в нём указываются цели, состав данных, действия, срок и порядок отзыва. Общая формулировка «согласен по 152-ФЗ» недостаточна.

• Практический вывод: Проверить согласия на полноту обязательных сведений и конкретизацию условий обработки.

• Нормативная основа: Ч. 1 ст. 9 152-ФЗ

Форма согласия

• Позиция ведомства: Если закон не требует письменной формы, согласие может быть выражено иным способом. SMS-код или конклюдентные действия могут подтверждать волеизъявление при предварительном ознакомлении с текстом.

• Практический вывод: Обеспечить предварительное ознакомление с полным текстом согласия и фиксацию волеизъявления.

• Нормативная основа: Ст. 9 152-ФЗ

Отдельное оформление согласия

• Позиция ведомства: Согласие должно оформляться отдельно от иной информации и документов. Дополнительное согласие должно оставаться добровольным; отказ от него не должен автоматически приводить к отказу в основной услуге.

• Практический вывод: Оформлять согласие отдельным документом или самостоятельным действием; не связывать основную услугу с предоставлением необязательного согласия.

• Нормативная основа: Ст. 9 152-ФЗ

Несколько согласий и целей

• Позиция ведомства: Не следует объединять в одном согласии общие ПДн, специальные категории, биометрию и случаи, для которых требуется письменная форма. Согласия по другим законам также оформляются отдельно.

• Практический вывод: Разделить согласия по правовым основаниям и требованиям к форме; отдельно оформить согласия на рекламу и иные специальные действия.

• Нормативная основа: Ст. 9, 10, 11, 15 152-ФЗ

Согласие нескольких операторов

• Позиция ведомства: Согласие должно предоставляться конкретному оператору. Одна самостоятельная компания не может автоматически собрать согласие за другие компании.

• Практический вывод: Указывать конкретного оператора в согласии и получать самостоятельное волеизъявление для других операторов.

• Нормативная основа: Ст. 9 152-ФЗ

Несколько целей и получателей

• Позиция ведомства: Несколько целей в одном согласии допустимы в общих случаях, кроме согласий, для которых законом установлена специальная письменная форма. Несколько получателей допустимы при единой цели. Перечень получателей может быть размещён по ссылке, если он актуален.

• Практический вывод: Проверить соответствие целей и получателей; поддерживать опубликованный перечень получателей в актуальном состоянии.

• Нормативная основа: Ст. 9 152-ФЗ

Согласие несовершеннолетнего

• Позиция ведомства: Возможность самостоятельного предоставления согласия несовершеннолетним зависит от объёма его дееспособности и характера правоотношений. В случаях, предусмотренных ст. 26 ГК РФ, несовершеннолетний в возрасте от 14 до 18 лет может самостоятельно совершать определённые сделки. В остальных случаях согласие предоставляет законный представитель.

• Практический вывод: Проверить возраст несовершеннолетнего и характер правоотношений; при отсутствии предусмотренного законом права на самостоятельное волеизъявление получить согласие законного представителя.

• Нормативная основа: ст. 9 152-ФЗ; ст. 26 ГК РФ

Отзыв согласия на обработку ПДн

• Позиция ведомства: Отзыв согласия не всегда означает обязанность прекратить обработку. Оператор вправе продолжить обработку при наличии иных оснований, предусмотренных п. 2–11 ч. 1 ст. 6 152-ФЗ, например для исполнения договора или защиты прав в суде.

• Практический вывод: После получения отзыва проверить наличие самостоятельного правового основания для продолжения обработки.

• Нормативная основа: ч. 2 ст. 9, п. 2–11 ч. 1 ст. 6 152-ФЗ

Форма отзыва согласия

• Позиция ведомства: Закон не устанавливает обязательную форму отзыва согласия. Оператор может утвердить собственную форму, чтобы обеспечить возможность идентификации субъекта. При этом нельзя запрашивать при отзыве больше сведений, чем требовалось при получении согласия.

• Практический вывод: Утвердить рекомендуемую форму отзыва согласия; ограничить перечень запрашиваемых для идентификации сведений объёмом, необходимым для установления личности заявителя.

• Нормативная основа: ст. 9, 14 152-ФЗ

Последствия отзыва согласия

• Позиция ведомства: Если после отзыва согласия отсутствуют иные правовые основания для обработки, оператор обязан прекратить обработку и уничтожить данные в установленном законом порядке.

