152-ФЗ: что проверить до передачи документа

Почему один файл запускает требования закона

Федеральный закон № 152-ФЗ относит к обработке практически любые действия с персональными данными: сбор, запись, хранение, извлечение, использование, передачу, обезличивание и уничтожение. Поэтому отправка резюме в AI-сервис, передача договора внешнему юристу или публикация скана могут быть самостоятельными операциями обработки.

Перед действием оператору важно ответить на четыре вопроса: для какой цели нужны данные, на каком основании они обрабатываются, кому и где станут доступны и какой объём действительно необходим. Принцип соответствия объёма данных цели закреплён в статье 5 закона: избыточные сведения не должны обрабатываться «на всякий случай».

Практический вывод: если для анализа договора достаточно предмета, сроков и условий ответственности, ФИО, телефоны, реквизиты подписантов и сведения о клиентах лучше исключить из копии до передачи.

Пять проверок перед внешней передачей

1. Цель и правовое основание. Согласие — не единственное возможное основание, но конкретное основание должно покрывать именно планируемое действие. Новая цель может потребовать отдельной оценки.
2. Минимизация. Оставьте только те категории и фрагменты, без которых задача не решается. Замена реальных данных стабильными псевдонимами иногда сохраняет смысл выборки лучше, чем полное удаление.
3. Поручение обработки. Если работу выполняет другое лицо, проверьте договор: цель, перечень данных и операций, конфиденциальность, меры безопасности и обязанности при инциденте должны быть определены в соответствии с законом.
4. География и сервис. Установите, где находятся оператор сервиса, инфраструктура и базы данных, кто получает доступ и возникает ли трансграничная передача.
5. Жизненный цикл копии. Определите сроки хранения, порядок отзыва доступа и уничтожения, а также доказательства выполненных действий.

Локализация и зарубежные AI-сервисы

С 1 июля 2025 года часть 5 статьи 18 действует в редакции закона № 23-ФЗ: при сборе ПДн граждан России, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России не допускаются, кроме прямо предусмотренных законом случаев. Минцифры отдельно разъясняло применение этой нормы и необходимость уведомления до начала трансграничной передачи в письме от 12.05.2025.

Это не означает, что любое использование иностранного сервиса автоматически незаконно, но требует проверки фактического потока данных, роли поставщика и применимых исключений. Само название услуги — «чат», «ассистент» или «редактор» — не меняет правовую природу передачи.

Если данные уже ушли не тому адресату

При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа оператор уведомляет Роскомнадзор: первичное сообщение направляется в течение 24 часов, результаты внутреннего расследования — в течение 72 часов. Формы и сроки собраны в информации Роскомнадзора.

С 30 мая 2025 года ответственность за нарушения в сфере ПДн существенно усилена, появились отдельные составы за неуведомление и утечки, а для повторных нарушений — оборотные штрафы. Краткий обзор изменений по закону № 420-ФЗ полезно учитывать в плане реагирования.

Кейс: договор уходит внешнему аналитику

В папке находятся договоры с ФИО подписантов, телефонами, банковскими реквизитами, адресами и названиями внутренних проектов. Аналитику нужны только тип договора, сроки и финансовые условия. Передача исходников создаёт ненужный объём раскрытия.

• создать рабочую копию документов;
• найти ПДн и корпоративные идентификаторы;
• подтвердить маскирование с учётом контекста;
• проверить результат повторным анализом;
• передать только очищенные копии по согласованному каналу.