Лекция

Где в компании на самом деле лежат персональные данные

Строка «Иванов, телефон, паспорт» существует в компании не в одном экземпляре. Она лежит в боевой базе, в бэкапе прошлой недели, в снапшоте, снятом в ночное окно и забытом, в копии базы на тестовом стенде, в логе, куда параметр запроса попал вместе с телефоном, в выгрузке для отчёта на файловой шаре, в почтовом ящике уволившегося менеджера и в дампе, приложенном к задаче полгода назад. Каждое из этих мест закон оценивает отдельно.

Эта лекция — инвентаризационная. Она отвечает на один вопрос: в скольких местах внутри вашего периметра лежат копии одних и тех же персональных данных, какие из этих мест 152-ФЗ считает информационной системой персональных данных и что администратор обязан с каждым из них сделать.

6 месяцев
предельный срок уничтожения данных, заблокированных по ч. 6 ст. 21 152-ФЗ
24 часа
на уведомление Роскомнадзора об инциденте с момента его выявления
1–3 млн ₽
штраф юрлицу за молчание об утечке — независимо от её размера

Последняя цифра — самая недооценённая. Санкция за несданное уведомление не зависит от того, утекли двести записей или двести тысяч.

Чего в этой лекции нет

Не про то, в какой стране стоит база, и не про локализацию — это отдельная тема. Не про процедуру проверки Роскомнадзора. Не про бумажный комплект оператора: политику, приказы, номенклатуру дел. Не про уголовную квалификацию действий администратора. И не инструкция по настройке конкретных средств защиты и СУБД: лекция про то, что искать и почему, а не про команды.

Примеры взяты из работы системного администратора: развёртывание стенда перед релизом, восстановление из бэкапа по заявке, диск в ремонте, чистка ящиков после волны увольнений, отладочное логирование «на час, поймать баг», заявка «дайте дамп прода, на синтетике не воспроизводится», переезд файловой шары, подключение нового внешнего сервиса по просьбе отдела.

Все нормы, суммы и сроки приведены по состоянию на 23 сентября 2026 года.

Тема 1 из 18 · Что закон считает местом хранения

Вопрос не в том, есть ли у вас персональные данные

Вопрос «обрабатываем ли мы персональные данные» почти всегда решается за секунду: да. Полезный вопрос другой — в скольких местах лежит копия и какие из этих мест закон считает системой.

Три определения, от которых всё зависит

Статья 3 152-ФЗ, редакция на 23.09.2026.

Что считается персональными данными

п. 1. Персональные данные — «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».

Закрытого перечня полей нет. Работает признак определяемости: таблица без фамилий, но с внутренним идентификатором, городом и датой рождения относится к определяемому лицу.

Что считается обработкой

п. 3. Обработка — «любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных».

Просто лежащая копия — уже обработка. Никто в неё не ходит, никто из неё не читает: перечисление в п. 3 называет хранение отдельным действием.

Что считается информационной системой

п. 10. Информационная система персональных данных — «совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств».

Два слагаемых: данные в базе и техника, которая их обрабатывает. Больше условий нет — ни промышленной эксплуатации, ни пользователей, ни назначения контура.

Что из этого следует прямо, без натяжки

  1. Тестовый стенд с копией боевой базы подпадает под п. 10 целиком. Отдельного режима для тестовых систем 152-ФЗ не знает.
  2. Удаление строки из боевой таблицы не равно уничтожению, если содержание восстанавливается из бэкапа, реплики, снапшота или архива.
  3. Маскирование с сохранённой таблицей соответствия обезличиванием не является — для того, кто этой таблицей располагает.

Каждый из трёх пунктов раскрывается дальше отдельной темой. Пока важно другое: ни один из них не требует натяжки или экспертного толкования. Всё это читается прямо из статьи 3.

На тестовом стенде развёрнута копия боевой базы клиентов. Стенд работает три недели, пользователей у него нет — только два разработчика. Что это с точки зрения 152-ФЗ?
Пункт 10 статьи 3 описывает ИСПДн как совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку технических средств. Копия базы плюс сервер стенда подпадают под определение целиком. Числа пользователей и назначения контура в определении нет, а хранение само по себе названо обработкой в п. 3.
В таблице нет ни фамилий, ни паспортов — только внутренний номер, город и дата рождения. Администратор считает, что персональных данных в ней нет. Где ошибка?
Определение построено не на перечне полей, а на признаке определяемости: «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». Набор из номера, города и даты рождения к такому лицу относится.
Что из перечисленного п. 3 ст. 3 прямо называет обработкой персональных данных?
Пункт 3 перечисляет действия через запятую и отдельно оговаривает, что обработкой считаются действия как с использованием средств автоматизации, так и без них. Обезличивание в этом перечне стоит наравне с хранением — оно не выводит данные из-под закона, а является ещё одной операцией с ними.
Бесплатный доступ

Дальше нужен аккаунт

Прогресс и монеты сохранятся.