• Практический вывод: Прекратить обработку и уничтожить ПДн, если отсутствуют иные законные основания для их дальнейшего хранения и использования.

• Нормативная основа: ч. 2 ст. 9, ст. 21 152-ФЗ

Требование о прекращении обработки ПДн

• Позиция ведомства: Требование о прекращении обработки отличается от отзыва согласия. Оно подлежит исполнению в предусмотренных законом случаях, в частности при незаконном получении данных, их недостоверности или несоответствии цели обработки. Неисполнение требования может повлечь ответственность по ч. 5 ст. 13.11 КоАП РФ.

• Практический вывод: Разграничивать отзыв согласия и требование о прекращении обработки; проверять основание требования и исполнять его в установленные законом сроки.

• Нормативная основа: ст. 14, 21 152-ФЗ; ч. 5 ст. 13.11 КоАП РФ

Статус оператора

• Позиция ведомства: Оператором является лицо, фактически осуществляющее обработку. Отсутствие записи в реестре не исключает этот статус. Обработка работниками в рамках деятельности организации относится к деятельности оператора-организации.

• Практический вывод: Определить всех фактических операторов и закрепить ответственность за обработку внутри организации.

• Нормативная основа: Ст. 3 152-ФЗ

Индивидуальные специалисты как операторы

• Позиция ведомства: Юристы, адвокаты, нотариусы и другие лица, оказывающие индивидуальные услуги и самостоятельно определяющие цели обработки ПДн, могут выступать операторами. Основания обработки могут следовать из профильного законодательства и договора с клиентом.

• Практический вывод: Определить статус оператора с учётом фактической деятельности; установить правовые основания обработки и проверить необходимость направления уведомления Роскомнадзору.

• Нормативная основа: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3, 6, 22; Федеральный закон от 31.05.2002 № 63-ФЗ «Об адвокатской деятельности и адвокатуре в Российской Федерации»; Основы законодательства РФ о нотариате от 11.02.1993 № 4462-1

Уведомление Роскомнадзора

• Позиция ведомства: Обязанность направить уведомление возникает в связи с фактом обработки ПДн, а не с регистрацией в реестре операторов РКН. За неподачу предусмотрена отдельная ответственность.

• Практический вывод: Проверить наличие и актуальность уведомления; при необходимости направить его через портал РКН.

• Нормативная основа: Ст. 22 152-ФЗ; ст. 13.11 КоАП РФ

Изменение сведений в уведомлении Роскомнадзора

• Позиция ведомства: Если оператор ранее направил уведомление, но своевременно не сообщил об изменении содержащихся в нём сведений, необходимо направить актуальную информацию. По позиции ведомства, в такой ситуации применяется ст. 19.7 КоАП РФ, а ч. 10 ст. 13.11 КоАП РФ относится к случаям первоначального непредставления уведомления.

• Практический вывод: Направить уведомление об изменении сведений, даже если установленный срок уже пропущен; проверить актуальность сведений в реестре операторов.

• Нормативная основа: ст. 22 152-ФЗ; ст. 19.7, ч. 10 ст. 13.11 КоАП РФ

Уточнение сведений в уведомлении

• Позиция ведомства: Если оператор обнаружил ошибки или неточности в ранее поданном уведомлении, необходимо направить актуальные сведения. По позиции ведомства, сам факт выявления неточностей не является основанием откладывать их исправление.

• Практический вывод: Проверить сведения в уведомлении и направить уточнения при обнаружении ошибок или изменении процессов обработки.

• Нормативная основа: ст. 22 152-ФЗ

Утрата номера и ключа уведомления

• Позиция ведомства: Если оператор утратил номер или ключ ранее поданного уведомления, он может обратиться в территориальное управление Роскомнадзора для получения соответствующих сведений. При технических затруднениях возможно направление документов на бумажном носителе.

• Практический вывод: Обратиться в территориальное управление Роскомнадзора для восстановления сведений об уведомлении; при невозможности использовать электронный способ направить документы на бумаге.

• Нормативная основа: ст. 22 152-ФЗ

Ответственный за организацию обработки ПДн

• Позиция ведомства: Ответственным может быть работник организации либо привлечённое физическое или юридическое лицо. Если назначается работник, его полномочия закрепляются в должностной инструкции и приказе. Он должен иметь возможность взаимодействовать с подразделениями и напрямую подчиняться руководителю организации.

