С той стороны стола, где отвечают
В профессию приходят с обывательским представлением о персональных данных: есть закон, есть штрафы, есть новости про утечки. Этого достаточно, чтобы бояться, и недостаточно, чтобы работать. Работа начинается с другого вопроса — чем ваша компания является в терминах закона и что из этого следует.
Каталог уже смотрит на персональные данные глазами человека, чьи данные обрабатывают: что о нём хранят, куда пожаловаться, что делать при утечке. Здесь мы садимся с другой стороны стола. Туда, где описывают процессы обработки, читают договоры с подрядчиками, объясняют коллегам, почему нельзя просить скан паспорта «на всякий случай», и готовятся к вниманию Роскомнадзора.
Четырнадцать тем ставят понятийный каркас: что закон считает данными, что считает обработкой, кто здесь кто, чем ваша компания отличается от подрядчика, какие бывают категории данных и какие принципы действуют всегда — независимо от того, на каком основании вы обрабатываете.
- Проверять свои массивы на определяемость, а не сверяться со списком «паспорт, СНИЛС, адрес»
- Понимать, почему «мы данные не обрабатываем, просто храним» — юридически пустая фраза
- Различать оператора и лицо, которое обрабатывает данные по поручению, по критерию «кто определяет цели и способы»
- Знать, что подписанное поручение не переносит ответственность перед человеком на подрядчика
- Определять категорию данных как развилку правового режима, а не как строчку в перечне
- Проверять любой процесс обработки на принципы статьи 5, включая минимизацию
Она не приведёт компанию в соответствие. Соответствие собирается из одиннадцати следующих тем плана профессии: основания и согласие, комплект документов оператора, уведомление Роскомнадзора, запросы субъектов, протокол утечки, карта штрафов, биометрия, трансграничная передача, данные работников, сайт и аудит. Плюс техническая защита информации, которая вообще за рамками этой профессии.
Правило лекции: назвать и передать дальше. Там, где начинается предмет отдельной темы, здесь будет названа норма и поставлена точка. Это карта, а не руководство по внедрению.
Каркас — это не теория, это бюджет
Разговор о понятиях легко списать в теорию. Поэтому начнём с конца — с того, во что обходится неточность в понятиях. С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП, введённая законом 420-ФЗ от 30.11.2024, и суммы там перестали быть символическими.
| Состав | Для организаций и ИП |
|---|---|
| Общий состав, часть 1 | 150 000 – 300 000 ₽, повторно 300 000 – 500 000 ₽ |
| Неуведомление Роскомнадзора о намерении обрабатывать данные | 100 000 – 300 000 ₽ |
| Неуведомление об установленном факте утечки | 1 – 3 млн ₽ |
| Утечка — сумма растёт с числом пострадавших | от 3 до 15 млн ₽ |
| Повторная утечка, оборотный штраф (часть 15) | 1–3 % годовой выручки за предшествующий год, верхняя граница 500 млн ₽ |
Для банков оборотный штраф считается не от выручки, а от размера собственных средств. А привычка «оплатим в двадцать дней со скидкой» здесь не работает вовсе.
Льгота за быструю оплату не распространяется ни на один состав статьи 13.11. Выписанная сумма — это и есть сумма к уплате.
Обратите внимание на вторую строку таблицы. Дороже всего стоит не сложное нарушение с шифрованием и утечками, а простое молчание: компания начала обрабатывать данные и не сказала об этом регулятору. Это ошибка не техническая, а понятийная — люди просто не считают себя оператором.
Масштаб надзора соразмерен: в реестре Роскомнадзора около 950 тысяч операторов, а за 2025 год и I квартал 2026 года регулятор получил 101 004 обращения граждан на действия операторов. Кандидатов на проверку отбирают по риск-ориентированной модели — операторы разнесены по группам тяжести потенциального вреда, и от группы зависит частота внимания. Регламент проверок задан постановлением Правительства РФ от 29.06.2021 № 1046.
Полная карта составов КоАП и статья 272.1 УК — предмет отдельной лекции плана. Здесь нужен один якорь: верхняя граница оборотного штрафа и понимание, что молчание стоит дороже, чем кажется.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.