26 июля вступили в силу изменения статьи 12 152-ФЗ о трансграничной передаче персональных данных

Исчезли все упоминания Конвенции № 108. Формальное участие государства в Конвенции больше не гарантирует ему статус «адекватного». Теперь единственный ориентир - перечень государств, который ведет сам Роскомнадзор (пока - там почти все те же лица, но все может измениться в любой момент)

Регулятор продолжает ужесточать и детализировать требования. В том числе в области трансграна.

А какие процессы вообще должны быть у оператора в 2026 году? На всякий случай - вот базовый минимум документов (с точки зрения РКН 😀), выглядит сейчас выглядит примерно так:

- Положение об обработке персональных данных
- Документы о назначении ответственного за организацию обработки ПДн
- Обязательство работника о соблюдении конфиденциальности
- Регламент рассмотрения обращений субъектов ПДн
- Соглашение об обработке ПДн (или хотя бы рабочие шаблоны)
- Типовые формулировки для договоров с третьими лицами
- Шаблоны согласий работников
- Шаблоны согласий иных лиц (кандидаты, представители и т.д.)
- Перечень процессов обработки ПДн
- Перечень подразделений и лиц, допущенных к обработке
- Уведомления в Роскомнадзор (об обработке и о трансграничной передаче)
- Документы по доступу и хранению материальных носителей
- Документ о раздельном хранении материальных носителей
- Политика уничтожения ПДн
- Политика внутреннего аудита / контроля соответствия
- Политика оценки вреда субъектам ПДн
- Политика по инцидентам и уведомлению Роскомнадзора
- формы актов уничтожений, акт оценки уровня угроз

И это еще без технического блока (сама модель угроз, акты определения уровня защищенности и т.д.). Страшно? 😎

Хорошая новость в том, что как театр начинается с вешалки - так и работа с персональными данными начинается с аудита. Пока вы не поняли и не описали свои реальные процессы - любые документы будут либо мертвыми (в лучшем случае), либо опасными (если вы их еще кому-нибудь покажете)

Особенно это касается трансграничной передачи. После июльских изменений просто «у нас было все по Конвенции 108» уже не прокатит. Нужно сверяться с актуальным перечнем Роскомнадзора и правильно оформлять основания.

Сначала фиксируем, что и как обрабатывается на самом деле. Потом уже пишем бумаги, которые этому соответствуют. А не наоборот 👋