• Практический вывод: Назначить ответственного за организацию обработки ПДн; оформить приказ и закрепить полномочия в должностной инструкции или договоре.

• Нормативная основа: ч. 1 ст. 18.1 152-ФЗ

Количество ответственных за организацию обработки ПДн

• Позиция ведомства: В организации должен быть один ответственный за организацию обработки ПДн. Он вправе распределять отдельные задачи между другими работниками, но это не означает назначения нескольких ответственных.

• Практический вывод: Назначить одного ответственного за организацию обработки ПДн; определить работников, которым могут поручаться отдельные мероприятия.

• Нормативная основа: ч. 1 ст. 18.1 152-ФЗ

Организация процесса обработки

• Позиция ведомства: Оператор должен определить цели, основания, объём и сроки обработки, а также порядок уничтожения данных.

• Практический вывод: Зафиксировать цели и основания обработки, минимальный состав данных, сроки хранения и порядок уничтожения.

• Нормативная основа: Ст. 5, 6, 21 152-ФЗ

Документы оператора

• Позиция ведомства: Перечень документов зависит от характера и особенностей деятельности оператора. В качестве базовых документов названы политика обработки ПДн, уведомление Роскомнадзора, документы о правовых основаниях обработки, приказы об ответственных и доступе, перечень лиц, допущенных к обработке, документы о местах хранения и акты уничтожения. При трансграничной передаче необходимо уведомление о такой передаче.

• Практический вывод: Сформировать перечень документов исходя из фактических процессов обработки; оформить политику, локальные акты, приказы о доступе и ответственности, документы об уничтожении и необходимые уведомления.

• Нормативная основа: ст. 18.1, 21, 22 152-ФЗ; ст. 12 — при трансграничной передаче.

Размещение политики обработки ПДн

• Позиция ведомства: Если оператор собирает ПДн с использованием сайта, политика должна быть размещена на соответствующем сайте. Если сбор через сайт не осуществляется, политика может быть размещена в доступном для ознакомления месте по адресу оператора.

• Практический вывод: Разместить политику на сайте, если через него осуществляется сбор ПДн; при отсутствии такого сбора обеспечить доступность политики в помещении оператора.

• Нормативная основа: ч. 2 ст. 18.1 152-ФЗ

Внутренний контроль и аудит

• Позиция ведомства: Ведомство рекомендует проводить внутренний контроль не реже одного раза в год, сверяя фактические процессы с документами и уведомлениями оператора.

• Практический вывод: Проводить ежегодный аудит обработки ПДн и проверять соответствие локальных актов, уведомлений и фактических процессов.

• Нормативная основа: Ст. 18.1 152-ФЗ

Категория риска

• Позиция ведомства: При нескольких видах деятельности учитывается наиболее высокая категория риска. Если организация не подпадает под критерии, рекомендуется оформить соответствующий акт.

• Практический вывод: Определить категорию риска по всем направлениям деятельности и документировать отсутствие оснований для отнесения к категории, если применимо.

• Нормативная основа: Приказ Роскомнадзора № 178 от 27.10.2022

Обезличивание

• Позиция ведомства: Для обезличивания применяются методы, предусмотренные приказом Роскомнадзора № 140, кроме специальных случаев статьи 13.1 152-ФЗ (государственные дата-лейки, в которые данные предоставляются по требованию уполномоченного органа, - специальный правовой режим). Обезличивание является обработкой и требует правового основания.

• Практический вывод: Определить правовое основание обезличивания и применять предусмотренные нормативными актами методы.

• Нормативная основа: Ст. 6, 13.1 152-ФЗ; приказ Роскомнадзора № 140 от 19.06.2025

Методы обезличивания

• Позиция ведомства: Допускается применение нескольких методов. Маскирование или вымарывание, не предусмотренные применимым перечнем методов, сами по себе не обеспечивают признание данных обезличенными.

• Практический вывод: Использовать нормативно предусмотренные методы и не считать данные обезличенными только на основании удаления или закрытия отдельных фрагментов.

