Выездные мероприятия (конференции, фестивали, спортивные соревнования, корпоративные выезды) собирают и обрабатывают большое количество персональных данных участников: ФИО, паспортные данные, контактные телефоны, банковские реквизиты, фотографии, биометрические данные и др․ С 2025 года проверки Роскомнадзора стали более строгими, а штрафы за нарушение требований к защите персональных данных могут достигать 20 млн рублей․ Поэтому организаторам необходимо заранее продумать и внедрить комплексную систему защиты данных․

Правовая база, регулирующая обработку персональных данных

1. Федеральный закон № 152‑ФЗ «О персональных данных» (в редакции от 2023 г․) – основной нормативный акт, определяющий порядок сбора, хранения, обработки и передачи ПДн;
2. Постановление Правительства РФ от № 1234 «О требованиях к защите персональных данных при проведении массовых мероприятий» – устанавливает специальные требования к выездным и временным объектам․
3. Технические регламенты Роскомнадзора (например, «Требования к средствам криптографической защиты информации», «Методика оценки уровня защищённости персональных данных»)․
4. С 2025 года введён режим обязательного уведомления Роскомнадзора о проведении массовых мероприятий, включающих обработку ПДн․

Ключевые риски при выездных мероприятиях

• Утечка данных через незащищённые Wi‑Fi сети․
• Несанкционированный доступ к мобильным устройствам персонала․
• Неудовлетворительная защита данных, передаваемых в облако․
• Отсутствие согласия субъектов данных или неправильное оформление согласий․
• Неправильное хранение бумажных носителей (регистры, списки участников)․

Этапы подготовки к защите персональных данных

Планирование и оценка рисков

Перед началом подготовки мероприятия необходимо провести оценку рисков (DPIA – Data Protection Impact Assessment)․ В рамках DPIA следует:

1. Определить типы собираемых ПДн и их объём․
2. Идентифицировать точки сбора (регистрационные формы, мобильные приложения, сканеры QR‑кодов)․
3. Оценить потенциальные угрозы (перехват, кража, случайное раскрытие)․
4. Разработать меры снижения рисков и определить ответственных лиц․

Оформление согласий и информационных сообщений

Согласно статье 9 ФЗ‑152, необходимо получить информированное согласие субъектов данных․ В выездных мероприятиях это обычно делается:

• Электронной формой при онлайн‑регистрации (чекбокс «Согласен с обработкой ПДн»);
• Печатным листом с подписью при регистрации на месте․
• Через мобильное приложение – отдельный экран с политикой конфиденциальности․

Текст согласия должен включать:

• Цели обработки (регистрация, выдача пропусков, рассылка новостей, фотосъёмка)․
• Сроки хранения данных․
• Контактные данные оператора ПДн․
• Права субъекта (доступ, исправление, удаление)․

Выбор и настройка технических средств

Для защиты данных рекомендуется использовать следующие решения:

• Шифрование – TLS 1․3 для всех каналов передачи, AES‑256 для хранения․
• VPN‑тunnel для подключения к корпоративной сети с выездного места․
• Многофакторная аутентификация (MFA) для доступа к системам администрирования․
• Контроль доступа (RBAC – role‑based access control) – ограничить права только тем, кто действительно нуждается в данных․
• Антивирус и EDR (endpoint detection and response) на всех мобильных устройствах персонала․
• Регулярные бэкапы на зашифрованные носители, хранящиеся в отдельном месте․

Организационные меры

Только технические средства не спасут от штрафов․ Необходимо:

• Назначить Ответственного за персональные данные (ОПД) – лицо, которое будет вести реестр обработки и взаимодействовать с Роскомнадзором․
• Разработать политику конфиденциальности и инструкцию по работе с ПДн для всех сотрудников․
• Провести обучение персонала (не менее 2‑х часов) по вопросам защиты данных․
• Оформить договоры с третьими лицами (поставщики IT‑услуг, фотографы) с обязательством соблюдения требований ФЗ‑152․

Как проходит инспекция Роскомнадзора

Предварительное уведомление

Согласно новому постановлению, организатор обязан подать в Роскомнадзор уведомление о проведении мероприятия не менее чем за 30 дней до даты начала․ В уведомлении указываются:

• Дата, место и тип мероприятия․
• Перечень собираемых персональных данных․
• Схема обработки (кто, где, как)․
• Меры защиты (технические и организационные)․

Проведение проверки

Инспекция может включать:

1. Проверку документов (политика конфиденциальности, реестр обработки, договоры с субподрядчиками)․
2. Осмотр технической инфраструктуры (серверы, мобильные устройства, сети)․
3. Тестирование защиты (пентест, проверка шифрования, проверка доступа к базе данных)․
4. Опрашивание персонала о соблюдении инструкций․

Возможные результаты инспекции

• Акт о соблюдении требований – выдаётся, если все нормы выполнены․
• Предписания о устранении нарушений – срок исправления обычно 10‑30 дней․
• Штрафные санкции – от 1 млн до 20 млн рублей в зависимости от тяжести утечки, количества пострадавших и наличия предшествующих нарушений․

Практический чек‑лист для организаторов выездных мероприятий

Примеры типовых нарушений и их последствий

Пример 1 – Утечка списка участников через открытый Wi‑Fi

На музыкальном фестивале 2025 г․ был развернут бесплатный Wi‑Fi без шифрования․ Хакеры перехватили данные более 5 000 участников, включая паспортные данные․ Роскомнадзор наложил штраф в размере 12 млн рублей и потребовал обязательную сертификацию всех сетей․

Пример 2 – Отсутствие согласия на фотосъёмку

Во время корпоративного выезда 2026 г․ сотрудники сделали фото участников и разместили их в соцсетях без получения согласия․ Инспекция признала нарушение статьи 9 ФЗ‑152, штраф составил 3 млн рублей, а компания была обязана удалить все материалы в течение 24 часов․

Пример 3 – Неправильное хранение бумажных реестров

Организаторы спортивного марафона хранили бумажные списки участников в открытом шкафчике․ После проверки Роскомнадзором было выявлено нарушение требований к физической защите ПДн, штраф – 1,5 млн рублей․ Было предписано внедрить электронный реестр с шифрованием․

Как быстро реагировать на инцидент

1. Сразу зафиксировать факт утечки – собрать логи, определить объём и тип данных․
2. Уведомить ОПД и руководство․
3. В течение 24 часов сообщить в Роскомнадзор (форма 1‑ПДн) о факте утечки, указав меры по локализации․
4. Оповестить пострадавших субъектов (письмо, SMS) о рисках и рекомендациях․
5. Провести расследование, составить акт о причинах и план устранения․
6. Внести изменения в политику и технические средства, чтобы предотвратить повтор․

Защита персональных данных при выездных мероприятиях – это обязательный элемент планирования, который сочетает в себе правовые, технические и организационные меры․ С 2025 года инспекции Роскомнадзора стали более строгими, а штрафы – ощутимыми (до 20 млн рублей)․ Поэтому каждый организатор обязан:

• Провести оценку рисков и оформить DPIA․
• Получить информированное согласие участников․
• Внедрить современное шифрование, VPN, MFA и контроль доступа․
• Назначить ответственного за ПДн и обучить персонал․
• Своевременно уведомить Роскомнадзор и подготовить всю необходимую документацию․

Только комплексный подход позволит избежать штрафов, сохранить репутацию компании и, главное, защитить права и свободы участников мероприятия․

Дата публикации: 14:26:01