Правовая роль компании
Устанавливаю, является ли компания оператором или обрабатывает сведения по поручению другого лица. От этого зависит объём обязательных мер по 152-ФЗ.
Приведение бизнеса в соответствие требованиям по персональным данным
Предмет работы: операции с персональными данными, основания и меры защиты. Проверяю нормы, исходные документы и схему работы, отделяя обстоятельства от предположений. По результату составляю документы и маршрут дальнейших действий с проверкой результата по установленным срокам.
Коротко
Проверяю, какие операции с персональными данными ведёт компания, на каких основаниях и какими мерами защищает сведения. По ст. 18.1 Закона № 152-ФЗ оператор сам определяет состав обязательных мер; сверяю их с фактической обработкой и отдельно отмечаю, где процесс расходится с документами.
Когда нужна помощь
Когда правовая проверка нужна немедленно
- Запуск проектаКомпания запускает сервис, сайт или новую услугу и начинает собирать сведения клиентов. Проверяю цели и основания обработки до старта, чтобы обязательные меры оператора были приняты заранее, а не после жалобы.
- Запрос второй стороныПолучен запрос второй стороны. Для ответа нужен полный комплект материалов: реестр обработок, согласия, поручения, уведомления и журналы доступа.
- Изменение моделиКомпания меняет CRM, подключает подрядчика или переносит данные в облако. Оцениваю, как изменение затрагивает меры по обеспечению безопасности персональных данных и уведомление оператора, и готовлю новые редакции документов.
- ИнцидентПроизошла утечка или ошибочная рассылка. Фиксирую обстоятельства, оцениваю принятые меры защиты и готовлю позицию компании для регулятора.
- Требование органаПоступил запрос Роскомнадзора, в том числе по защите персональных данных в ДОУ или другом учреждении. Проверяю полномочия органа и обоснованность требований, готовлю ответ с подтверждающими документами.
- СпорСубъект или контрагент предъявил претензию, в том числе о защите сетей, где хранятся персональные данные. Заранее определяю требование, его объём и доказательства, затем выстраиваю позицию компании.
Исходные материалы следует сохранить до внесения изменений: реестр обработок, согласия, поручения, уведомления и журналы доступа.
Чего компании делать нельзя
Ошибки, которые осложняют правовую защиту компании — Приведение бизнеса в соответствие требованиям по персональным данным
- Не подтверждайте факты и обязательства без проверки. До подписания акта, объяснения или ответа сопоставьте изложенное с документами. Неточная формулировка может повлиять на доказательства и последующую позицию компании.
- Не откладывайте проверку полученных документов. Срок и порядок ответа, возражений или обжалования зависят от вида документа и применимой процедуры. Зафиксируйте дату получения и выясните, какое действие требуется именно в вашей ситуации.
- Не поручайте правовую переписку без согласования позиции. Рабочие письма и сообщения могут стать доказательствами. Отделяйте подтверждённые факты от предположений, указывайте реальные полномочия сотрудника и сохраняйте исходную переписку.
- Не подменяйте и не уничтожайте документы. Сохраните оригиналы, электронные файлы и сведения об их отправке. Исправление текущей работы не должно сопровождаться оформлением доказательств задним числом.
Что следует установить
Обстоятельства, на которых строится правовое решение
Границы объекта
Определяю, какие системы, подразделения и подрядчики участвуют в обработке, и фиксирую технические и юридические границы проверки.
Применимое основание
Для каждой операции устанавливаю законное основание: согласие, договор, трудовое законодательство или иную обязанность компании.
Надёжность комплекта подтверждений
Проверяю, подтверждают ли реестр обработок, согласия, поручения, уведомления и журналы доступа реальные процессы, а не только их описание в политике.
Действия второй стороны
Выясняю, как контрагенты и подрядчики получают доступ к данным и какие меры по обеспечению безопасности персональных данных они приняли по договору.
Исполнимость требования
Оцениваю, какие изменения компания способна внедрить в процессы и системы. Вывод о соответствии не делаю по одному названию документа — только по тому, как меры реализованы на деле.