• Нормативная основа: Приказ Роскомнадзора № 140 от 19.06.2025

Достаточность обезличивания

• Позиция ведомства: Достаточность мер определяет оператор и закрепляет её в локальных актах. Роскомнадзор оценивает обоснованность выбранных мер при контроле.

• Практический вывод: Обосновать выбор методов обезличивания с учётом цели, состава и объёма данных; закрепить подход во внутренних документах.

• Нормативная основа: Приказ Роскомнадзора № 140 от 19.06.2025; 152-ФЗ

Сроки уничтожения ПДн

• Позиция ведомства: После достижения цели обработки данные подлежат уничтожению в течение 30 дней, если иное не предусмотрено законом, договором или иным основанием. Если уничтожить данные в этот срок невозможно, применяются предусмотренные законом процедуры блокирования и последующего уничтожения.

• Практический вывод: Установить сроки уничтожения по каждой цели обработки; организовать уничтожение в установленные сроки и документально подтверждать его проведение.

• Нормативная основа: ст. 21 152-ФЗ

Хранение ПДн после прекращения договорных отношений

• Позиция ведомства: Если законодательство устанавливает обязательные сроки хранения документов, например архивные, бухгалтерские, налоговые или пенсионные, уничтожение соответствующих данных производится после истечения этих сроков.

• Практический вывод: Сопоставить сроки хранения ПДн с требованиями архивного, бухгалтерского, налогового и иного законодательства; уничтожать данные после окончания обязательных сроков хранения.

• Нормативная основа: Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; НК РФ; ст. 21 152-ФЗ

Ознакомление работников

• Позиция ведомства: Работников необходимо знакомить с локальными актами и применимыми требованиями законодательства о ПДн. Распечатывать весь массив нормативных актов не требуется.

• Практический вывод: Подготовить краткую памятку с применимыми требованиями, правами субъектов, обязанностями работников и порядком передачи запросов ответственному лицу.

• Нормативная основа: ТК РФ; ст. 18.1 152-ФЗ

Раскрытие сведений о дисциплинарных взысканиях работника

• Позиция ведомства: Сообщение сведений о дисциплинарном взыскании другим работникам внутри организации не является раскрытием данных сторонним лицам в смысле рассматриваемого требования о конфиденциальности. Порядок доведения такой информации должен быть предусмотрен внутренними документами. Возможное нарушение трудовых прав оценивается отдельно.

• Практический вывод: Закрепить во внутренних документах порядок доведения информации о дисциплинарных взысканиях; разграничить внутреннее информирование работников и передачу сведений сторонним лицам.

• Нормативная основа: ст. 7 152-ФЗ; Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ

Конфиденциальность ПДн после увольнения работника

• Позиция ведомства: Закон не устанавливает единую обязательную формулировку обязательства о неразглашении ПДн. Содержание такого обязательства оператор определяет самостоятельно, в том числе может предусмотреть обязанности работника после увольнения.

• Практический вывод: Закрепить в локальных документах или соглашениях обязанность не разглашать ПДн, полученные при исполнении трудовых обязанностей, в том числе после прекращения трудовых отношений.

• Нормативная основа: ст. 7 152-ФЗ; Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ

Обработка данных работников для оформления ДМС

• Позиция ведомства: По позиции ведомства, обработка данных работников для оформления ДМС не охватывается автоматически основанием, связанным с исполнением трудового законодательства. Поскольку ДМС не предусмотрено как обязательная процедура трудового законодательства, необходимо отдельное правовое основание.

• Практический вывод: Получить согласие работника на обработку и передачу ПДн для оформления ДМС, если отсутствует иное самостоятельное основание.

• Нормативная основа: Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ; ст. 6, 9 152-ФЗ

Обработка данных соискателей

• Позиция ведомства: На этапе рассмотрения кандидатуры соискателя трудовые отношения ещё не возникли, поэтому положения ТК РФ об обработке данных работников не применяются в полном объёме. По позиции ведомства, основанием обработки данных соискателя выступает согласие. Оно не обязательно должно быть письменным, если не обрабатываются специальные категории или иные данные, для которых законом установлена письменная форма.

• Практический вывод: Получать согласие соискателя на обработку ПДн на этапе рассмотрения кандидатуры; обеспечить соответствие формы согласия требованиям закона.

