Вопросы и ответы
99 вопросов о персональных данных для ИТ-руководителей, специалистов по безопасности и разработчиков. В каждом ответе указаны статьи норм, источники и практические шаги.
152-ФЗ187-ФЗ323-ФЗ572-ФЗ
Основы работы с ПДн
Что относится к персональным данным, кто является оператором и когда обработка возможна без согласия. Основные понятия с примерами.
- Какая информация относится к персональным данным?
- Кто считается оператором персональных данных?
- Можно ли обрабатывать персональные данные без согласия?
Согласия
Отдельное согласие, галочка на сайте и отзыв согласия. Как определить форму, сохранить доказательства и проверить другие основания обработки.
- Нужно ли оформлять согласие отдельно от договора и других документов?
- Достаточно ли галочки на сайте для согласия на обработку данных?
- Что делать, если человек отозвал согласие?
Уведомления Роскомнадзора
Когда требуется уведомление, какие исключения проверить и как сообщать об изменениях. Порядок действий и ссылки на нормы.
- Когда нужно уведомить Роскомнадзор об обработке персональных данных?
- Нужно ли уведомление, если компания обрабатывает только данные работников?
- Как сообщать об изменении сведений в уведомлении Роскомнадзора?
Права субъектов и удаление
Как отвечать на запросы, прекращать обработку и подтверждать уничтожение. Условия, исключения и документы для проверки решения.
- Как ответить на запрос человека о его персональных данных?
- Нужно ли удалять все данные сразу после требования человека?
- Как подтвердить уничтожение персональных данных?
Сайт и онлайн сервисы
Политика обработки, cookies и локализация баз данных. Что проверить в формах, аналитике, инфраструктуре и подключенных сервисах.
- Какая политика обработки персональных данных нужна сайту?
- Всегда ли cookies относятся к персональным данным?
- Достаточно ли российского сервера для соблюдения локализации?
Эксплуатация и разработка
Как работать с персональными данными в логах, тестовых средах, резервных копиях и ИИ-сервисах. Ответы для ИТ и ИБ со ссылками на нормы.
- Можно ли записывать персональные данные в технические логи?
- Можно ли использовать копию рабочей базы в тестовой среде?
- Что делать с персональными данными в резервных копиях после удаления?
- Как организовать доступ подрядчика к системе с персональными данными?
- Можно ли загружать документы с персональными данными в ИИ-сервис?
Защита и инциденты
Уровни защиты ИСПДн, модель угроз, HTTPS, проверка уязвимостей и уведомления об утечке. Условия применения и нормативные основания.
- Как определить уровень защищённости ИСПДн?
- Можно ли сделать модель угроз копированием списка из БДУ?
- Что делать при утечке персональных данных?
- Достаточно ли HTTPS для выполнения требований к защите персональных данных?
- Доказывает ли успешное сканирование уязвимостей соответствие 152-ФЗ?
Подрядчики и сотрудники
Поручение обработки, основания работы с данными сотрудников и размещение фотографий. Ответы с нормативными ссылками и условиями применения.
- Что включить в поручение обработки персональных данных подрядчику?
- Всегда ли нужно согласие работника на обработку его данных?
- Можно ли разместить фотографию сотрудника на сайте?
Специальные случаи
Как оценить иностранный сервис, обезличивание, сроки хранения и применимость КИИ. Разбираем факты, от которых зависит правовое решение.
- Можно ли передавать персональные данные иностранному сервису?
- Считается ли замена ФИО на идентификатор обезличиванием?
- Есть ли единый срок хранения всех персональных данных?
- Любая ИСПДн автоматически является объектом КИИ?
Спорт и физическая культура
Карта болельщика, стоп-листы, распознавание лиц, фитнес-клубы, медицинский допуск, антидопинг и дети-спортсмены. Разбор для ИТ и ИБ со ссылками на нормы.
- Кто и на каком основании обрабатывает данные болельщика при оформлении персонифицированной карты и продаже билетов на соревнования с обязательной идентификацией?
- Может ли стадион или клуб сверять зрителей со списком лиц, которым запрещено посещать соревнования, и вести собственный стоп-лист?
- Когда видеонаблюдение на стадионе становится обработкой биометрии и можно ли пускать зрителей по лицу?
- Может ли фитнес-клуб пускать клиентов по лицу или отпечатку и собирать анкету здоровья?
- Кто оператор медицинского заключения о допуске спортсмена и кто в клубе или спортшколе вправе его видеть?
