😎Privacy Due Diligence: не аудит, а управление рисками

✔️ На прошлом потоке DPO RPPAedu.pro впервые прошло занятие «Мастер-класс. Privacy Due Diligence». Алексей Мунтян и Александр Партин вместе со слушателями разбирали, как оператору проверять третьих лиц, которым он передаёт персональные данные.

🔥 К каким выводам пришли:
Privacy Due diligence про управление рисками, а не аудит. Задача DPO не довести контрагента до идеального соответствия, а понять его статус, оценить риски и решить, как с ним работать.

✔️ О чём еще говорили:

🔘Основные типы третьих лиц: получатели-операторы, обработчики по поручению и ГПХ-специалисты

🔘 Специфические контрагенты: госорганы, участники группы, участники оператора, подрядчики «от материнской компании», иностранные контрагенты. От них нельзя отказаться, поэтому вопрос не «работаем ли», а «как работаем».

🔘«Красные флаги» - повод задать вопрос, а не блок-факторы. Отсутствие в реестре, устаревшие акты, шаблонная политика — каждый сигнал требует уточнения, а не отказа.

🔘Инструменты DPO для проверки контрагентов. Запрос документов по обработке и защите ПД, проверка интернет-сайтов, звонок-интервью с DPO контрагента.

📎В канале Privacy Advocates опубликован чек-лист предварительной оценки третьих лиц (который родился по итогам занятия) — с делением на обязательные и рекомендуемые пункты и отдельными блоками для поручения обработки и трансграничной передачи. А как им пользоваться на практике — подробно разбираем на курсе.

⚡️ Записаться на следующий поток

RPPA.pro | RPPAedu.pro | CC

😎Второй набор на наш Мастер-класс по поручению. По вашим просьбам - теперь в онлайне!

⚡️О чем: Поручение на обработку ПД: теория и практика

📱Когда: 6-7 августа с 18:30 по 21:30

☀️Стоимость: 20 000 рублей за каждый день

💫При покупке 2х дней обучения стоимость 35 000 рублей

💌Формат: онлайн.

🔥Преподаватели:

Преподаватели на данный момент выполняют обязанности внешнего DPO в различных крупнейших компаниях и группах компаний страны, в т.ч. в компаниях, которые всегда работают с поручением в рамках своей работы.

🟡Елизавета Чепурина, Руководитель направления в Privacy Advocates. Четыре года в privacy, Ex-in-house DPO ИТ-компании. Практический опыт в уголовно-правовой сфере и сфере государственного управления. Преподаватель курса RPPA-МГУ "152ФЗ: основы и практика защиты персональных данных в организации"

🟡Руслан Чепурин, Руководитель направления в Privacy Advocates. С 2011 по 2019 год посвятил себя работе в государственных органах. С 2019 года в прайваси (инхаус в сфере ИТ/Коммуникациях, консалтинг). Преподаватель курса RPPA-МГУ "152ФЗ: основы и практика защиты персональных данных в организации"

📌Что будет: Программа на картиночке и нашем сайте :)

А еще подготовили 80+ слайдов детальных материалов по поручению.

✔️Как прошел наш первый МК по поручению - здесь

Регистрация на МК

RPPAedu.pro | PPCP.pro | 152ФЗ

😎📸Клуб Work in IP: «Мир информационных посредников: что сказал Конституционный суд в своём постановлении?» — вспомним, как это было!

💬 Спикеры:
🟡Арина Ворожевич;
🟡Анастасия Сковпень.