• Нормативная основа: ст. 9, 10, 11 152-ФЗ; Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ

Использование ИИ-сервисов кадровыми подразделениями

• Позиция ведомства: По позиции ведомства, сведения о работнике и их изменениях должны получаться непосредственно от работника. Использование вспомогательных сервисов или ИИ-агентов для самостоятельного поиска изменений сведений о работнике действующим трудовым законодательством не предусмотрено.

• Практический вывод: Получать сведения о работниках непосредственно от них; не использовать внешние сервисы для самостоятельного сбора или обновления таких сведений без отдельного правового основания.

• Нормативная основа: ст. 86 ТК РФ; ст. 5, 6 152-ФЗ

Обработка данных представителей контрагентов

• Позиция ведомства: При заключении договора с физическим лицом сам договор является правовым основанием обработки. Если контрагентом выступает юридическое лицо, а его работники взаимодействуют с оператором, получать от них отдельное согласие оператору не требуется. Контрагент должен самостоятельно обеспечить законность передачи данных своих работников.

• Практический вывод: Отразить обработку данных представителей контрагентов в политике обработки ПДн и уведомлении Роскомнадзора; проверить, что контрагент обеспечил законность передачи данных.

• Нормативная основа: ст. 6, 18.1, 22 152-ФЗ

Проверка благонадёжности работников контрагента

• Позиция ведомства: Правомерность проверки зависит от целей, полномочий проверяющей организации и используемых источников. Использование официальных государственных ресурсов может быть допустимым; правомерность использования сторонних нерегламентированных ресурсов вызывает вопросы. Особое внимание требуется при работе со сведениями о здоровье и другими чувствительными данными.

• Практический вывод: Установить цель и правовое основание проверки; проверить полномочия контрагента и законность используемых источников; исключить сбор специальных категорий данных без предусмотренного законом основания.

• Нормативная основа: ст. 5, 6, 10 152-ФЗ

Предоставление и распространение

• Позиция ведомства: Предоставление означает передачу определённому лицу или кругу лиц; распространение — передачу неопределённому кругу лиц. Передача нескольким конкретным компаниям не является распространением.

• Практический вывод: Квалифицировать каждую передачу по кругу получателей и применять соответствующие требования закона.

• Нормативная основа: Ст. 3, 10.1 152-ФЗ

Передача данных третьим лицам

• Позиция ведомства: Согласие на передачу требуется, если такая передача не предусмотрена ТК РФ или иным федеральным законом. В качестве примеров дополнительных услуг названы визитки и ДМС.

• Практический вывод: Получать согласие на передачу данных для дополнительных услуг, если отсутствует самостоятельное законодательное основание.

• Нормативная основа: ТК РФ; 152-ФЗ

ОМС и ДМС

• Позиция ведомства: Передача данных в рамках обязательных процедур ОМС отличается от передачи данных для ДМС; для ДМС согласие может потребоваться.

• Практический вывод: Разграничить правовые основания передачи данных в рамках ОМС и ДМС.

• Нормативная основа: 152-ФЗ; 326-ФЗ

Поручение обработки

• Позиция ведомства: Поручение возникает, когда оператор передаёт третьему лицу исполнение собственных обязанностей или полномочий, связанных с обработкой ПДн. Оказание самостоятельной услуги, например ДМС, само по себе не является поручением.

• Практический вывод: Определить характер отношений с контрагентом; при поручении закрепить условия обработки в договоре.

• Нормативная основа: Ч. 3 ст. 6 152-ФЗ

Запросы третьих лиц о предоставлении ПДн

• Позиция ведомства: Запрос должен содержать обоснование, сведения о полномочиях запрашивающей организации и перечень необходимых данных. Передача сведений сверх запрошенного объёма может рассматриваться как избыточная обработка и повлечь претензии.

• Практический вывод: Проверять полномочия и правовое основание запроса; передавать только те сведения и документы, которые прямо необходимы для его исполнения.

• Нормативная основа: ст. 5, 6, 7 152-ФЗ; применимые федеральные законы, устанавливающие полномочия запрашивающего органа.

Распространение в интернете

• Позиция ведомства: Ст. 10.1 152-ФЗ применяется к распространению ПДн. По позиции ведомства, размещение данных на стороннем ресурсе, где оператор выступает пользователем, не всегда подпадает под эту статью, но требует самостоятельного правового основания.