- На каком основании данные спортсмена, включая сведения о местонахождении, передаются в РУСАДА и через АДАМС в ВАДА, и нужна ли процедура трансграничной передачи?
- Как спортшколе получать согласие за несовершеннолетнего спортсмена и публиковать его фото и результаты соревнований?
Здравоохранение
Согласия пациентов, подрядчики клиник, телемедицина, медосмотры работников, ДМС и ОМС, видеозапись, ИИ на медданных и запросы пациентов. Ссылки на 152-ФЗ и 323-ФЗ.
- Нужно ли клинике отдельное согласие пациента на обработку данных, если он подписал информированное добровольное согласие на медицинское вмешательство?
- Как законно передать медицинские данные подрядчику: облачной МИС, внешней лаборатории, колл-центру?
- Какие требования к персональным данным действуют при телемедицине: идентификация, запись видеоконсультаций, хранение?
- Какие сведения о здоровье работника вправе получать и хранить работодатель: медосмотры, больничные, медкнижки?
- Как законно обмениваться данными между клиникой, страховщиком ДМС и работодателем-страхователем и что меняется для ОМС?
- Можно ли вести видеонаблюдение и аудиозапись в медицинской организации и в кабинете врача?
- Можно ли использовать медицинские данные пациентов для обучения ИИ и что нужно для медицинского изделия с ИИ?
- Как отвечать на запрос пациента или его родственника о медицинских данных и в какие сроки?
Другие отрасли
Школы, банки и биометрия, рассылки, УК и домофоны, гостиницы, транспорт и такси, операторы связи, подбор персонала, скоринг и МФЦ. Ответы со ссылками на нормы.
- Может ли школа или вуз публиковать фото учеников и списки зачисленных и нужно ли согласие законных представителей?
- Может ли банк требовать биометрию для удалённой идентификации и сколько хранить данные идентификации?
- Какие согласия нужны ритейлеру для SMS-рассылок и обзвонов по программе лояльности и как обрабатывать отказ?
- Может ли управляющая компания без согласия передавать реестр собственников и ставить домофоны с распознаванием лиц?
- Нужно ли гостинице согласие гостя на копирование паспорта и передачу данных иностранца в МВД и сколько хранить анкеты?
- Какие данные пассажиров перевозчик обязан передавать в АЦБПДП, что обязана хранить служба заказа такси и нужно ли согласие?
- Как соотносятся тайна связи, обязанность хранить сведения о сообщениях и 152-ФЗ у оператора связи?
- Может ли работодатель запрашивать у кандидата справку о судимости и кредитный отчёт, брать резюме с сайтов вакансий и сколько хранить резюме отказников?
- Можно ли отказать в кредите или в приёме на работу исключительно по результату скоринга и как субъекту возразить?
- Нужно ли МФЦ или учреждению согласие заявителя и каким требованиям защиты должна соответствовать их ГИС?
Многосоставные случаи
Реорганизация, утечка у подрядчика КИИ, коллекторы, маркетплейсы, ИИ в клинике, ДНК-тесты, прокторинг, данные умерших, DLP, дети онлайн, удаление из поиска, геолокация, банкротство.
- Можно ли при реорганизации или продаже бизнеса передать базу клиентов и работников новому владельцу, нужно ли согласие и что делать с уведомлением в Роскомнадзор и ранее полученными согласиями?
- Облачный провайдер, обрабатывающий данные по поручению, допустил утечку данных клиентов банка или медицинской организации из значимого объекта КИИ. Кого, в каком порядке и в какие сроки нужно уведомить?
- Банк или МФО уступает просроченный потребительский долг коллекторскому агентству или привлекает его по агентскому договору. Что можно передать, нужно ли согласие должника и какие ограничения действуют на взаимодействие и раскрытие сведений?
- Кто на маркетплейсе является оператором данных покупателей после вступления в силу закона о платформенной экономике, и может ли платформа передавать продавцу контакты покупателя и использовать их для рассылок?
- Можно ли частной клинике запустить голосового ИИ-ассистента для записи на приём и предварительного опроса о симптомах, если он работает на зарубежной языковой модели?
- Как устроен правовой режим лаборатории или онлайн-сервиса ДНК-тестов и можно ли отправлять образцы и данные за рубеж?
- Что нужно учесть вузу или онлайн-школе при экзаменах с онлайн-прокторингом: видео, распознавание лица, запись экрана, анализ поведения?
- Человек умер. Кто и как может получить или удалить его данные в сервисах: аккаунт, переписка, медкарта, банковские сведения, и что делать оператору?