📌 Тезисы, презентацию и аудиозапись обсуждения забирай на страничке нашего клуба Work in IP by RPPA.pro

📌Сообщество Work in IP

RPPA.pro | RPPAedu.pro | CC

🆕 💫 AIG.Club: AMA-сессия - все, что нужно знать об AIGP

⭐️ Сертификация AIGP вызывает все больше интереса у специалистов по AI Governance, в том числе у слушателей нашей образовательной программы.
Поэтому мы решили провести открытый эфир с человеком, который совсем недавно успешно сдал экзамен и готов поделиться своим опытом

✔️ Гость эфира - Маргарита Сологубенко:

🔘 AI Governance Professional
🔘 Legal & Compliance Advisor (Лиссабон)
🔘 ex-Head of Corporate/M&A в российском консалтинге
🔘 ex-исследователь Data Governance и Public Data Regulation
🔘 Выпускница программы AI Governance от RPPA.PRO

▶️ Модератор встречи - Александр Партин, партнёр и преподаватель программы AI Governance от RPPA.PRO

💬 О чём поговорим:

*️⃣ Что такое сертификация AIGP и зачем она нужна
*️⃣ Кому действительно стоит её получать
*️⃣ Как устроен экзамен: регистрация, формат и процесс сдачи
*️⃣ По каким материалам лучше готовиться и что оказалось самым полезным
*️⃣ Советы тем, кто только планирует сдавать экзамен
*️⃣ + ваши вопросы в прямом эфире!

📌 Когда: 9 июля, 19:00 (МСК)

✏️ Где: онлайн, Zoom

⭐️ Формат: интервью + открытая Q&A-сессия

🔜 Регистрация здесь

🙂 И еще - если есть вопросы по теме, оставляй их в этой форме, и мы обязательно их озвучим

Если вы уже задумывались о сертификации AIGP или просто хотите понять, как выглядит этот путь изнутри, - присоединяйтесь❤️

RPPA.PRO | RPPAedu.PRO | AI Governance | AI Intensive

😎 На прошлом потоке DPO RPPA.pro в рамках занятия «Мастер-класс. Трансграничная передача и выбор стратегии локализации данных», Алексей Мунтян разбирал подход к трансграничной передаче и локализации персональных данных.

🔤 Вместе со слушателями пришли к главной мысли: однозначных ситуаций в этих вопросах не бывает — выбор стратегии и убедительность доводов решают всё.

❓ К каким выводам пришли еще в ходе занятия:

✔️ Уникальность понятия трансграничной передачи в России по критерию иностранного получателя. Эта дефиниция порождает споры относительно наличия или отсутствия трансграничной передачи при использовании иностранных сервисов.

✔️ По статистике ограничения или запреты трансграничной передачи касаются доверенных и недружественных юрисдикций и их небольшое количество (менее 1% от всех уведомлений)

✔️ Очень важно иметь возможность аргументированно и доказуемо определить момент завершения сбора и соответствующее окончание применимости требований ч.5 ст. 18 152-ФЗ.

✔️ Наблюдается тенденция превращения локализации в приземление. Локализация - это регуляторика трансграничных потоков: перед тем как что-то трансграничить, нужно «запетлить» потоки так, чтобы данные в первую очередь аккумулировались и актуализировались в российских базах. Приземление: уже не про потоки, а про технические средства и ПО для обработки информации, размещаемые на территории страны

⚡️Отдельно был разобран Калькулятор выбора стратегии локализации : 10 стратегий локализации от «перенести всё в РФ» до «ничего не делаем», разработанный Privacy Advocates. Подробнее о нем и о локализации вы можете прочитать тут и тут. А про трансграничную передачу есть презентация.

⭐️ На новом потоке вопросам трансграничной передачи и локализации персональных данных будет посвящен полноценный модуль из 5 занятий, из которых: 2 полноценных лекции и 2 практических семинара, а также мастер-класс по выбору стратегии локализации, в ходе которого Алексей Мунтян продемонстрирует работу калькулятора и расскажет о практическом применении этого инструмента.

Старт 07 сентября. Присоединяйтесь.

RPPA.pro | RPPAedu.pro | CC

😎 🆕 AI: Рады анонсировать новый образовательный продукт RPPA.pro - «ИИ регулирование. Intensive»

За последний год мы получили множество запросов на более компактный формат обучения по искусственному интеллекту

🔥 Поэтому этой осенью мы запускаем первый поток «ИИ регулирование. Intensive» - образовательный продукт, который поможет за 6 недель получить фундаментальное понимание использования ИИ в организациях и подготовиться к развитию регулирования искусственного интеллекта

🔜 РЕГИСТРАЦИЯ

▶️ Старт: 1 октября 2026 года

✔️ Стоимость:
*️⃣Ранние пташки: 50 000 руб. (количество мест ограничено)
*️⃣65 000 руб.