Участники и полномочия
Кто принимает решение и доказывает исполнение
| Участник | Полномочие и документ |
|---|---|
| Собственник продукта | Утверждает модель проекта: какие сведения собираются, для каких целей и через какие каналы. |
| Руководитель компании | Утверждает локальные акты и назначает ответственного; от его решений зависит защита персональных данных предпринимателя. |
| Технический специалист | Настраивает доступ, журналы и средства защиты, готовит сведения для уведомления Роскомнадзора об обработке персональных данных и подтверждает меры по обеспечению безопасности персональных данных. |
| Контрагент | Получает данные по поручению. У учебного центра важно, кто отвечает за защиту персональных данных обучающегося. |
| Компетентный орган или суд | Роскомнадзор проверяет соблюдение закона и вправе выдать предписание; суд рассматривает споры и дела об ответственности. Орган оценивает, выполнены ли требования к политике обработки персональных данных и соответствует ли ей фактическая обработка. |
| Адвокат | Анализирую процессы и документы, готовлю локальные акты и ответы регулятору, представляю компанию в споре. Отдельно проверяю, как организована защита персональных данных обучающегося, работника и клиента. |
Как устроена задача
Как связаны фактический процесс, записи и норма
Сначала описываю фактический процесс обработки и его границы: какие сведения собираются, кем, где хранятся и кому передаются.
Затем систематизирую подтверждающие материалы: реестр обработок, согласия, поручения, уведомления и журналы доступа. Значение имеет не название документа, а то, что обязательные меры оператора подтверждены датированными материалами компании.
После этого сопоставляю процессы с требованиями Закона № 152-ФЗ: основаниями обработки, обязанностями оператора и мерами безопасности. Для каждого расхождения указываю возможные последствия и способ устранения.
Для защиты персональных данных предпринимателя сопоставляю фактические операции с требованиями закона и риском ответственности по ст. 13.11 КоАП РФ. Затем отдельно проверяю безопасность сетей и применимые обязанности из статьи 22 Закона № 152-ФЗ.
Модель персональных данных компании описываю так, чтобы по ней можно было ответить регулятору: какие категории сведений, для каких целей и на каком основании обрабатываются, и нужно ли уведомление по статье 22 Закона № 152-ФЗ.
Для ООО и других юридических лиц аудит обработки персональных данных включает политику в отношении обработки персональных данных, политику конфиденциальности, внутренний регламент и должностную инструкцию ответственного. Записи исследую вместе с реальными операциями, а не как отдельный комплект шаблонов.
Отдельно описываю типы и классы персональных данных, электронные и бумажные носители, режим доступа, модель угроз безопасности персональных данных и программу внутреннего контроля. Управление персональными данными подтверждается журналами, обучением сотрудников и периодическим анализом процессов.
Карта субъектов охватывает персональные данные директора, кандидатов, работников, бывших сотрудников, обучающихся, абонентов и посетителей. Для учреждения, клиники, гостиницы или учебного центра состав сведений и законные цели различаются, поэтому универсального перечня нет.
Инвентаризацию начинаю с точек поступления сведений: анкеты на сайте, кадровая система, CRM, пропускной режим, телефония и обращения клиентов. По каждому каналу отмечаю состав полей, источник, получателя, место хранения и установленный период удаления. Такая карта обнаруживает скрытые передачи подрядчикам и операции, которых нет в уведомлении оператора.
Законность обработки проверяю раздельно для каждой цели. Согласие не используется как универсальное основание, если обязанность следует из трудового, налогового или иного закона. Для поручения обработки устанавливаю конкретные операции, требования к конфиденциальности, меры безопасности и порядок подтверждения удаления сведений после завершения договора.
Финальный отчёт содержит реестр несоответствий с приоритетом, владельцем и контрольной датой. Критические замечания касаются незаконной цели, избыточного состава, отсутствующей локализации, неконтролируемой выгрузки и неисполненного запроса субъекта. Исправление подтверждается новой редакцией документа, настройкой системы и записью о проведённой проверке.
