Privacy Advocates

☁️ К банковской тайне предлагают допускать ИТ-компании с собственными серверами
🔸Рабочая группа правительственной подкомиссии по развитию ИИ подготовила поправки к законопроекту об облачных услугах и ИТ-аутсорсинге для финансовых организаций. Инициативу поддерживает Минцифры.
🔸Размещать, хранить и обрабатывать банковскую тайну и другие сведения ограниченного доступа предлагается разрешить аккредитованным ИТ-компаниям на принадлежащих им серверах. Это позволит банкам шире использовать внешнюю инфраструктуру и сократить расходы.
🔸Подрядчиков также предлагают обязать сообщать финансовым организациям об инцидентах, связанных с нарушением требований к защите информации, в течение двух часов после обнаружения.
🔸Опрошенные Forbes эксперты обращают внимание на неопределенность требования к принадлежности серверов. При его трактовке как права собственности за пределами допуска могут оказаться провайдеры с арендованным или лизинговым оборудованием. Дополнительные требования Банка России к надежности и безопасности могут сделать такой аутсорсинг доступным только крупнейшим игрокам.
🔸Законопроект приняли в первом чтении еще в 2023 году. По словам главы комитета Госдумы по финансовому рынку Анатолия Аксакова, второе чтение должно состояться в этом году. Описанные изменения пока остаются инициативой.

👁 PA | 💬 Max | 🗣️ ВК

📋👁 Чек-лист по ПД при использовании ИИ уже в "Альманахе" Privacy Advocates
🔸Опубликовали базовый чек-лист для облачных ИИ-сервисов, API, локальных моделей и ИИ-агентов. На одной странице 16 контролей (обязательных и рекомендуемых) с примерами и ссылками на нормы.
🔸Заполнять чек-лист нужно до запуска вместе с DPO, специалистом по ИБ и ответственным за использование ИИ. Повторять оценку следует при плановой проверке и до изменения модели, поставщика или условий работы с ПД.
🔸В комментариях фиксируются подтверждения проверки, ограничения и сроки исправления. Это помогает определить, для каких задач и данных ИИ можно использовать.

👁 PA | 💬 Max | 🗣️ ВК

⚖️ Уголовный штраф 100 тыс. ₽ за передачу матери ПД из базы ГИБДД
🔸Прибайкальский районный суд Республики Бурятия осудил старшего инспектора ГИБДД по п."г" ч.3 ст.272.1 УК РФ. Назначены штраф 100 тыс. ₽ и двухлетний запрет занимать должности на госслужбе, связанные с доступом к охраняемой законом тайне. Телефон суд постановил конфисковать. Приговор от 08.09.2026 по делу №1-81/2026.
🔸Мать сотрудницы попросила найти телефон собственника автомобиля по госномеру. Инспектор вошла в ФИС ГИБДД-М под своей учетной записью и продиктовала матери ФИО и возраст собственника и допущенного к управлению водителя, а также номер телефона водителя.
🔸Суд признал доступ неправомерным, поскольку запрос не был связан со служебными обязанностями. Устную передачу по телефону квалифицировал как незаконное предоставление компьютерной информации с ПД. Среди доказательств были сведения об обращении к базе и аудиозапись разговора. Довод о неознакомлении с инструкцией суд отверг, учитывая должностной регламент и показания руководителя.
🔸Передача касалась ПД двух людей одному получателю. Корыстная заинтересованность инспектору не вменялась, квалифицирующим признаком стало использование служебного положения. Суд не нашел оснований признать деяние малозначительным.
🔸В ст.272.1 УК РФ есть исключение для обработки ПД исключительно для личных и семейных нужд. Здесь сведения передавались матери, однако суд применил уголовную норму. Применимость самого исключения в приговоре отдельно не разобрана, поэтому универсального вывода о пределах семейных нужд из него сделать нельзя.
🔸Показательно сравнение с постановлением Хасавюртовского городского суда от 06.03.2026 по делу №1-72/2026. Там продажу снимков паспортов переквалифицировали со ст.272.1 на ст.137 УК РФ. Суд учел, что документы клиенты добровольно передали для ксерокопирования. В деле инспектора источником ПД была служебная база, обращение к которой признано неправомерным. При квалификации важны и получение ПД, и последующие действия с ними.
🔸Признак использования служебного положения применяют и к работникам коммерческих организаций. Например, Ломоносовский районный суд Архангельска 25.03.2026 по делу №1-193/2026 вменил его продавцу-консультанту салона связи, работавшему у дилера оператора и передававшему ПД абонентов из рабочих систем.
🔸Для операторов ПД это повод проверять цели запросов к ИСПД, выявлять обращения без рабочей задачи и разбирать с сотрудниками последствия передачи ПД по просьбам знакомых и родственников.