📌 Формат:
6 недель, онлайн-занятия по вторникам и четвергам, лекции и воркшопы, тестирование, практические инструменты для самостоятельной работы, чек-листы, базовые шаблоны, бессрочный доступ к записям и материалам курса, сертификат об успешном прохождении

💬 Наши преподаватели:

*️⃣Дмитрий Кутейников, партнер проекта
*️⃣Александр Партин, партнер проекта
*️⃣Анастасия Сковпень, партнер проекта
*️⃣Юлиана Челоненко
*️⃣Артем Никифоров
*️⃣Никита Шилов
*️⃣Павел Мищенко
*️⃣Наталья Спиридонова

❤️ Куратор и координатор: Мария Юрова и Мария Тетюцкая

А пока рекомендуем окунуться во внушительную подборку материалов:

💚 Все мероприятия, записи и тезисы AIG.Club с 2025 года в одном посте
💚Анастасия Сковпень о том, почему нужна маркировка ИИ генераций и должна ли быть ответственность за распространение ИИ контента без маркировки? * данные актуальны на апрель 2025
💚Тезисы с вебинара “Система менеджмента ИИ по ISO/IEC 42001:2023 - первый опыт сертификации ИИ-систем на российском рынке” и чек-лист готовности к сертификации ISO
💚Никита Шилов рассказывает, что такое Generative Pre-trained Transformers? Как работают LLM?

Образовательная лицензия РППА Офис № Л035-01298-77/01030105 от 22 января 2024

RPPA.pro | RPPAedu.pro | AI Intensive

📌📕 AIG.Club: AMA-сессия с Маргаритой Сологубенко - все, что нужно знать об AIGP

9 июля в AIG-сообществе состоялась AMA-сессия с Маргаритой Сологубенко - AI Governance Professional, Legal & Compliance Advisor, выпускницей программы AI Governance от RPPA и обладателем международной сертификации AIGP

💬 О чём говорили:

⏩ Что такое AIGP, зачем получать сертификацию и какие возможности она открывает специалистам в AI Governance

⏩ Как устроен экзамен: формат, типы вопросов, уровень сложности

⏩ Какие материалы действительно помогают при подготовке

⏩ Как использовать Claude и другие AI-инструменты при подготовке

⏩ Какие ошибки чаще всего совершают кандидаты и почему готовиться лучше начинать заранее.

✏️ Подробные тезисы встречи и полезные материалы от Маргариты уже доступны на странице нашего сообщества

RPPA.PRO | RPPAedu.PRO | AI Governance | AI Intensive

😎Обновлённая программа Cyber in Privacy

Всем привет! Меня зовут Шипунова Вера, я магистр по специальности «Информационная безопасность» и куратор направления Cyber.

Мой путь в информационной безопасности начался в 2020 году с подачи документов на эту специальность. Тогда я не имела ни малейшего представления о своей будущей профессии, но постепенно влюбилась в ИБ и теперь уже не представляю себя вне этой сферы.

Наверное, именно поэтому мне особенно важно, как мы учим информационной безопасности. Не как набору терминов, требований и аббревиатур, а как целостной системе, в которой связаны бизнес, данные, инфраструктура, угрозы, риски и конкретные меры защиты.

Перед новым потоком мы серьёзно пересобрали программу: посмотрели на обратную связь участников, обсудили курс с преподавателями и усилили те места, где одной лекции было объективно недостаточно.

🌟Что изменили:

1️⃣Усилили блок по нормативному регулированию ИБ: добавили отдельные занятия по системе законодательства, режимам защищаемой информации, лицензированию, аттестации, сертификации и КИИ.