• Практический вывод: До публикации определить, является ли действие распространением; проверить основание обработки и соблюдение конфиденциальности.

• Нормативная основа: Ст. 6, 7, 9, 10.1 152-ФЗ; приказ Роскомнадзора № 18 от 24.02.2021

Публикация данных госорганами

• Позиция ведомства: Статья 10.1 не применяется к размещению ПДн государственными и муниципальными органами и подведомственными учреждениями, если оно осуществляется во исполнение установленных законом полномочий.

• Практический вывод: Проверять наличие прямой законодательной обязанности или полномочия на публикацию данных.

• Нормативная основа: Ст. 10.1 152-ФЗ

Публикация судебных документов

• Позиция ведомства: Не следует размещать в чатах копии исков и иных документов с паспортными данными, СНИЛС, адресами и другими ПДн. Публикуемый текст судебного решения не должен содержать больше данных, чем официальная версия.

• Практический вывод: Проверять документы на наличие избыточных ПДн перед публикацией и использовать официальные версии судебных актов.

• Нормативная основа: Ст. 7 152-ФЗ

Средства массовой информации и обработка ПДн

• Позиция ведомства: СМИ вправе обрабатывать ПДн в рамках законной деятельности и профессиональной деятельности журналистов. При публикации необходимо учитывать специальные ограничения, в частности в отношении несовершеннолетних и лиц, пострадавших от противоправных действий. Правомерность публикации оценивается с учётом конкретных обстоятельств.

• Практический вывод: Проверять правовое основание публикации и специальные ограничения законодательства о СМИ; отдельно оценивать публикации сведений о несовершеннолетних и пострадавших лицах.

• Нормативная основа: Ст. 41 Закона РФ от 27.12.1991 № 2124-1 «О средствах массовой информации»; ст. 6, 10.1 152-ФЗ

Корпоративные издания и публикация сведений о работниках

• Позиция ведомства: Если корпоративное издание зарегистрировано как СМИ, обработка и публикация данных работников рассматриваются с учётом правового режима СМИ и предусмотренных законом оснований.

• Практический вывод: Проверить статус корпоративного издания; определить правовое основание публикации сведений о работниках и соблюдать специальные ограничения законодательства о СМИ.

• Нормативная основа: Закон РФ от 27.12.1991 № 2124-1 «О средствах массовой информации»; п. 8 ч. 1 ст. 6 152-ФЗ

Публикация сведений о несовершеннолетних

• Позиция ведомства: Необходимость согласия зависит от характера сведений и правового основания публикации. Если публикация прямо предусмотрена законодательством, отдельное согласие может не требоваться. В иных случаях необходимо согласие законного представителя. Оно должно быть добровольным и не может ставиться в зависимость от предоставления образовательных или иных услуг.

• Практический вывод: Определить, предусмотрена ли публикация законом; при отсутствии такого основания получить добровольное согласие законного представителя и не связывать его предоставление с оказанием основной услуги.

• Нормативная основа: ст. 9, 10.1 152-ФЗ; ГК РФ

Публикация спортивных результатов и протоколов мероприятий

• Позиция ведомства: Размещение протоколов соревнований и иных мероприятий может быть предусмотрено положением о проведении мероприятия. Участники, присоединяясь к этому положению, принимают установленные условия, в том числе публикацию результатов на официальном сайте. Для отдельных случаев присвоения спортивных разрядов основанием может выступать административный регламент соответствующей процедуры.

• Практический вывод: Предусмотреть в положении о мероприятии порядок публикации результатов и состав публикуемых сведений; проверить наличие законодательного или иного надлежащего основания для публикации данных несовершеннолетних.

• Нормативная основа: ст. 6, 9, 10.1 152-ФЗ; ГК РФ

Трансграничная передача

• Позиция ведомства: Для признания передачи трансграничной необходимы одновременно два условия: передача на территорию иностранного государства и иностранному лицу.

• Практический вывод: Проверять страну назначения и статус получателя; при наличии обоих условий применять требования статьи 12.

• Нормативная основа: П. 11 ст. 3 152-ФЗ; Ст. 12 152-ФЗ

Иностранные формы и сервисы

• Позиция ведомства: Использование иностранных форм, мессенджеров и ботов затрагивает требования локализации. Первичный сбор и запись ПДн должны осуществляться с использованием баз данных в РФ.