👁 PA | 💬 Max | 🗣️ ВК

🥰 Управление рисками в эпоху данных: приглашаем вас на Евразийский конгрессе по защите данных 😎
🔸Совсем скоро наши коллеги из RPPA.pro проведут ежегодный Евразийский конгресс по защите данных!
🔸В рамках Конгресса от 👁Privacy Advocates на сессии в гостях у hh.ru по теме «Управление рисками» выступят Алексей Мунтян и Александр Партин.
🔸Разберем актуальные вызовы, современные подходы к оценке угроз и практические инструменты минимизации рисков в сфере комплаенса и защиты информации.
📅 19 октября 2026 года, Москва
📍ЗАРЕГИСТРИРОВАТЬСЯ НА КОНГРЕСС

👁 PA | 💬 Max | 🗣️ ВК

🏛️ Путин поручил централизованно собирать данные для обучения суверенного ИИ
🔸Президент России поручил кабмину обеспечить сбор, обработку и предоставление информации для обучения суверенных и национальных моделей ИИ.
Утвержденный президентом перечень поручений по итогам заседания Совета при президенте по науке и образованию, прошедшего 11 августа 2026 года.

👁 PA | 💬 Max | 🗣️ ВК

🥷 Мошенники начали использовать ИИ для составления досье на пользователей
🔸На теневых площадках появились вредоносные программы (стилеры) для кражи данных и автоматического составления искусственным интеллектом (ИИ) профиля пользователя.
🔸При этом стандартные стилеры собирают только пароли, cookie-файлы активных сессий, данные банковских карт и криптовалютных кошельков, а также прочую информацию об устройстве и пользователе. Тогда как новое поколение позволяет извлекать из ИИ-ассистентов историю чатов и аутентификационные данные — исходный код, внутренние документы, токены и сведения об учетных записях. 
🔸Затем языковая модель анализирует сведения и составляет досье. В него входит предполагаемая профессия, интересы, сайты, которые посещает жертва, а также прочие характеристики, которые можно определить по содержимому лога — набора данных, которые собирает стилер.
🔸В будущем ИИ-модели могут использовать информацию не только для описания жертвы, но и уже для выбора способа монетизации скомпрометированных данных. Например, злоумышленники могут использовать искусственный интеллект для поиска ценных сессий, восстановления доступа с помощью собранных токенов или подготовки атак от имени скомпрометированного пользователя.

👁 PA | 💬 Max | 🗣️ ВК

🏛️ В ГД внесли законопроект об использовании биометрии осужденных без их согласия
🔸Правительство РФ внесло в Госдуму законопроект, которым предлагается разрешить органам и учреждениям уголовно-исполнительной системы обрабатывать персональные, в том числе биометрические, данные подозреваемых, обвиняемых и осужденных без их согласия для идентификации и аутентификации.
🔸Сейчас биометрические данные уже используются в учреждениях уголовно-исполнительной системы для распознавания личности. В частности, с их помощью контролируют проход через контрольно-пропускные пункты, проверяют присутствие подозреваемых, обвиняемых и осужденных на территории, а также предотвращают побеги и подмену личности.
🔸Законопроектом предлагается закрепить в законодательстве об уголовно-исполнительной системе возможность обрабатывать такие данные без согласия подозреваемых, обвиняемых и осужденных.