2️⃣Добавили семинары по разбору домашних заданий, чтобы участники получали обратную связь, исправляли ошибки и дорабатывали проект до перехода к следующему этапу.

3️⃣Усилили практическую логику курса: все задания связаны между собой и постепенно складываются в единый проект ПОИБ — от описания процессов, активов и инфраструктуры до модели угроз, требований и архитектуры защиты.

4️⃣Сделали ещё сильнее связку нормативки, технологий и бизнес-логики, чтобы участник понимал не только что нужно сделать, но и почему именно такое решение необходимо конкретной системе.

При этом сохранили то, что для нас принципиально важно: один сквозной кейс на весь курс, CyberLab, проектные домашние задания и финальную защиту проекта перед условным руководством.

Для меня обновлённый Cyber in Privacy — это именно тот курс, который я сама хотела бы пройти в начале своего пути в информационной безопасности.

Ознакомиться с обновленной программой и зарегистрироваться можно здесь

RPPA.pro | RPPAedu.pro | Cyber in Privacy

📌🍀 AI: Почему цифровая трансформация медицины — вопрос не технологий, а управления

💬 В первом выпуске «ЭХО медицины» — аналитический материал о том, как цифровая трансформация меняет логику здравоохранения и что это означает в российском контексте:

🔘 Кадры из прошлого. Российской системе не хватает 29 тыс. врачей и 63 тыс. медработников среднего звена. Федеральный проект «Кадры» предлагает мобилизационные решения в духе Семашко — но работают ли они в условиях конкурентной экономики?
 
🔘 Цифровизация без стратегии. Национальный проект «Продолжительная и активная жизнь» ставит амбициозные цели — платформа «Здоровье», дистанционный мониторинг, электронный документооборот. Но кадровый блок этих целей словно не замечает.
 
🔘 Гонка, в которой нельзя проиграть. Страны, первыми создавшие большие медицинские цифровые модели ведения пациентов, получат не просто конкурентное преимущество — они получат контроль. Те, кто опоздает, рискуют оказаться в технологической зависимости: доступ к моделям будет предоставляться на условиях владельцев
 
🔘 Не оцифровывать старое, а строить новое. Задача не в том, чтобы дублировать функции врача и ИИ, — это лишь увеличит затраты. Цель — сократить потребность в линейном клиническом персонале, устранить неэффективные назначения и направить ресурсы к современным технологиям.

✏️ Подробности – на сайте

😎💫Privacy Engineering: обращение партнера и соавтора нашего продукта Privacy Engineering Олега Блинова по итогам окончания 4-го потока!

"Привет! Это Олег, соавтор курса по privacy engineering. Мы завершили очередной поток и я хочу поделиться мыслями.

Когда мы с Лизой и командой RPPA.pro запускали первый поток, программа сразу сложилась удачно. Основная идея курса оказалась очень точной, и отзывы превзошли мои ожидания. Тогда я почувствовал, что такое успех с первого запуска.

Однако после четвертого потока я понял: моя удача не только в старте, но и в работе с невероятно талантливыми коллегами и студентами. Они превратили курс в самоподдерживающуюся реакцию.

Например, после третьего потока мы получили важный урок по домашним заданиям. Раньше каждое задание было оторвано от других: мы рассматривали разные продукты и ситуации в рамках одной компании, и у студентов не складывалась целостная картина. Несмотря на хорошие отзывы, мы поняли, что это мешает обучению.

Между третьим и четвертым потоком мы полностью переработали практику, объединив все задания в единую логическую историю.

Мой главный вывод: качественный продукт — это не только видение авторов, но и результат непрерывного цикла обратной связи. Хороший курс привлекает талантливых людей, а они, в свою очередь, делают его еще лучше."