Аудит охватывает обработку персональных данных юридическим лицом по всей цепочке: кадровую службу и личные дела работников, бухгалтерию, продажи, обращения покупателей, сайт и системы веб-аналитики. Проверяю, какие служебные персональные данные собираются при трудоустройстве, кто получает к ним доступ и как организовано хранение носителей персональных данных.
Отдельно оцениваю мероприятия по защите персональных данных: модель угроз, разграничение доступа, журналирование, обезличивание, криптографическую защиту и случаи, когда требуется аттестация информационной системы. Требования ФСТЭК и ФСБ применяю не формально, а с учётом категории данных, архитектуры системы и реально используемых средств защиты.
По итогам готовлю перечень корректирующих мер и проекты локальных документов: приказ об организации обработки, политику обработки персональных данных, формы согласий и порядок реагирования на инциденты. Такой результат позволяет руководителю увидеть не только нарушение, но и ответственного, срок устранения и документ, которым закрывается риск.
Нормативная основа: Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом
Точный текст нормы из официальной редакции
Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами.ст. 18.1 Закона № 152-ФЗ
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Состав мер оператор определяет сам, поэтому сначала выясняю, какие операции с персональными данными реально идут в компании, и только затем подбираю меры и локальные акты.
Правовые условия
Что должно быть подтверждено материалами
- Квалификация. Определяю роль компании в каждой операции и проверяю, соответствует ли программа защиты персональных данных фактическим процессам, а не шаблону.
- Законное основание. Для каждого действия с данными требуется законное основание. Проверяю, не подменяется ли обязанность по закону согласием и наоборот.
- Полномочия. Проверяю, кто в компании вправе получать доступ к сведениям. Для кадровых процессов отдельно оцениваю, как устроена защита персональных данных работника в трудовых отношениях.
- Документирование. Записи не должны противоречить фактическим операциям: реестр обработок, согласия, поручения, уведомления и журналы доступа сверяю с работой систем.
- Контроль исполнения. Кто отвечает за контроль и что происходит, когда персональные данные кандидаты оставили, а в найме им отказали.
- Способ защиты. Способ защиты должен быть адресным и исполнимым: конкретный документ, настройка системы или ответ регулятору с подтверждением обязательных мер оператора.
Порядок работы
От фиксации фактов — до контроля исполнения
- 1Описать объектЗафиксировать системы, подразделения и участников обработки, а также категории сведений и цели.
- 2Сохранить материалыСохранить исходные версии документов и метаданные: реестр обработок, согласия, поручения, уведомления и журналы доступа.
- 3Разобрать нормыСопоставить каждую операцию с требованиями Закона № 152-ФЗ и обязанностями оператора.
- 4Оценить рискОценить последствия выявленных нарушений и их доказуемость. Для учреждений, например при оценке, как устроена защита персональных данных в ДОУ, учитываю особенности субъектов.
- 5Выбрать маршрутВыбрать маршрут: доработка документов, изменение процессов, ответ регулятору или спор. Отдельно решаю, как обрабатывать персональные данные директора и руководителей.
- 6Исполнить решениеВнедрить корректирующие меры: утвердить документы, настроить доступ и меры по обеспечению безопасности персональных данных.
- 7Разобрать результатПроверить исполнение и оформить подтверждение: новые редакции документов, записи о настройке систем и проведённой проверке.
Досудебная подготовка
Подготовка комплекта подтверждений и письменной позиции
- Зафиксировать обстоятельства и собрать исходные записи: реестр обработок, согласия, поручения, уведомления и журналы доступа.
- Проверить, какие меры по обеспечению безопасности персональных данных действовали на момент события, и подтвердить их документами.
- Сопоставить факты с требованиями Закона № 152-ФЗ и определить, в чём позиция компании устойчива, а где нужны исправления.
- Учесть специфику: гостиница получает персональные данные гостей через системы бронирования.
- Подготовить ответ с приложениями, в том числе сведения о файле с персональными данными и доступе к нему.