👁 PA | 💬 Max | 🗣️ ВК

👁🔥 Презентация Privacy Advocates "Актуальные тренды регулирования ПД в контексте законопроекта Антифрод-3"
🏛️ Вчера Минцифры вынесло на обсуждение
третий антимошеннический пакет. Вступить в силу он должен 01.03.2028 и правит сразу девять законов, включая 152-ФЗ, 149-ФЗ и закон о связи.
🔸Мы подготовили презентацию, в которой кратко изложили результаты нашего анализа положений законопроекта и его влияния на регулирование ПД.
🔸Антифрод-3 меняет сам институт согласия на обработку ПД, и готовиться к 2028 году стоит уже сейчас.
📎 Проект и обсуждение см. на regulation.gov.ru/projects/171465

👁 PA | 💬 Max | 🗣️ ВК

🏛️ Минцифры опубликовало ключевые инициативы третьего пакета мер против мошенников (Антифрод 3.0)
🔸Предлагается создать единую платформу согласий на «Госуслугах», где гражданин сможет увидеть согласия на обработку персональных данных, которые он ранее давал онлайн и офлайн. Россиянин также сможет узнать, кто, как и зачем обрабатывает данные, и отозвать ранее выданное согласие. Появится возможность сообщить о возможных нарушениях в уполномоченные органы.  
🔸В рамках ГИС «Антифрод» планируется сформировать базу людей, предоставляющих аферистам свои абонентские номера и учетные данные в различных информсистемах. По данным ведомства, мера позволит выявлять и блокировать мошеннические схемы, а также повысит безопасность цифровых сервисов.
🔸СМС-рассылки смогут осуществлять только операторы связи. Сейчас агрегаторы массовых рассылок находятся в нерегулируемой «серой зоне», что создает риск мошенничества. Нововведение сократит риски отправки сообщений с нарушением законодательства, в том числе в сфере рекламы.‍
🔸Требование к авторизации пользователей станет экстерриториальным - т.е. будет распространятся на иностранных владельцев информационных ресурсов, которые будут обязаны проводить авторизацию российских пользователей с использованием номеров телефонов (как безальтернативная опция). Кроме того, все владельцы информационных ресурсов будут обязаны хранить 3 года сведения о регистрации, авторизациях и прекращении регистрации пользователей, а также предоставлять такие сведения уполномоченным органам.

👁 PA | 💬 Max | 🗣️ ВК

✍️ Кирилл Зюбанов, ассоциированный партнер Privacy Advocates, и Евгения Казачковская опубликовали на Право.ru статью "Пользовательское соглашение: основание без границ или границы без оснований"
🔸 Авторы предлагают трехэтапный тест правомерности обработки ПД на основании пользовательского соглашения. Сначала проверяется общее законодательство, затем общие требования законодательства о ПД, и только потом специальные требования к договору как основанию (п.5 ч.1 ст.6 152-ФЗ).
🔸 Ключевую роль играют принципы обработки ПД. Именно они, а не само соглашение, задают его границы, и никакой чек-лист не заменит их системного внедрения в работу оператора.
🔸 Для сравнения разобраны GDPR, законодательство Беларуси, Казахстана, Армении и Кыргызстана.

👁 PA | 💬 Max | 🗣️ ВК

💡👁 Privacy Advocates обновили чек-лист основных контролей обработки и защиты ПД в организации, теперь в нем 132 контроля

🆕 Добавили 10 новых контролей:
🔸 1.10 реестр процессов обработки ПД как единый источник для политики, уведомления в РКН и согласий;
🔸 2.9 видео- и аудиофиксация, запись звонков и созвонов, мониторинг рабочих средств;
🔸 3.26 обработка ПД несовершеннолетних и проверка возраста;
🔸 4.17 проверка происхождения внешних массивов ПД (купленные базы, парсинг);
🔸 5.9 предоставление ПД по запросам органов, адвокатов, участников и контрагентов;
🔸 5.14 контроль за обработчиками;
🔸 5.15 использование внешних сервисов ИИ;
🔸 6.13 прием и учет обращений субъектов ПД;
🔸 6.14 карта сайтов и приложений и архив редакций опубликованных документов;
🔸 8.4 обязательства персонала о неразглашении ПД.

✏️ Уточнили 10 действующих контролей: копии паспортов, пересмотр оснований обработки, письменная оценка законного интереса, прекращение обработки спецкатегорий, запреты в согласии на распространение, запрет параллельных зарубежных БД, передача генетических (ПП-750) и биометрических ПД за рубеж, возражение против автоматизированного решения, обработка после отзыва согласия, ФСТЭК-117.

⚠️ Сверили риск-факторы с проверочным листом РКН (приказ № 253) и учли проект его обновления.

📘 По обновленному чек-листу актуализирован и проект Положения об организации обработки и обеспечении безопасности ПД.