💫Обращение партнера и соавтора курса Елизаветы Дмитриевой по итогам позапрошлого 3-потока

RPPA.pro | RPPAedu.pro | Privacy Engineering

📕 🍀 AI: Подготовили материалы с канала Webiomed - платформа прогнозной аналитики для здравоохранения на основе искусственного интеллекта

🔘 Wolters Kluwer Health выделила главные опасения врачей и пациентов по поводу внедрения ИИ в здравоохранении в 2026 году

🔘 Искусственный интеллект не исправит ситуацию в здравоохранении, пока мы не исправим инфраструктуру

🔘 Что нужно знать о регистрации программных медицинских изделий с ИИ

🔘 CB Insights выпустили отчет «Состояние цифрового здравоохранения в 1 квартале 2026 года»

🔘 Цифровизация и ИИ в медицинском бизнесе — как конкурентное преимущество

👇 Подписаться на канал: TG | MAX

Главная ошибка privacy-комплаенса: проверять доки, не проверяя инфраструктуру

Пост подготовлен командой Cyber in Privacy, когда DPO != юрист

Часть 1 - Часть 2

В реестре процессов может быть указано:

цель → состав данных → правовое основание → срок хранения → получатели

Но фактическая обработка выглядит иначе:

человек → система → API → DWH → выгрузка в файл на комп → почта → подрядчик, а за скобками: лог, резервная копия, тестовая среда

Именно на второй маршрут смотреть бы DPO.

Документы подтверждают, как процесс должен быть организован. Архитектура, настройки систем и действия пользователей показывают, как он работает в действительности.

Где чаще всего возникают расхождения:

🟣Доступы

Сотрудник сменил должность или проект, но его учетная запись сохранила прежние роли.

Общая учетная запись используется несколькими работниками.

Администраторы и сервисные аккаунты имеют доступ ко всему массиву данных без обоснования.

📌Для DPO важно инициировать проверку:

кто фактически имеет доступ;
по какому основанию он предоставлен;

соответствует ли роль должностным обязанностям;
проводится ли ресертификация;

как быстро доступ прекращается после увольнения или смены роли;

журналируются ли действия привилегированных пользователей.

🟣Выгрузки

В основной системе действуют разграничение прав, журналирование и сроки хранения. После выгрузки в Excel эти меры перестают работать.

Файл может оказаться:

в почте;

в мессенджере;

на локальном диске;

в общей папке;

в личном облаке;

на устройстве подрядчика.

DPO должен понимать не только, кто может нажать кнопку «Экспорт», но и:

зачем пользователю нужна выгрузка;

какие поля в нее попадают;
ограничивается ли объем данных;

маркируется ли файл;

контролируется ли его дальнейшее распространение;

установлен ли срок удаления локальной копии.

🟣Интеграции и API

Система может передавать больше атрибутов, чем требуется принимающему сервису. Например, для проверки статуса заказа достаточно идентификатора и статуса, но API дополнительно передает ФИО, телефон, адрес и историю покупок.

При проверке интеграции DPO нужны ответы на вопросы:

какие поля передаются;

в каком направлении;

с какой частотой;

на каком основании;

шифруется ли канал;

журналируется ли передача;

где данные сохраняются после получения;

может ли принимающая система использовать их для других целей;

что происходит после прекращения интеграции.

🟣Тестовые среды

В dev-средах нередко используются копии продуктивных баз.

При этом тестовая инфраструктура обычно:

хуже защищена;

доступна большему числу специалистов;

не включена в реестр информационных систем;

не покрыта установленными сроками хранения;

размещена у внешнего разработчика или в отдельном облаке.

Безопасная модель предполагает синтетические либо корректно обезличенные данные. Простое удаление ФИО не всегда является обезличиванием: человека могут определить по телефону, адресу, номеру заказа, cookie, идентификатору устройства или сочетанию атрибутов.

🟣Логи

Логи могут содержать:

идентификаторы пользователей;

IP-адреса;

телефоны и email;

параметры API-запросов;

поисковые запросы;

содержание ошибок;

токены доступа;

фрагменты документов.

Логирование часто рассматривается как чисто технический процесс, хотя фактически создает дополнительный массив персональных данных.