Перед ответом регулятору или второй стороне проверяю, какие обязательные меры оператора компания может подтвердить документами.
Защита в суде
Подсудность, требования и фактические данные
| Вопрос | Что подтверждаю |
|---|---|
| Компетенция суда | Определяю, какой суд рассматривает спор: арбитражный — если стороны являются организациями или оспаривается решение органа, общей юрисдикции — по иску гражданина. |
| Надлежащие стороны | Устанавливаю надлежащих истца и ответчика: оператора, лицо, обрабатывающее данные по поручению, или орган, вынесший решение. |
| Предмет требования | Формулирую требование с учётом того, чьи сведения затронуты: персональные данные юр лица, то есть его работников и представителей, или данные клиентов, которые обрабатывает служба персональных данных компании. |
| Цифровые фактические данные | Готовлю цифровые доказательства: журналы доступа, выгрузки систем, переписку. Проверяю, как программа персональных данных компании отражена в настройках систем. |
| Нормативное основание | Обосновываю позицию нормами Закона № 152-ФЗ и КоАП РФ применительно к конкретным операциям компании. |
| Исполнение решения | Оцениваю, как решение будет исполнено: какие меры по обеспечению безопасности персональных данных нужно внедрить и как подтвердить их выполнение. |
Если спор касается того, что обезличивание персональных данных — это законный способ их использования, проверяю методику отдельно.
Какие документы нужны
Материалы для проверки и защиты
| Документ | Что он доказывает |
|---|---|
| Схема процесса | Описание процессов обработки: какие сведения собираются, в каких системах хранятся, кто получает доступ. Схема показывает, выполняет ли компания обязательные меры оператора. |
| Договорная база | Договоры с клиентами, подрядчиками и поручения на обработку. По ним проверяю распределение обязанностей и условия о конфиденциальности. |
| Технические материалы | Реестр обработок, согласия, поручения, уведомления и журналы доступа. Для медицинской деятельности, например если клиника обрабатывает персональные данные пациентов, добавляю сведения о специальных категориях. |
| Деловая переписка | Переписка с контрагентами и сотрудниками о передаче сведений. Она показывает, как на практике обрабатываются служебные персональные данные. |
| Документ органа | Запрос, предписание или протокол органа. Если проверка касается того, как клиника обрабатывает персональные данные, прикладываю документы о режиме доступа к медицинским сведениям. |
| Объём последствий | Материалы для оценки последствий: формы согласий, отметка на сайте о том, что пользователь согласен с политикой обработки персональных данных, число затронутых субъектов. |
Если обработка касается абонентов связи или сервисов, отдельно запрашиваю сведения о том, как хранятся персональные данные абонента и кто к ним допущен.
Как оценить расходы и требования
Из чего складываются расходы и требования
| Элемент | Как подтверждается |
|---|---|
| Правовой аудит | Объём анализа зависит от числа систем и целей; обезличивание персональных данных — это отдельный участок проверки. |
| Переработка источников | Новые редакции документов; объём зависит от того, насколько программа персональных данных расходится с практикой. |
| Технические меры | Расходы на средства защиты и настройку систем зависят от того, какие меры по обеспечению безопасности персональных данных требуются для конкретной категории сведений. |
| Договорные платежи | Платежи по договорам с подрядчиками, которые участвуют в обработке. Проверяю, какие обязанности они приняли при обработке персональных данных в соответствии с поручением. |
| Подтверждённые убытки | Убытки учитываются, только если подтверждены документами: расходы на устранение последствий инцидента и меры по обеспечению безопасности данных. |
| Судебные расходы | Судебные расходы включают госпошлину и расходы на представителя. Если спор возник из-за утечки при приёме заказа, персональные данные клиентов и их объём влияют на размер требований. |
Каждую сумму подтверждаю отдельным документом, не подменяя его общей оценкой расходов компании.