- Где граница допустимого контроля работодателя: DLP, запись экрана, проверка корпоративной почты и мессенджеров, кейлоггеры, в том числе для дистанционных работников и на личных устройствах?
- Онлайн-игра, образовательное приложение или соцсеть с детской аудиторией: кто даёт согласие на обработку данных, как проверять возраст, что с рекламой, персонализацией и маркировкой?
- Как добиться удаления информации о себе из базы оператора, со стороннего сайта и из поисковой выдачи?
- Отслеживание геолокации курьеров и водителей, телематика, видеорегистраторы с распознаванием усталости, тахографы: что обязательно, что допустимо и что с нерабочим временем и личными автомобилями?
- Сведения о банкротстве гражданина опубликованы в ЕФРСБ и «Коммерсанте». Можно ли требовать их удаления, вправе ли банки и скоринговые компании их использовать и сколько они хранятся?
HR и кадры
Резюме и анкеты кандидатов, копии документов, зарплатный проект, аутсорсинг, ЭДО, запросы госорганов, биометрия и видеонаблюдение, утечки, сроки хранения, ИИ в подборе, компенсация морального вреда, проверки ГИТ и РКН.
- Нужно ли согласие кандидата на обработку резюме, которое он сам прислал?
- Какие сведения можно спрашивать в анкете кандидата, а какие нельзя?
- Можно ли снимать и хранить копию паспорта, СНИЛС и диплома при приёме на работу?
- Можно ли запросить характеристику у прежнего работодателя и что тот вправе ответить?
- Сколько хранить резюме и анкеты тех, кого не взяли на работу: 30 дней или год?
- Нужно ли согласие работника на передачу его данных в банк по зарплатному проекту?
- Можно ли без согласия работников передать кадровый учёт и расчёт зарплаты на аутсорсинг?
- Нужно ли согласие работника, чтобы передать его данные гостинице, перевозчику, страховой по ДМС или учебному центру?
- Нужно ли согласие родственников работника, если их данные есть в личной карточке, в заявлении на вычет или в контакте на экстренный случай?
- Можно ли публиковать дни рождения, фото и контакты сотрудников на корпоративном портале и во внутреннем справочнике?
- Работник просит копии своих документов и сведения о том, как обрабатываются его данные. В какие сроки отвечать?
- Нужно ли согласие работника на электронный кадровый документооборот?
- Обязан ли работодатель отвечать на запросы полиции, приставов, прокуратуры и суда о работнике?
- Какие сведения о работниках работодатель обязан передавать без их согласия: военкомат, Социальный фонд, налоговая, МВД?
- Обязан ли работник сообщать работодателю об инвалидности, беременности, ИПРА?
- Можно ли пускать работников в офис по отпечатку пальца или распознаванию лица?
- Можно ли вести видеонаблюдение за работниками в офисе и что под запретом?
- Можно ли проверять кандидатов и работников на полиграфе и по соцсетям?
- Расчётные листки ушли не тем людям или кадровая выгрузка оказалась в открытом доступе. Что делать?
- Какая ответственность грозит работодателю и кадровику за нарушения с персональными данными работников?
- Как уничтожать кадровые документы после истечения сроков хранения?
- Уволенный работник требует удалить все его данные. Что обязан сделать работодатель?
- Можно ли отсеивать резюме нейросетью и проводить видеоинтервью с анализом лица, голоса и эмоций?
- Кадровое агентство, сайт вакансий и облачная система подбора: кто оператор резюме, чьё нужно согласие и кто отвечает за утечку?
- Головной офис за рубежом требует данные работников российской компании, а кадровый учёт ведётся в международной HR-системе. Как это сделать законно?
- Группа компаний ведёт кадры и зарплату всех юрлиц в общем сервисном центре. Что нужно оформить?
- Профсоюз запрашивает списки работников, данные о зарплате и о членстве в профсоюзе. Что можно передать?
- Работник требует компенсацию морального вреда за разглашение его данных. Что ему причитается и как это решают суды?
- Кто проверяет кадровую службу по персональным данным — трудовая инспекция или Роскомнадзор, и могут ли оштрафовать дважды?
Материалы носят справочный характер и не являются юридической консультацией. Нормы сверены по состоянию на 10.10.2026; перед применением проверьте действующую редакцию актов.
Задайте свой вопрос
PD-AI отвечает по 152-ФЗ и актам Роскомнадзора со ссылками на конкретные пункты