📌DPO необходимо инициировать проверку:

какие события журналируются;

не записывается ли тело запроса целиком;

кто имеет доступ к логам;

где они хранятся;

установлен ли срок хранения;

маскируются ли чувствительные поля;

попадают ли логи в SIEM и внешние сервисы мониторинга.

🟣DWH, аналитические витрины и профилирование

Удаление записи в CRM не означает удаления данных из:

DWH;

BI-системы;

аналитической витрины;

системы рекомендаций;

ML-модели;

архива;

резервной копии.

📌DPO должен установить, какие производные данные создаются из исходной записи и возможно ли связать их с конкретным человеком.

Особенно важно различать:

агрегацию;

псевдонимизацию;

обезличивание;

удаление прямых идентификаторов.

Это разные технические состояния данных и разные уровни риска.

Главная ошибка privacy-комплаенса: проверять доки, не проверяя инфраструктуру

Пост подготовлен командой Cyber in Privacy, когда DPO != юрист

Часть 1 - Часть 2

🟣Резервные копии

Требование удалить данные невозможно корректно реализовать, пока не определено:

в какие бэкапы они попадают;

как долго хранятся копии;

возможно ли точечное удаление;

когда данные окончательно исчезнут;

могут ли удаленные сведения восстановиться вместе с резервной копией.

Для бэкапов обычно нужен отдельный режим: ограниченный доступ, запрет использования для текущих операций, установленный цикл перезаписи и повторное применение удаления после восстановления.

🟣Подрядчики

В договоре может быть указан ограниченный набор данных, но технически подрядчик получает доступ ко всей системе или продуктивной базе.

📌DPO должен сопоставлять договор не только с описанием процесса, но и с:

матрицей доступов;

архитектурой подключения;

перечнем учетных записей;

журналами действий;

возможностью выгрузки;

перечнем субподрядчиков;

местами хранения данных;

порядком прекращения доступа после завершения договора.

📌Минимальный технический чек-лист DPO

При проверке нового процесса недостаточно спросить: «Есть ли согласие и договор?»

Нужно установить:

✔️Откуда поступают данные?
Форма на сайте, приложение, cookie, телефонный звонок

✔️Какие системы их получают?
Не только основная система, но и DWH, BI, CRM, сервисы аналитики, управления доступом, логирования и резервного копирования.

✔️Какие идентификаторы используются?
ФИО, номер телефона, email, client ID, device ID.

✔️Кто имеет доступ?
Работники, администраторы, разработчики, служба поддержки, подрядчики, аналитики.

✔️Какие копии создаются
Выгрузки, кэш, бэкапы, тестовые базы, почтовые вложения.

✔️Куда данные передаются?
Внутри группы компаний, внешнему оператору, обработчику, облачному провайдеру, сервису аналитики.

✔️Как реализуются сроки хранения?
Автоматическим правилом, ручным удалением, архивированием или только записью в политике.

✔️Как исполняются права субъекта?
Можно ли найти, выгрузить, исправить, заблокировать и удалить данные во всех связанных системах.

✔️Какие технические меры применяются?
IAM, RBAC/ABAC, MFA, шифрование, DLP, DCAP, журналирование, маскирование, сегментация сред.

✔️Что произойдет при инциденте?
Можно ли определить затронутые данные, субъектов, пользователей и системы.

✔️Какие документы стоит запросить у ИТ и ИБ

DPO полезно работать не только с политиками и согласиями, но и с техническими материалами:

архитектурной схемой;

data flow diagram;

реестром информационных активов;

каталогом интеграций;

матрицей ролей и доступов;

описанием API;

правилами логирования;

схемой резервного копирования;

регламентом управления учетными записями;

результатами сканирования DLP/DCAP;

моделью угроз;

отчетами по уязвимостям;

регламентом реагирования на инциденты;

актами удаления и прекращения доступа подрядчиков.

❓Вопрос, который меняет качество privacy-проверки

Не:

«В каком документе описана обработка?»

А:

«Покажите, где физически находятся данные, как они туда попадают, кто может их получить и как они удаляются».