Сроки и контрольные даты
Процессуальные сроки при судебной защите
| Действие | Срок | Начало и условие | Норма |
|---|---|---|---|
| Претензия по денежному требованию | 30 календарных дней | Срок исчисляется с момента направления претензии; её получение нужно подтвердить документально. | ч. 5 ст. 4 АПК РФ |
| Оспаривание решения органа | 3 месяца | Срок исчисляется со дня, когда компания узнала о нарушении своих прав решением органа. | ч. 4 ст. 198 АПК РФ |
| Апелляционная жалоба | 1 месяц | Срок исчисляется со дня принятия решения в окончательной форме. | ч. 1 ст. 259 АПК РФ |
| Кассационная жалоба | 2 месяца | Срок исчисляется со дня вступления акта в силу; в споре о режиме персональных данных важны материалы первой инстанции. | ч. 1 ст. 276 АПК РФ |
Специальный срок проверяется по предмету процедуры и дате, когда компания узнала о нарушении.
Какие задачи решаю
Правовая и процессуальная работа — возможные варианты
Предварительный аудит
Сверяю заявленную модель обработки с фактическими операциями компании и выявляю расхождения.
Разработка источников
Готовлю политику обработки, согласия, поручения и регламенты с учётом реальных процессов.
Согласование условий
Согласовываю с контрагентами условия поручения на обработку и распределение обязанностей по защите данных.
Ответ регулятору
Готовлю ответ Роскомнадзору с документами, в том числе о том, как при оформлении заказа персональные данные клиентов собираются и хранятся.
Досудебная претензия
Готовлю претензию или ответ на неё, если спор возник из-за обработки данных контрагентом или подрядчиком.
Представительство в спорах о штрафах за нарушение законодательства о персональных данных
В суде не смешиваю факты, применимую норму, объём и конкретный способ защиты.
Что влияет на результат
Что делает доказательственную позицию сильнее
Верная правовая роль
Исход зависит от того, верно ли определена роль компании — оператор, центр персональных данных группы или лицо, действующее по поручению.
Действующая редакция
Важно применять редакцию закона, действовавшую в момент операции, и проверять исключения из обязанностей оператора.
Достоверный цифровой след и система учёта
Позицию усиливает система учета персональных данных, в которой видно, когда и кем сведения получены, изменены и переданы.
Согласованные записи
Реестр обработок, согласия и журналы доступа не должны противоречить друг другу и политике компании.
Своевременная реакция
Важно, как быстро компания ответила на запрос, в том числе о том, как обрабатываются персональные данные юр лица.
Исполнимое требование
Просимое действие должно давать проверяемый итог: конкретный документ, настройку или исправление процесса.
Возможные результаты
Что получается юридически и на практике
- Подготовлен итоговый комплект документов, подтверждающих меры по обеспечению безопасности персональных данных.
- Налажен учёт: персональные данные, цели и основания обработки отражены в реестре и соответствуют уведомлению оператора.
- Устранены расхождения в отдельных процессах — например, в том, как обрабатываются персональные данные обучающегося или работника.
- Регулятор может принять пояснения компании, если по каждому процессу, включая мероприятие, где собираются персональные данные участников, есть подтверждающие документы.
Показать все результатыСвернуть
- Утверждена программа защиты персональных данных с ответственными и контрольными датами.
- Если спор дошёл до суда, возможны разные исходы; они зависят от того, насколько процесс защиты персональных данных подтверждён документами.
Практические ситуации
Откуда берутся типичные ошибки и как они развиваются
Документ расходится с мероприятиями защиты персональных данных
Политика описывает одни меры, а в системах действуют другие. Сверяю документы с фактическими операциями и готовлю редакции, которые отражают реальные мероприятия защиты.
Объект описан неточно
Компания неточно описала, какие сведения и где обрабатывает. Исход зависит от того, удастся ли восстановить полную картину по системам и журналам; готовлю актуальную модель обработки.
Доступ выдан без границ
Сотрудники получили доступ к данным без ограничений по роли. Важно, как организована защита персональных данных в учреждении или компании; готовлю матрицу доступа и регламент.
Следы события сохранены слишком поздно
Журналы перезаписаны до проверки. От сохранённых данных зависят штрафы за нарушение законодательства о персональных данных; фиксирую хронологию.
