Дата актуализации: 04 июля 2026 г.
Кто такие «независимые эксперты» в контексте 152-ФЗ
Согласно Федеральному закону № 152-ФЗ «О персональных данных»‚ независимые эксперты — это физические или юридические лица‚ которые:
- Проводят независимую экспертизу‚ оценку‚ аудит или расследование;
- Не являются государственными органами;
- Действуют на основании гражданско-правового договора с заказчиком;
- Получают доступ к персональным данным третьих лиц в рамках оказания профессиональных услуг.
Что считается «персональными данными» экспертов и их клиентов
В 2026 году к ПД относятся:
- Обычные данные: Ф. И. О.‚ паспортные данные‚ адрес‚ телефон‚ e-mail‚ СНИЛС‚ ИНН.
- Биометрия: фотографии‚ голосовые записи‚ образцы почерка‚ поведенческие метрики.
- Профессиональная информация: аттестаты‚ дипломы‚ членство в СРО‚ отзывы заказчиков.
- Метаданные: IP-адрес‚ геолокация‚ cookies‚ логи доступа к информационным системам.
Важно: даже открытые профили в LinkedIn или Telegram-чатах могут содержать персональные данные‚ если позволяют идентифицировать конкретное лицо (утверждение Роскомнадзора от ).
Основные нормативные акты
| Акт | Роль для эксперта |
|---|---|
| 152-ФЗ «О персональных данных» | Устанавливает правила обработки‚ хранения и передачи ПД |
| 149-ФЗ «Об информации…» | Регламентирует информационные ресурсы и блокировку данных |
| УК РФ ст. 272.1 | Уголовная ответственность за незаконные действия с ПД (до 6 лет лишения свободы) |
| Методические рекомендации Роскомнадзора от | Требования к ИСПДн и категорированию объектов |
Как эксперту обеспечить законность обработки
4.1 Получение согласия
- Форма: письменное или электронное (Simple Electronic Signature по 63-ФЗ).
- Минимальный набор пунктов: цель‚ состав‚ способ обработки‚ срок хранения‚ порядок отзыва.
- Лучшая практика: отдельный бланк согласия под каждый проект с приложением типового Положения о конфиденциальности.
4.2 Регистрация в Роскомнадзоре
Обязательно‚ если:
- Обработка осуществляется систематически;
- Категория ПД — специальная или биометрическая;
- Используются международные каналы передачи (в т. ч. облачные сервисы за пределами РФ).
Срок подачи уведомления — не позднее 10 рабочих дней до начала обработки.
4.3 Организация ИСПДн
| Мероприятие | Рекомендация |
|---|---|
| Категорирование | Классифицируйте ИС как К1/К2/К3 по методике ФСТЭК; минимум — К3. |
| Криптография | Шифрование rest (AES-256) и in-transit (TLS 1.3). |
| Аудит | Ежегодное внешнее тестирование на соответствие требованиям безопасности. |
Права субъектов ПД и обязанности эксперта
Права субъекта:
- Получить копию своих ПД (бесплатно в течение 30 дней).
- Требовать уточнения‚ блокировки‚ уничтожения.
- Подать жалобу в Роскомнадзор или суд.
Обязанности эксперта:
- Ответить на запрос в течение 7 рабочих дней.
- Обеспечить процедуру удаления («право на забвение») в течение 30 дней.
- Вести журнал учета обращений субъектов не менее 5 лет.
Распространение ПД в чатах и соцсетях
Пример из практики: в феврале 2026 г. московская компания была оштрафована на 200 000 ₽ за публикацию скриншотов переписки с экспертом-аутсорсером в корпоративном Telegram-чате без согласия автора.
Правило: любые сообщения‚ фото‚ аудио‚ которые идентифицируют человека‚ — это ПД. Даже в закрытом чате требуется согласие всех субъектов.
Ответственность за нарушения
| Вид ответственности | Размер штрафа / санкция |
|---|---|
| Административная (ст. 13.11 КоАП) | от 30 000 до 300 000 ₽ для ИП; до 500 000 ₽ для юрлиц |
| Уголовная (ст. 272.1 УК РФ) | до 6 лет лишения свободы + запрет заниматься деятельностью |
| Гражданско-правовая | Возмещение убытков и морального вреда |
Пошаговый чек-лист для эксперта
- Провести аудит всех источников ПД (жёсткие диски‚ e-mail‚ облака).
- Составить и утвердить Положение об обработке ПД (политика конфиденциальности).
- Разработать форму согласия субъекта (шаблон в Приложении 1).
- Определить категорию обрабатываемых данных и необходимость уведомления Роскомнадзора.
- Внедрить технические меры: шифрование‚ резервные копии‚ разграничение прав доступа.
- Обучить персонал (курсы «Конфиденциальность 152-ФЗ» 16 ак. ч.).
- Ежеквартально проводить контрольные проверки и акты обработки ПД.
Перспективы до 2027 года
В Госдуме уже обсуждаются поправки‚ которые:
- Введут обязательное страхование ответственности операторов ПД;
- Расширят перечень специальных категорий ПД (включая генетические данные);
- Обяжут экспортёров услуг хранить ПД только на территории РФ.