DPO не обязан самостоятельно настраивать SIEM, IAM или DLP. Но он должен понимать, какие технические доказательства подтверждают соответствие и где юридическая модель расходится с реальной инфраструктурой.

Именно этот разрыв между privacy и ИБ мы разбираем на Cyber in Privacy: без попытки превратить DPO в инженера, но с пониманием архитектуры, доступов, интеграций, логов, тестовых сред, DLP, DCAP и технического жизненного цикла данных.

RPPA.pro | RPPAedu.pro

😎 Профилактический визит РКН: всё, что важно знать

Публикуем итоги вебинара от Лии Барсегян об особенностях проведения профилактических визитов представителей Роскомнадзора!

ССЫЛКА VK | YOUTUBE

⭐ А также полезную информацию по профвизиту от спикера:

1️⃣ Смотрим сам Приказ № 390

В плане профвизитов указан уровень риска и срок проверки в рабочих днях. Это подсказка — какие вопросы будут в приоритете у РКН и что стоит проверить у себя первым делом.

Риск = тяжесть (ex., категории ПД, наличие ТГП) + вероятность (были ли нарушения раньше). Срок = насколько критична обработка ПД в компании с точки зрения интересов субъектов. Чем крупнее компания, чем больше история нарушений и чем чувствительнее ПД/обработка ПД — тем выше внимание регулятора.

2️⃣ Аудит

🔘 DPO обычно живет в режиме вечного аудита, а профвизит — отличный повод ускорить эту работу.

🔘 Берите за основу Приказ № 253, примерный перечень ТО РКН и предлагаемые консалтингом списки документов, отмечайте: что есть, что лишнее, чего не хватает.

🔘 Проведите обучение — базовое по ст. 22.1 и отдельно расширенное для руководства.

🔘 Главная задача — актуализировать сведения о процессах обработки. Вместе с ИТ и подразделениями обновляете объемы ПД, категории субъектов, места и системы обработки — и уже сможете обновить/создать документы.

⚠️ На что обратить внимание:
— после тренингов из-за фонового стресса коллеги начинают видеть ПД там, где их нет
— легаси-системы легко забыть при инвентаризации
— если решение нельзя объяснить — скорее всего, это разовое решение конкретного человека, и его можно пересмотреть

3️⃣ Что может спросить инспектор

Списки документов примерные, не исчерпывающие. Если вы спецсубъект — добавьте свои специальные документы.

🔘 РКН может запросить договоры на SaaS (проверить основание обработки), попросить показать запирающиеся шкафы (ПП 687), защищенность серверной (ПП 1119), продемонстрировать системы по видеосвязи.
🔘 Также могут спросить про сроки обработки, отсутствие положения об Awareness, процесс уничтожения данных, периодичность процедур внутреннего контроля и подтверждение их проведения — и любые другие вопросы по сути обработки ПД и подходам к организации обработки.

4️⃣ Технические моменты

▶️ Документы vs процессы — не привязывайте документы жестко к процессам. То, что требует закон, и то, что нужно бизнесу — разные истории. РКН смотрит на соответствие допустимого разрешенному/незапрещенному. Поэтому оптимально: сначала «базовый стандарт» по закону, а внутри него — реестр процессов, точечные инструкции/журналы/реестры и все, что нужно бизнесу, — уже во исполнение стандарта.

▶️ Полномочия — проверьте, что у вас все в порядке с полномочиями, и заранее протестируйте приложение «Инспектор».

▶️ Звонок инспектору — после уведомления можно и стоит позвонить: уточнить формат и сроки передачи документов, их перечень, договориться об актуализации устаревшего уведомления после аудита, обсудить специфику компании и любые вопросы, которые вас волнуют.

▶️ Не бойтесь обращаться к регулятору — цель профвизита не наказание. Это подтверждается и моим опытом, и опытом знакомых, а главное — прямо написано в Приказе № 390: профилактика направлена на решение проблем низкой правовой грамотности и информированности операторов.