Процедуры смешаны
Ответ регулятору смешан с претензией. Разделяю процедуры и проверяю, где отражены персональные данные, учет и меры.
Типичные ошибки
Шаги, после которых позиция компании слабеет
- Формально назвать роль. Назначить ответственного, но не дать ему полномочий и не утвердить инструкцию, где защита персональных данных описана по шагам.
- Скопировать чужой документ. Взять чужую политику, хотя на сайте работает Яндекс Метрика: политика обработки персональных данных должна называть и эту цель. Отдельно проверяю, как политика регулирует обработку персональных данных работника.
- Потерять исходную версию. Изменить документы после инцидента без сохранения прежних редакций. Это затрудняет защиту при рассмотрении вопроса о штрафах за нарушение законодательства о персональных данных.
- Ответить без приложений. Направить регулятору ответ без документов. Для учреждений отдельно прикладываю материалы о том, как хранятся персональные данные в учреждении и кто к ним допущен.
- Смешать разные процедуры. Разместить на сайте публичную политику обработки персональных данных, не совпадающую с внутренними регламентами, и ссылаться на неё в ответе регулятору.
- Попросить неисполнимое. Требовать от контрагента или регулятора действий, которые невозможно проверить. Формулирую требования так, чтобы их исполнение подтверждалось документом.
Имущественные последствия
Расходы и потери, которые требуют комплекта подтверждений
- Расходы на мероприятие, где персональные данные участников собирались через стороннюю форму.
- Разные виды потерь рассчитываются раздельно. Если обезличивание персональных данных — это часть процесса, его стоимость учитываю отдельно.
- Расходы на внедрение обязательных мер оператора подтверждаются договорами, актами и платёжными документами.
- Затраты на меры по обеспечению безопасности персональных данных учитываются по датам и документам.
Показать все последствияСвернуть
- Расходы на восстановление кадрового учёта, если личное дело и персональные данные работника были утрачены или раскрыты.
- Потери от приостановки сервисов аналитики, если персональные данные из Метрики и других систем обрабатывались без основания.
Комментарий адвоката Вруцкого
адвокат · рег. № 78/8790
Политика обработки персональных данных в 2026 году — это не формальность для сайта. Регулятор проверяет, совпадает ли она с тем, что компания делает на самом деле, и за расхождения возможна ответственность по ст. 13.11 КоАП РФ. Поэтому начинаю с процессов, а документы готовлю под них.
Что беру на себя
Правовая проверка, записи и представительство
- Карта фактов. Документирую участников обработки, системы и последовательность операций с персональными данными.
- Правовая проверка. Сопоставляю установленные факты с требованиями Закона № 152-ФЗ и КоАП РФ.
- Фактические данные. Собираю подтверждения того, как реализованы обязательные меры оператора: реестр обработок, согласия, поручения, уведомления и журналы доступа.
- Процессуальные записи. Готовлю ответы регулятору, претензии и процессуальные документы. Провожу оценку эффективности защиты персональных данных по фактическим настройкам систем.
- Представительство. Веду переговоры с контрагентами и представляю позицию компании в Роскомнадзоре и арбитражном суде.
- Контроль результата. Фиксирую устранение каждого нарушения документом и настройкой системы. Для кадровых данных отдельно проверяю законное основание обработки, доступ к личному делу работника и исполнение обязательных мер оператора; риск ответственности сопоставляю с конкретной частью статьи 13.11 КоАП РФ.
Как я веду дело
Порядок работы адвоката — Приведение бизнеса в соответствие требованиям по персональным данным
- 1Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
- 2Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
- 3Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
- 4Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
- 5Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
- 6Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.
Самостоятельно или с адвокатом
Работа компании и поручение адвокату — кто что делает
Что делает компания
Компания описывает свои процессы и передаёт материалы, из которых видно, какие меры по обеспечению безопасности персональных данных фактически применяются.
- Назначить ответственного за регулирование персональных данных внутри компании и определить его полномочия.
