Лекция «Где в компании на самом деле лежат персональные данные»

Около 65 минут на 18 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 50 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Восемнадцать тем об инвентаризации мест хранения персональных данных внутри периметра. Начало — три определения статьи 3 152-ФЗ, из которых всё следует: персональные данные определяются признаком определяемости, а не перечнем полей; хранение копии само по себе является обработкой; информационной системой персональных данных признаётся совокупность данных в базе и обрабатывающих их технических средств, без оговорок про назначение контура. Дальше — обязанность определить для каждой цели перечень, сроки и порядок уничтожения по пункту 2 части 1 статьи 18.1 и контроль не реже одного раза в три года по пункту 17 ПП РФ № 1119. Ядро лекции — разбор мест, где копии заводятся сами: тестовый стенд, для которого уровень защищённости считается от категорий и числа субъектов, а не от назначения, и исключения в ПП № 1119 нет; обезличивание против маскирования с сохранённой таблицей соответствия, которое условию пункта 9 статьи 3 не отвечает; бэкапы, ломающие критерий уничтожения из пункта 8 статьи 3, и законный механизм части 6 статьи 21 — блокирование с предельным сроком в шесть месяцев; подтверждение уничтожения по приказу Роскомнадзора от 28.10.2022 № 179, где при автоматизированной обработке требуются два документа — акт и выгрузка из журнала регистрации событий, оба хранятся три года; журналы и трассировки как место хранения и одновременно единственный источник этой выгрузки; файловые шары, дампы в задачах и репозитории; почтовые ящики уволившихся и тридцать дней части 4 статьи 21; машинные носители в ремонте и на списании и хранилище образов виртуальной инфраструктуры, названное объектом защиты в пункте 8.11 приказа ФСТЭК № 21; подрядчики и внешние сервисы, где договор перераспределяет убытки, но ответственность перед субъектом по части 5 статьи 6 остаётся у оператора. Регуляторная часть: изменение сведений реестра операторов со сроком до 15-го числа следующего месяца и штрафом 100–300 тысяч рублей за молчание; порядок уведомления об инциденте — 24 и 72 часа, и почему обычному оператору хватает одной формы на сайте Роскомнадзора; суммы статьи 13.11 КоАП после 420-ФЗ с порогами от 1 000 субъектов и оборотным штрафом только за повтор; расхождение статистики Роскомнадзора и ЭАЦ ГК InfoWatch за 2025 год — 118 инцидентов против 739 — и причина этого расхождения. Финал — порядок первых суток инцидента и шесть вопросов, которые задаются каждому месту хранения. Все нормы, суммы и сроки приведены по состоянию на 23 сентября 2026 года.

Сама по себе копия нарушением не является — нарушением является копия, к которой не применены те же требования, что к боевой системе. Пункт 10 статьи 3 признаёт стенд информационной системой персональных данных, а пункты 9–12 ПП РФ № 1119 считают уровень защищённости от категории данных и числа субъектов; и то и другое у копии совпадает с оригиналом, а исключения для тестовых систем постановление не содержит. Практически чаще всего проваливается подпункт «в» пункта 13: доступ на стенде шире боевого и не описан утверждённым руководителем перечнем лиц. Два законных выхода: либо обеспечить стенду тот же уровень защищённости и утверждённый перечень доступа, либо наполнить его синтетическими данными, для которых не существует обратного преобразования к реальным субъектам. Замена фамилий на псевдонимы при сохранённой таблице соответствия третьим выходом не является: пункт 9 статьи 3 требует невозможности определить принадлежность именно без использования дополнительной информации.

Придётся либо сокращать, либо находить федеральный закон, который эту глубину требует. Логика такая: уничтожением по пункту 8 статьи 3 считается только невозможность восстановить содержание, а живой бэкап её не даёт, поэтому удаление записи в боевой базе обязанность не закрывает. Часть 6 статьи 21 даёт законный обход — если уничтожить в основной срок технически невозможно, данные блокируются, а уничтожаются в срок не более шести месяцев, если иной срок не установлен федеральными законами. Годовая глубина хранения делает исполнение этой нормы невозможным в принципе: заблокированная запись переживёт предельный срок. Вопросы числа копий, целевых показателей восстановления и регулярности проверки восстановления к этому отношения не имеют и разбираются отдельно — здесь бэкап интересен только как место, где данные переживают собственное уничтожение.

Наоборот: молчание — единственная санкция, которая не зависит от размера утечки. Часть 11 статьи 13.11 КоАП за неуведомление либо несвоевременное уведомление об инциденте даёт юридическому лицу от 1 до 3 млн рублей, а пороги частей 12–14, по которым назначают от 3 до 15 млн, начинаются от 1 000 субъектов и (или) 10 000 идентификаторов. Утечка на несколько сотен записей под эти части не подпадает, а несданное в 24 часа уведомление — подпадает под часть 11 полностью. Добавьте к этому, что сведения реестра операторов, кроме сведений о средствах защиты, общедоступны, а за январь–апрель 2025 года из 30 зафиксированных инцидентов в 29 случаях компании уведомили регулятора самостоятельно. Экономия здесь отрицательная.