• Практический вывод: Проверить место первичной записи данных; при невозможности обеспечить локализацию использовать российский аналог.

• Нормативная основа: Ч. 5 ст. 18 152-ФЗ

Уведомление о трансграничной передаче

• Позиция ведомства: Уведомление направляется до начала трансграничной передачи. При изменении целей, стран, состава данных или категорий субъектов требуется уточнить сведения.

• Практический вывод: Направить уведомление до начала передачи и актуализировать его при изменении указанных сведений.

• Нормативная основа: Ст. 12 152-ФЗ

Передача в страны с адекватной защитой

• Позиция ведомства: По позиции ведомства, в страны с адекватной защитой передача возможна после подачи уведомления, не дожидаясь десятидневного срока. Для иных стран необходимо учитывать процедуру рассмотрения Роскомнадзором.

• Практический вывод: Проверить статус страны и соблюсти применимый порядок до начала передачи.

• Нормативная основа: Ст. 12 152-ФЗ; Приказ Роскомнадзора от 16.09.2026 № 253

Исключения из порядка трансграничной передачи

• Позиция ведомства: Установлены отдельные случаи, позволяющие осуществлять трансграничную передачу без уведомления и случаи, когда уведомление требуется, но ограничение передачи не применяется.

• Практический вывод: Ознакомиться с перечнем случаев, при которых к операторам, осуществляющим трансграничную передачу персональных данных в целях выполнения возложенных международным договором Российской Федерации, законодательством Российской Федерации на государственные органы, муниципальные органы функций, полномочий и обязанностей, не применяются требования частей 3-6, 8-11 статьи 12 Федерального закона «О персональных данных».

• Нормативная основа: ПП РФ от 29.12.2022 № 2526

Проверка иностранного получателя

• Позиция ведомства: При запросе сведений об иностранном лице необходимо направлять запрос по официальным контактам и сохранять доказательства. Общедоступные сведения не заменяют официальный ответ.

• Практический вывод: Направлять запросы иностранным получателям и сохранять переписку; фиксировать отсутствие ответа.

• Нормативная основа: Ч. 2 ст. 12 152-ФЗ

Локализация и последующая передача

• Позиция ведомства: Локализация первичного сбора не запрещает последующую трансграничную передачу при соблюдении статьи 12 152-ФЗ. Первичный сбор в зарубежной базе создаёт риск нарушения.

• Практический вывод: Обеспечить первичную запись ПДн в РФ и отдельно оценить законность последующей передачи за рубеж.

• Нормативная основа: Ч. 5 ст. 18; ст. 12 152-ФЗ

Использование зарубежных ИИ-сервисов

• Позиция ведомства: При передаче ПДн зарубежному ИИ-сервису необходимо соблюдать требования локализации и трансграничной передачи. Оператор должен контролировать обработку и обеспечить уничтожение данных после достижения цели.

• Практический вывод: Исключить передачу избыточных ПДн; проверить условия использования сервиса, дальнейшее использование данных, обучение моделей и подтверждение уничтожения.

• Нормативная основа: Ст. 5, 6, 12, 18 152-ФЗ

Формы контроля

• Позиция ведомства: Роскомнадзор проводит мероприятия без взаимодействия, с взаимодействием и обязательные профилактические визиты.

• Практический вывод: Учитывать все формы контроля при подготовке к проверкам.

• Нормативная основа: 248-ФЗ

План проверок

• Позиция ведомства: По словам представителя ведомства, операторы не включены в план проверок на 2026 год; готовится план на 2027 год.

• Практический вывод: Проверить включение организации в план контрольных мероприятий на 2027 год.

• Нормативная основа: 248-ФЗ

Проверочный лист

• Позиция ведомства: Для подготовки к проверке применяется проверочный лист Роскомнадзора.

• Практический вывод: Провести внутреннюю проверку по проверочному листу.

• Нормативная основа: Приказ Роскомнадзора № 253 от 24.12.2021; 248-ФЗ; ПП РФ № 1046

Профилактические визиты

Позиция ведомства: От обязательного профилактического визита, включённого в программу, отказаться нельзя. Для отдельных организаций предусмотрен инициативный визит.

Практический вывод: Проверить включение организации в программу; при необходимости направить обращение об инициативном визите.

Нормативная основа: 248-ФЗ