🌐 Опубликована новая редакция международного стандарта ISO/IEC 27701:2025 «Информационная безопасность, кибербезопасность и защита конфиденциальности. Системы управления информационной приватностью. Требования и руководство»
🔸В отличие от версии 2019 года, которая была лишь расширением ISO 27001, версия 2025 года является самостоятельным полноценным стандартом системы управления информационной приватностью (PIMS).
💡 Инфоприватность больше не является подмножеством безопасности; это стратегическая дисциплина, которая способствует укреплению доверия, соблюдению нормативных требований и получению преимуществ на рынке.
🔐 Новый стандарт полностью соответствует ISO/IEC 27001:2022 и вводит обновленные меры контроля для искусственного интеллекта, облачных сред и трансграничных потоков данных. Управление рисками инфоприватности теперь находится на одном уровне с рисками безопасности, а не ниже них.
🧭 Новая редакция ISO 27701 подразумевает более строгие механизмы управления, четко определенные роли в области инфоприватности, измеримые KPI и постоянный мониторинг эффективности.
🏢 Организации, сертифицированные по ISO 27701:2019, будут иметь переходный период, но но уже должны начать планировать обновление PIMS по новым требованиям.

🚀 Ключевые обновления:
1. Стандарт имеет собственные положения о системе управления (4–10), благодаря чему PIMS может быть внедрена независимо.
2. Ориентация на управление рисками стала более явной благодаря расширенным требованиям к управлению рисками и обработке данных, включая новые векторы угроз (например, ИИ, автоматизированная обработка, третьи стороны).
3. В разделе Приложения A перечислены цели контроля как для контролеров, так и для обработчиков персональных данных (PII), а также набор мер контроля с учетом соображений безопасности для обоих типов обработчиков.
4. Приложение B содержит руководство по внедрению («передовые практики») для контролеров и обработчиков PII.

🏛️ Глава Минцифры РФ Максут Шадаев сообщил, что несмотря на непростую экономическую ситуацию, расходы компаний на информационную безопасность растут, а число утечек персональных данных снижается: с начала года в РФ зафиксированы всего 65, тогда как в прошлом году их было 135.
🔸"Я не знаю, являются ли текущие цифры по утечкам результатом (принятия - ИФ) этого закона или так совпало. Но у нас есть данные Роскомнадзора. Это официально зарегистрированные крупные утечки персданных. В прошлом году было порядка 135. А сейчас у нас, я боюсь сглазить, но сейчас у нас пока 65", - сказал Шадаев в четверг на ежегодной конференции "Сохранить всё. Безопасность информации".

🏛 Опубликована обновленная редакция законопроекта о втором пакете мер по противодействию телефонному мошенничеству и кибермошенничеству («Антифрод-2»), статья 5 которого предлагает изменения в 152-ФЗ
🔸С помощью Реестра пользователи смогут отслеживать выданные ими разрешения на обработку такой информации коммерческим организациям. В частности, пользователи «Госуслуг» смогут их выдавать и при необходимости отзывать.
🔸Когда пользователь госпортала обращается за услугами банков, операторов связи и крупных цифровых платформ, бизнес может запросить у него согласие на предоставление данных профиля на «Госуслугах». Предполагается, что новая система управления согласиями будет постепенно расширять этот механизм на новых участников, позволяя гражданам лучше понимать, что происходит с их ПД.
🔸Стоит отметить, что актуальная редакция законопроекта уже не содержит норм о возможности получения согласий на обработку ПД только в случае, если такая обязанность предусмотрена законом. Иначе говоря, операторы по-прежнему смогут запрашивать согласие у субъекта ПД во всех случаях, когда это явно не запрещено законом.
💡Privacy Advocates подготовили для вас сравнительную таблица изменений в 152-ФЗ от 27.07.2006 «О персональных данных», предусмотренных законопроектом.

🇪🇺 В ноябре 2025г. Еврокомиссия представит пакет реформ, который существенно пересмотрит действующее цифровое законодательство: положения о приватности из ePrivacy будут согласованы с GDPR и Директивой о цифровых услугах, а требования NIS2 и Cyber Resilience Act станут прозрачнее для компаний всех отраслей.