Чек-лист по-прежнему включает:
⚡ Меры юридической ответственности для юридических лиц и должностных лиц за невыполнение контролей;
⚠️ Риск-факторы повышения вероятности контрольных (надзорных) мероприятий в области ПД.

💡Вопрос: Должна ли беременная женщина предоставлять в отдел кадров на работе справку о визите к врачу?

🏛️Роструд (https://онлайнинспекция.рф/questions/view/255344): За отсутствие на работе без уважительных причин к беременной женщине может быть применено дисциплинарное взыскание в виде замечания или выговора.
🔸Уважительность причины отсутствия должна быть подтверждена работником документально. 
При прохождении обязательного диспансерного обследования в медицинских организациях за беременными женщинами сохраняется средний заработок по месту работы. При этом беременная женщина должна предоставить работодателю документ, подтверждающий ее право на сохранение среднего заработка за время отсутствия на работе по причине прохождения такого обследования, например, соответствующую справку из медицинской организации.
🔸Согласно ч. 3 статьи 254 ТК РФ при прохождении обязательного диспансерного обследования в медицинских организациях за беременными женщинами сохраняется средний заработок по месту работы.

👁 PA | 💬 Max | 🗣️ ВК

👮‍♂️В МВД рассказали, законно ли делать копию паспорта при заселении в гостиницу
🔸Копирование паспорта при отсутствии правовых оснований является неправомерным, поэтому при заселении в гостиницу нужно уточнять, с какой целью это делается, и после этого решать, давать согласие на копирование или нет. Об этом в интервью ТАСС сообщил начальник пресс-службы ГУ МВД России по Москве Владимир Васенин.
🔸Васенин пояснил, что гостиница, устанавливая личность человека, может воспользоваться разными способами. По его словам, как правило, ведется просмотр документа и фиксация данных во внутренних документах учреждения. "То есть человек взял, переписал. Само по себе копирование паспорта - это оборот персональных данных, который должен иметь конкретную цель. Вот если вы приезжаете в гостиницу и у вас снимают копию паспорта, давайте зададим вопрос, зачем это делается", - добавил начальник пресс-службы.
🔸Так, по его словам, могут снять копию паспорта, чтобы человек быстро заселился, а затем либо эту бумагу уничтожают, порезав на мелкие ленточки, либо она потом хранится. "Поэтому само по себе копирование паспорта будет считаться неправомерным, но здесь оно может делаться с согласия человека. Как правило, вас могут спросить, можно сделать копию паспорта? Да, можно. Или, например, нельзя", - пояснил Васенин.
🔸Тогда, по его словам, оператор должен сам занести сведения в базу данных и вернуть паспорт. "Я вам рекомендую не давать возможность копировать свой паспорт", - подытожил представитель столичного главка полиции.

👁 PA | 💬 Max | 🗣️ ВК

🍕«Додо Пицца» сообщила о возможной утечке данных своих клиентов при кибератаке
🔸Хакеры могли получить доступ к персональным данным части клиентов, рассказали в компании. При атаке могли утечь имена, адреса, электронные почтовые ящики, телефоны, даты рождения, а также составы заказов. Платежные данные клиентов компания не хранит, поэтому они в безопасности, отметили в «Додо».
🔸Компания уведомила о произошедшем Роскомнадзор. «Доступ злоумышленникам заблокирован, внутренняя проверка продолжается»,— добавила пресс-служба компании.

👁 PA | 💬 Max | 🗣️ ВК

😎 Наши друзья из RPPA собрали материалы прошедших мероприятий AIG.Club. Делимся с вами:
1. AMA-сессия «Всё, что нужно знать об AIGP» (запись, тезисы и материалы)
2. Мастер-класс «Маркировка синтетического контента: ЕС и международные практики» (запись ВК | YouTube | презентация)
3. Круглый стол «Shadow AI - риски, практика и управление» (запись ВК | YouTube)
4. Экспертный обзор проекта ФЗ об ИИ в РФ × ilovedocs. Часть 2 (запись 1 части ВК | YouTube, запись 2 части ВК | YouTube)

🟣 Из ближайших активностей по теме - образовательный проект «ИИ регулирование. Intensive»: за 6 недель дает фундаментальное понимание применения ИИ в организациях и готовит к развитию регулирования ИИ. Старт: 1 октября 2026.

Образовательная лицензия РППА Офис № Л035-01298-77/01030105 от 22 января 2024