- Передать исходные материалы без удаления метаданных: реестр обработок, согласия, поручения, уведомления и журналы доступа.
- Собрать действующие документы, включая политику, и не заменять их найденным в сети примером политики обработки персональных данных.
Работа адвоката
Анализирую материалы компании, в том числе о том, как обрабатываются персональные данные абонента, клиента и работника.
- Соотнести факты с требованиями Закона № 152-ФЗ и КоАП РФ.
- Определить типы персональных данных, которые обрабатывает компания, и требования к каждому из них.
- Разобрать сроки, объём и достижение результата: доказуемое соответствие процессов требованиям 152-ФЗ.
Сбор материалов и сведения о процессах остаются за компанией, а правовая оценка, документы и позиция перед регулятором — задача адвоката.
Стоимость зависит от объёма работы и того, до какой инстанции дойдёт дело. Размер вознаграждения определяется соглашением об оказании юридической помощи и фиксируется в нём вместе с объёмом работ — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре». Скрытых платежей нет: всё, что не в соглашении, не оплачивается.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
Кто будет вести ваше дело
Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение
Константин Александрович Вруцкий
№ 78/8790 · адвокат
Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.
Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.
Личное ведениеВеду дело сам — от первого разговора до исполнения. Доверитель — компания или индивидуальный предприниматель, работа идёт по письменному соглашению с адвокатом — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».
Честная оценкаНе обещаю результата: называю реальную перспективу и цену промедления в рублях. Если задача решается силами компании, говорю прямо. Обещать положительный результат адвокату запрещено — п. 2 ст. 10 Кодекса профессиональной этики адвоката.
Адвокатская тайнаСведения о компании, её сделках, контрагентах и финансах, полученные в связи с делом, охраняются законом — рассказать можно всё, включая неудобное. Это адвокатская тайна — ст. 8 ФЗ «Об адвокатской деятельности и адвокатуре».
Понятные следующие шагиОбъясняю значение документа или решения и следующие действия компании. Представительство, обжалование и исполнение входят в согласованный объём помощи по соглашению — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».
Частые вопросы
Что важно знать компании на практике
С чего начать правовую проверку и нужно ли уведомление Роскомнадзора об обработке персональных данных?
С описания процессов: какие сведения собираются, например при оформлении заказа персональные данные клиента, где хранятся и кому передаются. После этого станет ясно, требуется ли уведомление.
Какие нормы следует применить?
Основа — Закон № 152-ФЗ и КоАП РФ; применимость каждой нормы зависит от роли компании и фактической операции.
Подойдёт ли типовой документ, чтобы избежать штрафов за нарушение законодательства о персональных данных?
Нет. Политика обработки персональных данных в 2026 году должна описывать реальные цели и операции компании; типовой текст этого не отражает.
Что сохранить до исправления нарушения — например, политику обработки персональных данных по 152 ФЗ?
Прежние редакции документов, реестр обработок, согласия, поручения, уведомления и журналы доступа. Они показывают, как был устроен процесс защиты персональных данных до изменений.
Показать все вопросыСвернуть
Обязательна ли досудебная претензия, если клиент не ознакомился с политикой обработки персональных данных?
Это зависит от вида спора. Проверяю предмет, стороны и то, была ли на сайте просьба: ознакомьтесь с политикой обработки персональных данных.
Как установить компетентный суд по спору о штрафах за нарушение законодательства о персональных данных?
Это зависит от сторон и предмета: решение органа организация оспаривает в арбитражном суде, иск гражданина — например, по поводу того, как обработаны персональные данные абонента, — рассматривает суд общей юрисдикции.
Можно ли заранее обещать результат, если есть пользовательское соглашение и политика обработки персональных данных?
Нет. Наличие документов не предрешает исход: оценивается, какие меры по обеспечению безопасности персональных данных применялись фактически. Могу оценить риски и подготовить позицию.
Что получает компания после завершения работы по аудиту?
Реестр несоответствий с ответственными и сроками, новые редакции документов и план мер по обеспечению безопасности персональных данных.