🏛️ В новой версии второго пакета антифрод-поправок Минцифры изменило требования к получению бизнесом согласий на обработку персональных данных
🔸Предполагается, что передавать на «Госуслуги» нужно будет не все, а только то, что оговорено в подзаконных нормативных актах. При этом Минцифры решило оставить бизнесу полную свободу в сборе согласий во всех возможных случаях. Бизнес считает, что, по сравнению с предыдущей версией поправок, новые требования реализовать чуть проще.
🔸«Бизнесу для подключения к ЕСИА нужно инвестировать в соответствующую инфраструктуру. Для операторов это будет определенным вызовом. У крупных компаний уже давно существуют собственные системы управления согласиями, и теперь им придется так или иначе «приземлять» всю эту активность на ЕСИА», — пояснил эксперт по защите персональных данных и соучредитель Regional Privacy Professionals Association (RPPA) Алексей Мунтян. «Каждый год компании и организации получают миллиарды согласий на обработку персональных данных. Это будет большой нагрузкой на ЕСИА и на бизнес. Инвестиции на присоединение к ЕСИА будут заложены в стоимость тех товаров, работ, услуг и сервисов, которые бизнес предоставляет», — добавил он.

🥲 Как корреспондент «Ъ» судился из-за утечки персональных данных
🔸В мае 2022 года Telegram-канал «Утечки информации» сообщил, что в даркнете появилась база данных клиентов сети медицинских лабораторий «Гемотест», состоящая из 30,5 млн строк.
🔸Примерно за год до утечки журналист обращался в «Гемотест» за медицинскими исследованиями, поэтому предположил, что его личные данные тоже могли оказаться в открытом доступе. Но служба поддержки компании не помогла в этом разобраться: ответы операторов на мои неоднократные запросы ограничивались лишь упоминанием о «проведении внутренней служебной проверки», срок завершения которой «не сообщается».
🔸В конце концов в феврале 2024 годажурналист решил обратиться с потребительским иском к «Гемотесту» в Пресненский райсуд Москвы, требуя взыскать с компании компенсацию морального вреда. К заявлению он приложил, в частности, постановление мирового судьи от 8 июля 2022 года о привлечении «Гемотеста» к административной ответственности по факту утечки, а также отчет Telegram-бота для проверки слива персональных данных по имени, в котором оказались результаты медицинских анализов журналист.
🔸Простое, казалось бы, разбирательство затянулось более чем на год. В мае 2025 года Пресненский райсуд объявил решение по моему иску, а мотивированный судебный акт изготовил только в октябре. Требования к компании были отклонены. Судья сочла, что журналист не представил «каких-либо законных и допустимых доказательств», но не пояснила, как пришла к этому выводу. По мнению суда, в материалах дела ничего не свидетельствовало о связи утекших персональных данных с компанией-ответчиком: истец не продемонстрировал, что злоумышленники изъяли данные именно из базы данных сети медицинских лабораторий.
🔸Выводы первой инстанции противоречат практике Второго кассационного суда общей юрисдикции по аналогичным искам потребителей против «Яндекс.Еды», допустившей утечку персональных данных клиентов в 2022 году. В случае с «Яндекс.Едой» кассация как раз признала допустимыми доказательствами скриншоты с сайта, где злоумышленники опубликовали слитые сведения, и обязала возместить моральный вред. Впрочем, на уровне районных судов этим истцам тоже было сложно добиться компенсации. Все эти доводы журналист привел в апелляционной жалобе, которую теперь предстоит рассмотреть Мосгорсуду.

🏛️ В Госдуме заявили, что идею о входе в интернет по паспорту будет сложно реализовать
🔸Первый зампред комитета Госдумы по информационной политике Антон Ткачев заявил, что инициативу доступа по паспорту к контенту «18+» в интернете будет сложно реализовать. Он также обратил внимание на опасность утечки данных россиян.
🔸Предложение внедрить в России обязательную идентификацию с использованием паспортных данных для доступа к онлайн-контенту, предназначенному для взрослой аудитории (18+), предложил член Общественной палаты Евгений Машаров. Автор идеи уверен, что существенная доля подростков имеет свободный доступ к материалам с маркировкой «18+», включая видеоролики блогеров, содержащие нецензурную брань, сцены насилия и пропаганду девиантного поведения. Такой контент, по его мнению, «способствует формированию у молодежи неправильных моделей поведения, размыванию моральных ценностей и утрате культурных ориентиров».

