Анастасия Петрова

21 ноября состоится конференция «Комплаенс в России», организованная Business Way Forum. [Анастасия Петрова](https://www.alrud.ru/people/AnastasiaPetrova/ 'Анастасия Петрова'), Советник практики Трудового права АЛРУД, выступит с темой «Compliance в сфере защиты ПДн: последние тренды риск-ориентированного подхода и законный интерес как основание для обработки ПДн в России», и [Мария Невежина](https://www.alrud.ru/people/61124cdd94436d351b1c760b/ 'Мария Невежина'), Старший юрист практики Трудового права АЛРУД, к. ю. н., представит доклад «Трудовой комплаенс: управление рисками и решение трудовых споров». Также на конференции эксперты в сфере комплаенс крупнейших российских и зарубежных компаний выступят и разберут кейсы по темам: - Санкции и международные ограничения; - Проверка контрагентов; - Антимонопольное регулирование; - Антикоррупция. Дополнительная информация и регистрация доступны на сайте организатора.

Минцифры расширило перечень индикаторов риска нарушений в сфере персональных данных («ПДн»)
Ведомство опубликовало [Приказ от 01 августа 2024 г. № 682](https://ipbd.ru/doc/0001202408190003/ 'Приказ от 01 августа 2024 г. № 682'), включающий новый индикатор риска нарушения требований при осуществлении государственного контроля (надзора) за обработкой ПДн. Это выявление в течение 1 года 2 и более нарушений требований Федерального закона от 27 июля 2006 г. № 149-ФЗ в отношении ст. 10.2–2 (особенности предоставления информации с применением рекомендательных технологий). Напомним, что с 1 октября 2023 г. владельцы вебсайтов при использовании рекомендательных технологий1 обязаны: 1) Не допускать применение таких технологий, нарушающих права и законные интересы граждан и организаций, а также законодательства РФ; 2) Информировать пользователей о применении рекомендательных технологий; 3) Указывать адрес электронной почты для направления пользователями обращений; 4) Разместить в доступе правила применения технологий на русском языке. Напоминаем, что в контексте обработки ПДн работников рекомендательные технологии могут использоваться работодателями, например, на внутренних порталах и сайтах, в корпоративных мессенджерах, на обучающих платформах. Правительство упростило получение ИТ-аккредитации для малых ИТ-стартапов
Принято [Постановление Правительства РФ от 26 августа 2024 г. №1149](http://static.government.ru/media/files/7QJQKa0jK6rsgv1b3Q011nNs2h9Aw4iu.pdf 'Постановление Правительства РФ от 26 августа 2024 г. №1149'), согласно которому: 1) Предусмотрена отмена проверки доли дохода от ИТ-деятельности стартапов, включённых в реестр малых технологических компаний и созданных менее 3 лет назад. Сейчас для получения аккредитации такая доля дохода должна превышать 30% выручки. 2) ИT-компании из новых регионов (Донецкая НР, Луганская НР, Запорожская и Херсонская области) смогут получить аккредитацию независимо от среднемесячного размера выплат работникам. Эта льгота будет действовать до 1 июля 2025 г. 3) Заявления на ежегодную процедуру подтверждения аккредитации будут приниматься только в электронном виде через Госуслуги. 4) В рамках процедуры подтверждения проверка по уровню заработной платы будет проводиться в отношении двух кварталов вместо пяти. 5) Если компания получила аккредитацию в год своего создания, то она может в этот год не проходить плановую процедуру подтверждения. Напомним, что по общему правилу организации вправе получить государственную аккредитацию, если: 1) Основным видом экономической деятельности является один из видов, содержащихся в перечне видов экономической деятельности, предусмотренных Приложением № 1 к Положению о государственной аккредитации; 2) Средняя заработная плата работников не менее средней по стране или субъекту, в котором зарегистрирована организация; 3) Доход от ИТ-деятельности более 30%; 4) На официальном сайте организации размещена информация об осуществляемой ИТ-деятельности на русском языке. Напоминаем
Размещение фотографии работника в сети Интернет является распространением биометрических ПДн неопределённому кругу лиц и допустимо только при наличии его письменного согласия. К такому выводу пришёл 2 КСОЮ в [Определении от 04 июля 2023 г. № 88-13675/2023](https://2kas.sudrf.ru/modules.php?name=sud_delo&srv_num=1&name_op=case&case_id=8285232&case_uid=0d2e8362-fe98-4818-a0a4-099c46be6d75&new=2800001&delo_id=2800001 'Определении от 04 июля 2023 г. № 88-13675/2023'). Обстоятельства дела
В период работы в компании работница участвовала в корпоративной фотосессии, устроенной работодателем в качестве меры поощрения. После увольнения она обнаружила, что бывший работодатель незаконно, без её согласия обнародовал и использует её фотоизображение на сайте поиска работы для привлечения соискателей на трудоустройство. Работница обратилась с претензией к бывшему работодателю, который сообщил ей, что из обстановки, в которой проводилась фотосессия и дальнейшего поведения работницы, следовало, что её согласие имелось, она была проинформирована о целях фотосессии. Указанные доводы работодателя поддержал суд первой инстанции, дополнительно пояснив, что фотосессия осуществлялась в рабочее время, за которое работодателем начислена и выплачена заработная плата. Такой вывод суда апелляционная инстанция признала ошибочным, так как добровольное участие в фотосессии не означает наличие согласия работницы на обнародование и использование полученных снимков/изображения компанией в имиджевых целях при размещении вакансий в сети Интернет, а наличие законных оснований для использования изображений не доказано. Кроме того, использование изображения могло быть оправданным в период времени работы и ограничивалось увольнением работницы. Выводы суда апелляционной инстанции поддержала кассация, а также уточнила, что размещение фотографии в открытом доступе – это распространение биометрических ПДн работника. Должностное лицо привлечено к административной ответственности за нарушения в сфере обработки ПДн
В адрес РКН поступили материалы из администрации г. Краснодара об обнаружении в ходе санитарного мониторинга документации, содержащей ПДн работников и клиентов АО «РТК». По результатам рассмотрения в отношении должностного лица АО «РТК» составлен протокол об административном правонарушении, предусмотренном частью 6 статьи 13.11 КоАП РФ. Постановлением мирового судьи судебного участка № 243 должностное лицо АО «РТК» признано виновным, и ему назначен штраф в размере 8 000 рублей. Данное решение положительно отвечает на часто задаваемый нашими клиентами вопрос: может ли лицо, ответственное за организацию обработки ПДн, быть привлечено к ответственности. Информационные технологии предоставления информации на основе сбора, систематизации и анализа сведений, относящихся к предпочтениям пользователей, находящихся на территории РФ. Включает HR профилирование.

