Как безопасно работать с персональными данными на мероприятиях в 2026 году — итоги вебинара

Персональные данные — это любая информация, которая прямо или косвенно относится к физическому лицу и позволяет его идентифицировать.

Например:

• ФИО;
• e-mail;
• телефон (в совокупности с другими данными);
• фотография;
• IP-адрес;
• данные регистрации на мероприятие;
• данные из личного кабинета.

Роскомнадзор, например, считает даже e-mail персональными данными, даже если там нет ФИО.

Действия с персональными данными включают:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

персональных данных.

Оператор — это тот, кто собирает персональные данные и определяет цели их обработки. Обработчик — это компания или сервис, которому оператор поручает обработку данных.

Важно:
Перед субъектом персональных данных и перед Роскомнадзором в первую очередь отвечает оператор, даже если фактически данные обрабатывает подрядчик или платформа. Если нарушение произошло по вине подрядчика, оператор может потом взыскать убытки с подрядчика, но перед регулятором отвечает именно оператор.

Договор с обработчиком (Договор поручения) нужен, чтобы легально передать обработку персональных данных, ограничить действия обработчика, обязать его защищать данные и зафиксировать ответственность сторон. Без него любая передача данных третьему лицу фактически становится нарушением 152-ФЗ

Если на сайте есть формы регистрации, обратной связи, подписки, заявки и т.д., на сайте должны быть размещены:

Обязательные документы:

Политика обработки персональных данных, Дисклеймер о cookies, Согласие на обработку персональных данных

Также:

• под каждой формой сбора данных должно быть согласие;
• если есть рассылки — нужно отдельное согласие на рекламно-информационные рассылки;
• если политика не размещена в подвале сайта, её нужно размещать рядом с формой.

Нет.
Согласие на обработку персональных данных должно быть отдельным документом, с которым пользователь соглашается отдельно.
Практика, когда согласие спрятано внутри оферты, считается неправильной.

Да.
Технические уведомления (например, письмо с билетом, уведомление о регистрации) отдельного согласия не требуют.
Но рассылки:

• о новых мероприятиях;
• новости компании;
• рекламные предложения

требуют отдельного согласия.

В большинстве случаев закон не устанавливает конкретный срок.
Срок хранения должен быть связан с целью обработки данных.

Обычно:

• прошло мероприятие → цель достигнута → данные нужно удалить или обезличить;
• если данные планируется использовать дальше (например, для рассылок или аналитики), это должно быть прямо указано в согласии;
• можно устанавливать срок:
• конкретной датой;
• до достижения цели;
• например, 3 года с даты мероприятия.

Да, обязательно.

Даже если у вас нет данных этого человека, на запрос нужно ответить. Если данные есть — нужно удалить и сообщить об удалении.

Трансграничная передача — это передача персональных данных российских граждан:

• иностранному лицу;
• на территорию иностранного государства.

Перед такой передачей необходимо уведомить Роскомнадзор.

Если страна не обеспечивает надлежащую защиту данных (например, США), нужно подать уведомление и дождаться ответа Роскомнадзора.

Да. Использование Google Analytics считается трансграничной передачей персональных данных, и о ней нужно уведомлять Роскомнадзор.

Да.
Хранение и сбор персональных данных через:

• Google Drive;
• Google Docs;
• Google Forms;
• Google почту

считается трансграничной передачей.

Также важно, что персональные данные российских граждан должны первично собираться на серверах, расположенных в РФ.

Без согласия — нельзя.

Если организатор хочет:

• передавать список участников;
• давать доступ к контактам участников;
• делать каталог участников;

на это должно быть отдельное согласие.

Публикация каталога участников в открытом доступе — это уже распространение персональных данных, и для этого требуется отдельное согласие.

Если это общий репортажный кадр, где люди попадают в общий план — можно.

Если публикуются фотографии или видео, где человек является основным объектом съёмки — необходимо согласие.

Согласие на использование фото и видео с изображением участников необходимо получать заранее — на этапе регистрации на мероприятие.

В тексте согласия нужно указать, что участник даёт согласие на размещение своего фото и видео с его изображением. Дополнительно желательно разместить дисклеймер с указанием контакта, куда участник может написать, если он захочет удалить фото или видео со своим изображением.

Да.
Нужно:

• согласие на обработку персональных данных;
• согласие на использование изображения (по гражданскому законодательству).

Типовые нарушения:

• избыточный сбор данных (например, паспортные данные без необходимости);
• согласие спрятано в оферте;
• использование иностранных сервисов без оформления трансграничной передачи;
• хранение данных после мероприятия без основания;
• отсутствие документов на сайте;
• передача данных подрядчикам без договора;
• публикация фото участников без согласия.

Перед Роскомнадзором всё равно отвечает оператор.
Оператор может потом взыскать убытки с подрядчика, но ответственность перед регулятором несёт оператор.

Штраф назначается за факт утечки, а не за каждого человека отдельно.

Лимиты:
Если впервые произойдет утечка обычных данных:
от 1 тыс. до 10 тыс. пользователей или от 10 тыс. до 100 тыс. идентификаторов — штраф для юридических лиц составит от 3 млн до 5 млн руб.;
от 10 тыс. до 100 тыс. пользователей или от 100 тыс. до 1 млн идентификаторов — от 5 млн до 10 млн руб.;
более 100 тыс. пользователей или более 1 млн идентификаторов — от 10 млн до 15 млн руб.
Безотносительно к объему первая утечка специальных персональных данных повлечет штраф для юридических лиц от 10 млн до 15 млн руб., а в случае с биометрическими данными — от 15 млн до 20 млн руб.
При повторной утечке обычных данных штраф составит от 1 до 3% от выручки оператора, но не менее 20 млн руб. и не более 500 млн руб. В случае если произошла повторная утечка специальных или биометрических данных либо после утечки обычных данных произошла утечка биометрии или специальных данных, штраф также составит от 1 до 3% от выручки оператора, но уже не менее 25 млн руб. и не более 500 млн руб.

Да.

Распознавание лиц — это биометрические персональные данные.
Для них требуется:

• отдельное согласие;
• специальные требования к хранению;
• специальные меры защиты.

Можно, но нужно учитывать:

• многие AI-сервисы являются иностранными;
• загрузка туда документов может считаться трансграничной передачей;
• в компании нужно разработать внутренний документ, где прописать, какие данные можно загружать в AI, а какие нельзя;
• перед загрузкой документов рекомендуется удалять персональные данные и конфиденциальную информацию.