🏛️ Москалькова призвала усиливать меры по защите персональных данных
🔸Миллионы людей в мире становятся жертвами хищения персональных данных, в условиях цифровизации общества нужно усилить меры по их защите. Об этом заявила уполномоченный по правам человека в РФ Татьяна Москалькова в ходе IX Международной научно-практической конференции "Проблемы защиты прав человека: обмен лучшими практиками омбудсменов" на тему защиты прав человека в условиях цифровизации.
🔸"Сегодня во всем мире наблюдается рост хищений персональных данных, жертвами становятся миллионы людей. Мы просим органы государственной власти усилить меры для того, чтобы обеспечивались права человека на охрану личного пространства индивида, на защиту личной и семейной тайны, тайны о его состояние здоровья, тайны о его взаимосвязях", - сказала она.

#privacy #dataprotection #пд #152фз #регуляторика #сопд #согласие #юмор

⚖️ ВС РФ не счел нарушением передачу данных об умерших ритуальщикам за деньги
🔸Согласно материалам дела, с августа 2019 года по начало января 2023 года cудмедэксперт работал судебно-медицинским экспертом саранского судебно-биологического отделения Республиканского бюро судебно-медицинской экспертизы (РБСМЭ), совмещая при этом должность дежурного врача-судмедэксперта судебно-медицинского отделения исследования трупов РБСМЭ. Он получил от представителей ритуальных агентств 625,1 тыс. рублей за предоставление информации о фактах смерти граждан, их персональных данных и местах нахождения трупов. Его действия были квалифицированы по ч. 5 ст. 290 УК РФ (Получение взятки в крупном размере).
🔸В феврале 2024 года суд первой инстанции признал судмедэксперта виновным в четырех эпизодах преступления и приговорил его к семи с половиной годам лишения свободы в ИК строгого режима. Затем апелляция изменила приговор, переквалифицировав действия осужденного на ч. 1 ст. 285 (злоупотребление должностными полномочиями) и назначила ему наказание в виде двух с половиной лет лишения свободы в колонии-поселении. Кассация с этим согласилась. Защита осужденного подала жалобу в Верховный суд.
🔸Судебная коллегия Верховного суда РФ предыдущие решения отменила. По мнению Верховного суда, у осужденного отсутствовали организационно-распорядительные полномочия, он не занимал руководящую должность, то есть он был простым специалистом, а потому возбуждение в отношении него дела по статье о взятке некорректно. В свою очередь, апелляция не указала, в чем именно выражалась существенность нарушения судмедэкспертом прав и законных интересов граждан, охраняемых законом интересов общества или государства. По этим основаниям суд отменил обвинительный приговор судмедэксперту.

⚖️Суд: информированное добровольное согласие на медицинское вмешательство и согласие на обработку персональных данных не являются односторонними сделками
🔸Гражданка подала иск как ближайшая родственница пациента, поскольку считала, что имеет право оспорить добровольное информированное согласие на медицинское вмешательство, которое было подписано в состоянии тяжёлого психического расстройства и под влиянием сильнодействующих психотропных препаратов. Пор её мнению, наследники вправе обратиться в суд после смерти наследодателя с иском о признании недействительной совершенной им сделки, в том числе по предоставлению информированного добровольного согласия и согласия на обработку персональных данных.
🔸Грязинский городской суд Липецкой области в своем решении отказал в удовлетворении иска и указал, что нормами гражданского законодательства не предусмотрено, что информированное добровольное согласие на медицинское вмешательство и согласие на обработку персональных данных являются односторонними сделками и они могут быть признаны недействительными.
🔸Определением Первого кассационного суда общей юрисдикции от 16.09.2024 по делу №88-29471/2024 решение Грязинского городского суда Липецкой области от 30.01.2024 и апелляционное определение судебной коллегии по гражданским делам Липецкого областного суда от 27.05.2024 г. оставлены без изменения.

