Каждый день банки собирают, хранят, обрабатывают и передают миллионы записей о клиентах: паспортные данные, СНИЛС, доходы, кредитную историю, биометрию и даже голосовые записи кол-центра․ Всё это — персональные данные (ПДн), и ошибка в их квалификации может обернуться штрафом до 500 000 ₽ или уголовным делом․ Кто в банковской структуре должен решать, является ли конкретный массив информации ПДн? Ответ на этот вопрос содержится в требованиях ФЗ-152 «О персональных данных» и внутренних регламентах кредитных организаций․
Почему экспертиза ПДн важнее, чем кажется
От того, как банк классифицирует сведения, зависит:
- объём обязательств по защите (технические и организационные меры);
- необходимость получения согласия клиента;
- требования к трансграничной передаче;
- ответственность (административная или уголовная) при утечке․
Например, если номер карты клиента отнести к категории «не являются ПДн», банк может не применять криптографическую защиту на всём пути передачи․ При утечке такой информации регулятор посчитает это грубым нарушением и выпишет штраф до 150 000 ₽ на организацию и до 20 000 ₽ на должностное лицо․
Кто в банке принимает решение: распределение ролей
Единый подход: «Экспертный совет по ПДн»
Крупные банки (Сбер, ВТБ, Альфа-Банк) создают внутренний орган — Совет по защите персональных данных (DPO Board)․ В его состав входят:
- Data Protection Officer (DPO) — главный специалист по защите данных (обязан в организациях, обрабатывающих более 100 000 субъектов);
- Представитель службы информационной безопасности (CISO)․
- Юрист отдела правового обеспечения․
- Руководитель направления рисков (CRO)․
Именно этот совет согласует и утверждает экспертное заключение о персональном характере сведений․ Документ подписывает DPO и хранится минимум 5 лет для предъявления Роскомнадзору․
Средние и малые банки
Если штат меньше 500 человек, функции DPO может исполнять:
- руководитель службы комплаенса;
- главный аналитик ИТ-департамента, сертифицированный по ISO 27001;
- внешний консультант (аудитор или юридическая фирма), привлечённый по договору NDA;
Пошаговая процедура экспертизы
Шаг 1․ Инициация запроса
Любой отдел (кредитный, маркетинговый, кол-центр) подаёт запрос-форму, где описывает:
- назначение сведений;
- источник получения;
- объём и формат хранения․
Шаг 2․ Анализ признаков ПДн
Эксперт (DPO) проверяет, позволяют ли сведения идентифицировать физлицо прямо или косвенно․ Он опирается на:
- определение ст․ 3 ФЗ-152;
- постановление Пленума ВС РФ № 25 от ;
- методические рекомендации Роскомнадзора (2025 г․)․
Шаг 3․ Классификация по категориям
Данные разбиваются на:
- общедоступные (не ПДн);
- биометрические;
- специальные (здоровье, религия);
- публично доступные, но требующие защиты (телефон, e-mail)․
Шаг 4․ Оформление заключения
Формируется акт экспертизы с указанием:
- даты и номера;
- ФИО эксперта;
- перечень проверенных сведений;
- обоснование вывода;
- личная подпись и печать банка․
Нормативное подтверждение компетенции
В ст․ 18․1 ФЗ-152 прямо сказано: «Оператор обязан назначить ответственное лицо, организующее обработку и защиту ПДн»․ В банковской отрасли ответственным лицом признаётся DPO или его заместитель (подп․ 3 Письма ЦБ РФ № 06-52/2019 от )․
Кроме того, Инструкция Банка России № 181-И требует:
- включать решения об отнесении сведений к ПДн в политику управления информационными рисками;
- ежегодно обновлять классификатор типов ПДн;
- публиковать на сайте банка информацию о DPO и порядке обращений клиентов․
Что делать, если компетенция не определена
Если в банке отсутствует назначенный DPO или совет по ПДн, Роскомнадзор может:
- выписать предписение в течение 30 дней;
- начать административное разбирательство по ч․ 4 ст․ 13․11 КоАП РФ (штраф 50 000–100 000 ₽ на ИП и 300 000–500 000 ₽ на организацию);
- инициировать проверку совместно с ЦБ РФ, что грозит отзывом лицензии (ст․ 75 Закона «О ЦБ РФ»)․
Практические советы банкам и их сотрудникам
- Назначьте DPO официальным приказом и включите его в должностную инструкцию․
- Создайте единый реестр типов ПДн, используемых в каждом продукте (ипотека, кредитная карта, инвестиции)․
- Обучайте сотрудников по программе «Анти-ФЗ-152» не реже 1 раза в год․
- Храните экспертные заключения минимум 5 лет в электронном виде с ЭЦП․
- Подключите внешнюю проверку (pen-test + аудит DLP-системы) не реже 1 раза в 2 года․
Экспертиза отнесения сведений к категории ПДн в банке — прерогатива назначенного ответственного лица (DPO), подтверждённого внутренним регламентом и нормативными актами Банка России и ФЗ-152․ Без чёткого распределения ролей любая проверка Роскомнадзора или ЦБ РФ рискует выявить «серую зону», где данные считаются «не ПДн», а фактически требуют защиты․ Чтобы не оказаться в числе 65 % проверенных, у которых нашли нарушения, закрепите компетенцию на уровне приказа, обучите персонал и ведите актуальный реестр типов персональных данных․