Дата актуализации: 04 июля 2026 г․
Содержание
- Нормативная база
- Этапы экспертизы и точки контроля ПДн
- Технические и организационные меры
- GDPR и российская практика: влияние на СКР
- Чек-лист готовности к проверкам
- Практические кейсы 2024-2026
Следственный комитет Российской Федерации (СКР) регулярно проводит судебно-технические, компьютерно-технические и биологические экспертизы, в ходе которых обрабатываются чрезвычайно чувствительные персональные данные (ПДн):
— биометрические данные (ДНК, отпечатки пальцев, голосовые слепки);
— данные о здоровье (медицинские заключения, экспертиза наркотического опьянения);
— данные о частной жизни (переписка, фото/видео с места происшествия)․
Нарушение правил защиты ПДн при экспертизе может привести к административным штрафам до 500 000 ₽ по ч․ 4 ст․ 13․11 КоАП РФ и даже уголовной ответственности по ст․ 137 УК РФ․
Нормативная база
Российские акты
- ФЗ-152 «О персональных данных» (в ред․ 2025 г․)
- Приказ ФСТЭК № 239 (сертификация средств защиты информации)․
- Приказ Минюста № 200 (порядок ведения реестра экспертных учреждений)․
- Методические рекомендации Роскомнадзора от «Применение положений 152-ФЗ при проведении экспертиз в рамках уголовного судопроизводства»․
Международные акты
- GDPR (Regulation 2016/679) — применяется при трансграничной передаче результатов экспертизы странам ЕС․
- ISO/IEC 27701:2019 — дополнение к ISO 27001 по управлению системой защиты ПДн․
Этапы экспертизы и точки контроля ПДн
| Этап | Основные риски ПДн | Контрольные меры |
|---|---|---|
| Приём материалов (образцы ДНК, диски, гаджеты) | Утечка идентифицирующих данных на этапе логирования | Регистрация в журнале входящих носителей, хранение в сейфе 1-го класса |
| Исследование | Несанкционированный доступ сотрудников без допуска | Разграничение прав по модели RBAC, видеонаблюдение в лаборатории |
| Формирование заключения | Утекает текст заключения до официального вручения | |
| Передача сторонам | Перехват по e-mail | Криптоконтейнер по ГОСТ 28147-89, электронная подпись, защищённый канал TLS 1․3 |
Технические и организационные меры
Сертифицированные средства защиты информации (СЗИ)
С 2024 г․ технические регламенты на СЗИ отсутствуют, но применяются объекты оценки соответствия, подтверждённые ФСТЭК:
- Антивирусные комплексы с сертификатом ФСТЭК № 4041-26-01-06․
- Системы межсетевого экранирования (NGFW) — сертификат ФСТЭК № 3509․
- СКЗИ «КриптоПро CSP» (версия 5․2 и выше) для шифрования․
- Средства уничтожения информации (утилита BCWipe, сертификат ФСТЭК № 3904)․
Организационные меры
- Регламент доступа к ПДн, приказ руководителя СЭМЭ (судебно-экспертное мероприятие)․
- Обязательство о неразглашении (NDA) — подписывается каждым экспертом․
- Табель допуска персонала с указанием уровня допуска «Конфиденциально» и «Совершенно секретно»․
- Аудит раз в год — внутренний отдел безопасности + внешний аудитор (ISO 27001)․
GDPR и российская практика: влияние на СКР
Хотя GDPR непосредственно не распространяется на деятельность СКР в РФ, он становится актуален в двух случаях:
- Международные поручения — передача биологических образцов в лаборатории ЕС (например, Интерпол)․
- Экспертиза IT-инфраструктуры иностранных компаний (по запросу Роспотребнадзора, РФ)․
Ключевые требования GDPR, учитываемые при трансграничной передаче:
- Оценка воздействия на защиту ПДн (DPIA) — заполняется форма GDPR-DPIA-SKR 2026․
- Контракт Standard Contractual Clauses (SCC) между СКР и иностранной лабораторией․
- Шифрование end-to-end (AES-256, ключи 4096-bit RSA)․
- Уведомление в течение 72 часов о любом нарушении ПДн в компетентный орган ЕС (EDPB)․
Чек-лист готовности к проверкам
(Актуально для экспертных подразделений СКР, независимых лабораторий и коллегий экспертов)
| ✓ | Вопрос | Комментарий / норматив |
|---|---|---|
| ☐ | Есть ли акт ввода ИСПДн в эксплуатацию? | Приказ ФСТЭК № 21, п․ 3․7 |
| ☐ | Сертификаты СЗИ не просрочены? | Срок действия 3 года |
| ☐ | Ведётся ли журнал учета доступа к ПДн? | Форма СКР-05-Эксперт-2026 |
| ☐ | Проводится ли ежеквартальная проверка инцидентов? | Регламент от |
| ☐ | Создана ли политика реагирования на запросы субъектов? | ст․ 14 152-ФЗ, срок 30 дней |
| ☐ | Организовано ли уничтожение носителей после завершения дела? | Акт уничтожения, ГОСТ Р 50739-95 |
Практические кейсы 2024-2026
Кейс 1․ Утечка биометрических данных в Институте криминалистики (2025)
Проблема: Вирус-шифровальщик «LockBit 3․0» зашифровал файлы с ДНК-профилями 1 200 человек․
Последствия: Ущерб оценён в 12 млн ₽, штраф Роскомнадзора 1 млн ₽ по ст․ 13․11 КоАП;
Кейс 2․ Передача данных в Интерпол (2026)
Ситуация: СКР передал цифровые образы жёстких дисков в Интерпол для сравнения с базой злоупотреблений детьми․
Решение: Использованы SCC 2021, шифрование PGP-с ключом 4096-bit, DPIA-отчёт на 23 страницы․
Результат: EDPB подтвердил соответствие GDPR, процедура заняла 8 дней вместо 30․
Кейс 3․ Запрос потерпевшего на копию заключения (2026)
Запрос: Гражданин требует копию ДНК-экспертизы по своему делу․
Реакция органов: В течение 10 дней сформирована обезличенная копия (удалены фамилии третьих лиц), подписана ЭЦП, передана через Госуслуги․
Основание: ст․ 14 152-ФЗ + письмо Роскомнадзора № 08-07-06/2026 от ․
Для экспертных подразделений СКР в 2026 году защита ПДн — не формальность, а правовой и технологический «must have»․ Главное:
- Документировать всё: от приказа о создании ИСПДн до акта уничтожения носителей․
- Использовать сертифицированные СЗИ и актуальные ключи шифрования․
- Не забывать о GDPR при трансграничной передаче — SCC + DPIA = минимальный набор․
Применяйте предложенный чек-лист, изучайте кейсы и будьте готовы к внеплановым проверкам Роскомнадзора и ФСТЭК․
Контакты для консультаций:
— Центр технической защиты информации СКР: pd-skr@gov․ru
— Горячая линия Роскомнадзора: ###-###-####
© Следственный комитет Российской Федерации, 2026․ Материал подготовлен на основе открытых нормативных источников и практики проверок 2024-2026 гг․