🇦🇲 В Армении обсуждают создание структуры по надзору за защитой данных
🔸Под председательством министра юстиции Србуи Галян состоялось совещание, в ходе которого был обсужден процесс создания нового органа по защите персональных данных. Участники подчеркнули, что учреждение такой структуры важно для укрепления институциональной базы в сфере защиты персональной информации.

🏛️ Григоренко: бизнес сможет запрашивать необходимые данные для обучения ИИ
🔸Возможность запросить данные, необходимые для обучения ИИ, появится на федеральном портале открытых данных. Представители бизнеса смогут оставить заявку, указав, для чего потребуется массив информации, сообщил вице-премьер - руководитель аппарата правительства РФ Дмитрий Григоренко.
🔸Он пояснил, что доступ к данным необходим для обучения ИИ. Уже созданы Единая информационная платформа национальной системы управления данными (ЕИП НСУД) и портал открытых данных data.gov.ru, работают ведомственные и региональные порталы открытых данных и датасетов.

💡Замглавы Роскомнадзора Милош Вагнер на «Евразийском конгрессе по защите данных 2025» заявил о разработке стандартов по персональным данным
🔸В стандарты будут вшиты правила и принципы работы с данными, установленные законом. Они должны быть настроены таким образом, чтобы защищать права субъектов и удовлетворять потребности бизнеса в осуществлении своей деятельности.
🔸Стандарты станут четкими инструкциями для тех, кто готов соблюдать закон. Роскомнадзор уже нашел концептуальную поддержку этой инициативы в Минцифры, Минэкономразвития и других профильных федеральных ведомствах, отметил замглавы ведомства.

🏛️ Роскомнадзор предложил отказаться от согласий на обработку персональных данных
🔸Глава Роскомнадзора Андрей Липов сообщил о необходимости пересмотра принципов работы с согласиями на обработку персональных данных граждан. В частности, Липов считает возможным отказаться от концепции согласий и перейти к отраслевым стандартам сбора данных.
🔸По словам главы ведомства, с течением времени количество данных человеком согласий стало таким большим, что он не в состоянии их контролировать, а если у гражданина возникнут сомнения относительно того, насколько правомерно они были взяты, то отстоять свои права ему сложно.
🔸Например, сказал он, один набор персональных данных требуется для компаний туристической отрасли, другой - в отрасли образования. После того как регулирование будет отработано на уровне соответствующих ведомств, а также проверено на практике, можно перейти к организации контроля и надзора, чтобы следить за тем, что персональные данные собираются в определенном объеме и обрабатываются установленное время, считает Липов.
🔸Глава РКН уточнил, что соответствующие предложения были направлены ведомством в правительство для включения во второй пакет мер по борьбе с мошенничеством. Его, как сообщалось, планируется внести на рассмотрение Госдумы в текущую осеннюю сессию.
🔸Отвечая на вопрос о ранее обнародованной инициативе РКН ввести институт специальных операторов персональных данных, Липов уточнил, что в настоящее время она обсуждается на уровне правительства с привлечением игроков отрасли.

⚖️ Суд: правонарушения по части 1 статьи 13.11 КоАП РФ не являются длящимися
🔸В решении Двадцатого арбитражного апелляционного суда от 27.01.2025 по делу № А62-5209/2024 ключевым выводом является то, что нарушение части 1 статьи 13.11 КоАП РФ не признается длящимся и считается оконченным в момент не обеспечения условий правомерной обработки персональных данных.
🔸Ответственность наступает, если оператор не получил согласие субъекта на обработку данных к моменту начала обработки, и правонарушение характеризуется совершением конкретных действий с определенной датой и временем.
🔸 В частности, «правонарушение, предусмотренное статьей 13.11 КоАП РФ, не является длящимся, поскольку оно характеризуется совершением конкретных действий, имеющих определенные дату и время их совершения... нарушение должно было быть выполнено не в течение всей обработки персональных данных, а к определенному сроку (не позднее сбора персональных данных)... а действия, совершенные с персональными данными, рассматривать по отдельности некорректно, так как они входят в единое понятие «обработка персональных данных» (пункт 3 статьи 3 Закона № 152-ФЗ)».

