Что считается персональными данными, какие согласия нужны, где их можно хранить, что меняется при передаче данных подрядчику и во что обходятся нарушения.
Как только в системе появляются имя, телефон или запись разговора, компания становится оператором персональных данных со всеми обязанностями. Это не повод отказываться от автоматизации, но повод выстроить её правильно с первого дня.
Раздел объясняет требования человеческим языком: какие документы нужны, что писать в согласии, как оформить отношения с подрядчиком и что делать при утечке.
Сотрудник вставил выгрузку клиентов в чат с моделью, чтобы быстрее сделать отчёт. Разбираем это действие по составу, показываем матрицу «данные × сервис» на 12 строк и считаем, во что обходится корпоративный шлюз на 20 человек против одного разбирательства. По состоянию на сентябрь 2026 года.
ПравоДокумент, который подписывают до выдачи первого доступа, а не по итогам проекта. Разбираем механику части 3 статьи 6 152-ФЗ, восемь обязательных пунктов с формулировками-пустышками и рабочими, и считаем, во что обходится инцидент у подрядчика, если поручения нет. По состоянию на сентябрь 2026 года.
ПравоПолная карта обязанностей по 152-ФЗ, разложенная на две колонки: что закрывается документами и что — настройкой систем. С модельной сметой на компанию в 45 человек и честной границей, за которой нужен юрист. По состоянию на сентябрь 2026 года.
Раздел выходит частями. Ниже — темы, которые уже расписаны и ждут очереди. Если нужен ответ по одной из них прямо сейчас — напишите нам, разберём вашу ситуацию отдельно и без ожидания.
Спор «телефон без фамилии — это ПД или нет» тянется годами, и практика Роскомнадзора отвечает на него иначе, чем бытовая логика. Разбираем 14 типов данных, которые реально лежат в системах малого бизнеса, и для каждого даём вердикт с обоснованием и с оговоркой, где вердикт неустойчив.
Большинство компаний считает, что уведомление их не касается, потому что «мы обрабатываем только своих сотрудников» — исключение, которое перестало работать. Даём пошаговый разбор подачи и, что важнее, разбор полей, в которых чаще всего пишут лишнее и потом не могут это исполнить.
Согласие ломается не текстом, а хранением: компания собрала галочки на сайте, а доказать по конкретному клиенту, что и когда он подтвердил, не может. Разбираем инженерную часть — какие поля логировать в момент согласия, чтобы через два года это выглядело как доказательство, а не как утверждение.
Требование о локализации читают как «всё должно лежать в России», и на этом основании отказываются от рабочих инструментов. На самом деле норма говорит про первичную запись и накопление — разбираем, что это значит для облачной CRM, сервиса рассылок и аналитики, и где начинается реальное нарушение.
Клиника, салон и фитнес-клуб собирают данные о здоровье, даже когда думают, что просто ведут карточку клиента. Разбираем, что переводит обычную базу в разряд специальных категорий, чем это утяжеляет требования и почему «фото в анкете» и «биометрия» — не одно и то же.
Фраза «разговор может быть записан» звучит у всех, но юридически работает не сама фраза, а момент её произнесения и то, что происходит дальше. Разбираем механику согласия конклюдентными действиями и отдельно — исходящий обзвон, где схема ломается.
Камера в торговом зале и камера, распознающая лица, живут по разным правилам, хотя выглядят одинаково. Показываем, где проходит граница между обычным видеонаблюдением и обработкой биометрии, и что в проекте видеоаналитики нужно оформить до запуска.
«Поставим модель на свой сервер и вопрос с 152-ФЗ закрыт» — самая частая иллюзия при выборе архитектуры. Разбираем по пунктам, что локальный контур действительно снимает, а что остаётся: логи промптов, векторное хранилище, доступы разработчиков, выгрузки для дообучения.
Трансграничная передача начинается не тогда, когда вы что-то экспортируете, а когда данные технически оказываются на зарубежном сервере — например, в аналитике или в сервисе рассылок. Показываем, как обнаружить такую передачу у себя и какой порядок действует до её начала.
Требование удалить данные разбивается о резервные копии и о бухгалтерию: технически удалить всё нельзя, а отказать целиком неправильно. Даём рабочую процедуру, где чётко разделено то, что удаляется, то, что обезличивается, и то, что остаётся по требованию других законов.
«Храним, пока не удалим» — позиция, которая не проходит ни одну проверку и одновременно раздувает базу. Показываем, как вывести срок из цели обработки, и даём таблицу ориентиров по типам данных с указанием, откуда берётся каждый срок.
Часы после обнаружения утечки решают, будет ли это инцидентом или делом: закон даёт 24 часа на первое уведомление и 72 на результаты расследования. Даём готовую последовательность действий на эти трое суток и список того, что нужно подготовить заранее, потому что в момент инцидента собрать это уже не успеть.
Резонансные суммы касаются крупных утечек, а малый бизнес штрафуют за другое — за формальные вещи, которые исправляются за неделю. Разбираем реальную структуру нарушений, показываем, что проверяют в первую очередь, и считаем стоимость приведения в порядок против стоимости штрафа.
Аудит обработки данных перед проектом занимает 3–5 рабочих дней и экономит переделки на этапе запуска, когда выясняется, что боевую базу нельзя отдать подрядчику. Даём последовательность из девяти шагов, которую компания может пройти своими силами, и отдельно — что делать с находками.
и ещё 1 тем в этом разделе
Опишите процесс словами, голосом или файлами — вернёмся с картой процесса, вариантом решения и предварительной вилкой бюджета. Бесплатно и без обязательств.