5️⃣ Если до визита осталось 2 недели

🔘 Донесите руководству важность процесса — если игнорировать профвизит, у РКН останется только один рычаг: КоАП.
🔘 Найдите похожую по профилю компанию и возьмите за основу ее реестр целей из реестра РКН.
🔘 Разбейте работу по направлениям (бухгалтерия, кадры, бизнес) и раздайте ответственным — так быстрее собрать актуальный реестр процессов.
🔘 Ходите хвостиком за ИБ/ИТ — просите реестр ИСПДн, если отсутствует — информационных систем, а далее сверьте этот реестр со сведениями, которые предоставят непосредственные пользователи систем.

На основе этого уже можно собрать минимально необходимый пакет документов.

6️⃣ Примерный список документов

⏩Политика обработки
⏩Положение об обработке
⏩Порядок проверки потенциальных обработчиков
⏩Форма запроса проверки текущих обработчиков
⏩Форма поручения как ДС и как отдельное соглашение
⏩Awareness
⏩Реестр мест хранения и допусков к работе с ПД (ПП 687)
⏩Журнал ознакомления (всех сотрудников)
⏩Реестр мест хранения и допусков к работе с ПД (ПП 1119)
⏩Акты блокирования/уничтожения если есть за 3 года
⏩Инструкция DPO
⏩Приказ о назначении DPO
⏩Порядок обработки обращений и запросов
⏩Внутренний контроль и анкеты для аудита
⏩DOs & DON'Ts для всех работников
⏩RoPA и опросник для нее
⏩Акт оценки вреда
⏩Реестр носителей информации
⏩Журналы обращений и запросов за 3 года (даже если пустые)
⏩Форма согласий
⏩Положение о защите
⏩Приказ на CISO (если требуется по ПП 1119)
⏩Инструкция CISO (если требуется по ПП 1119)
⏩Руководство по ИБ Реагирование на инциденты
⏩Реестр СЗИ/СКЗИ
⏩Реестр ИСПДн
⏩Иные документы в зависимости от специфики компании (КИИ, 1УЗ, лицензируемая деятельность и тд)
⏩Могут запросить: конкретные согласия, любые ЛНА, формы ТД и договоров на услуги (хранение, телеком, пр.)
⏩Документы для МП/сайта – по ссылке

RPPA.pro | RPPAedu.pro | CC | Telegram | Yandex

🆕📱 Мастер-класс «Маркировка синтетического контента: ЕС и международные практики»

Со 2 августа 2026 года в ЕС начинают применяться требования о маркировке контента, созданного при помощи ИИ. Разбираемся, кого они касаются, что именно придётся наносить на контент и как ту же задачу решают в России и других юрисдикциях

💬 Спикеры:

*️⃣Дмитрий Кутейников — юрист и исследователь в сфере AI Governance, к.ю.н., партнёр и лектор RPPA, автор тг-канала howtocomply_AI: право и ИИ
*️⃣Анастасия Сковпень — юрист в сфере интеллектуальной собственности, член AIPPI, партнёр и лектор RPPA, автор тг-канала «Вычислить по IP»

🔥 На мастер-классе мы обсудим:

▶️ Что такое синтетический контент по смыслу Регламента ЕС по ИИ, и какой контент маркировать не нужно
▶️ Как распределяются обязанности по маркировке между разными субъектами в цепочках поставок систем и моделей ИИ
▶️ Сколько уровней маркировки должен содержать синтетический контент?
▶️ Разбор измнений в рамках Digital Omnibus, особенностей Европейского Кодекса практик по прозрачности синтетического контента и разъяснений Еврокомиссии
▶️ Как аналогичные задачи решают в Китае, России, США, Южной Корее и других юрисдикциях
▶️ Что учитывать компаниям, которые работают на нескольких рынках сразу

📌Когда: 4 августа, 19:00

✏️ Формат: онлайн, Zoom

📎 Регистрация по ссылке

Присоединяйся к осеннему ИИ-интенсиву❤️

RPPA.pro | RPPAedu.pro | AI Intensive