⚖️Мониторинг интернет-сайтов по вопросам ПД прокуратурой, смешение согласия и соглашения оператором, применение судом ч. 4 ст. 9 к согласию на сайте и сравнение текста согласия с Политикой - все это в решении АС г. Москвы по делу, где оператор признал свою вину:
🔸Таганская межрайонная прокуратура г. Москвы провела мониторинг Интернет-сайта, обнаружила нарушения в области ПД и подала заявление о привлечении к ответственности по ч. 2 ст. 13.11 КоАП РФ.
🔸Оператор признал вину и заявил об устранении нарушений🤷🏻‍♂️
🔸Из деталей стоит обратить внимание на следующие обстоятельства дела и выводы суда:
1️⃣ Возможное смешение оператором согласия и соглашения как правовых оснований обработки ПД:

Под регистрационной формой располагается «чекбокс» для проставления «галочки», справа от которого содержится строка текста, включающая в себя следующую фразу: «Я принимаю условия соглашения». При этом словосочетание «условие соглашения» представляет собой активное поле, содержащее гиперссылку на согласие на обработку персональных данных и получение рекламной рассылки (далее - Согласие)

2️⃣ Компания привлечена к ответственности по ч. 2 ст. 13.11 КоАП РФ за нарушение ч. 4 ст. 9 Закона 152-ФЗ. Обоснование применимости требований о письменной форме к согласию оператора на Интернет-сайте в судебном решении отсутствует.
3️⃣ Вывод о нарушении сделан судом в результате сравнения текста согласия на Интернет-сайте с текстом размещенной на сайте Политикой оператора:

В соответствии с информацией, размещенной на страницах 15-25 Политики, Организация осуществляется обработку персональных данных потребителей в целях продвижения товаров, работ и услуг на рынке и в целях подготовки, заключения и исполнения гражданско-правового договора. Вместе с тем в Политике также содержится указание на обработку Организацией намного большего объема персональных данных, чем тот объем данных, который указан в Согласии.
Таким образом, в нарушение положений ч. 4 ст. 9 Закона о персональных Организация осуществляет обработку персональных данных в целях, которые не поименованы в Согласии, а также осуществляет обработку тех персональных данных, согласие на обработку которых не дается пользователями в связи с тем, что в Согласии указание на обработку таких персональных данных отсутствует.

🏛️ С 30 мая 2025 года, после усиления ответственности за утечку персональных данных, Роскомнадзор составил и направило в суд 10 протоколов о подобных инцидентах
🔸«В настоящее время в суде находятся и ожидают своего решения 10 протоколов. Эта процедура – анализ, административное расследование, рассмотрение в суде – занимает не один день», – рассказал Андрей Липов.
🔸Он не уточнил, к каким компаниям относятся находящиеся сейчас в суде протоколы. По словам Андрея Липова, в 2024 году Роскомнадзор зафиксировал 135 фактов утечек персональных данных, которые содержали 710 млн записей. С начала 2025 года установлен факт 103 утечек с 53 млн записей, добавил он.
🔸«Можно сказать, что компании пошли на ужесточение внутренних принципов работы [с персональными данными] и начали вкладываться в защиту. Сейчас видим, что тенденция положительная», – отметил Андрей Липов.

👮 Владельца бота для пробива Userbox задержали в Москве
🔸В Москве задержан владелец бота по поиску персональных данных Userbox Игорь Морозкин, сообщили два источника РБК на osint-рынке (Open Source Intelligence, разведка по открытым источникам).
🔸По словам одного из собеседников РБК, Морозкина задержали утром по ст. 272.1 УК РФ «Незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные». Ранее по аналогичным статьям задержали владельцев ботов для пробива Solaris Inform и TeleSINT.
🔸Userbox (также известен как User_Search) считается альтернативой телеграм-бота «Глаз Бога», который перестал работать в феврале 2025 года. Создатель сервиса Евгений Антипов говорил, что это связано с необходимостью привести функционал бота в соответствие с новой статьей 272.1 УК.