Госдума приняла закон об обезличивании персональных данных («ПДн») во втором и третьем чтениях
[Закон](https://sozd.duma.gov.ru/bill/992331-7bh_histras 'Закон') предполагает создание государственной информационной системы (ГИС) с обезличенными ПДн. Оператор ПДн (работодатель) будет обязан по требованию Минцифры обезличить обрабатываемые данные (например, работников) и предоставить их в ГИС, а Минцифры должны будут обеспечить конфиденциальность этих данных. Закон должен вступить в силу с 01 сентября 2025 года. Новый закон порождает множество вопросов для компаний, особенно в части того, какими методами компании должны обезличивать ПДн и какое программное обеспечение для этого использовать. Компаниям, возможно, придётся покупать сертифицированное программное обеспечение, которого пока нет на рынке. Старый приказ Роскомнадзора описывает методы обезличивания для муниципальных и государственных органов и не предусматривает методов обезличивания для частных компаний, а также не даёт информацию о технических средствах для обезличивания. Минцифры начали принимать заявки на IT-отсрочку от службы с 24 июля по 6 августа 2024 года
Работники аккредитованных IT-компаний в возрасте от 18 до 30 лет могут с 24 июля по 6 августа 2024 года подать заявки на отсрочку от срочной службы в армии в рамках осеннего призыва через Госуслуги. Если у работника нет личного кабинета на Госуслугах, компания самостоятельно сможет внести его в список. Компаниям, в свою очередь, нужно проверить и подтвердить данные работников, а также отправить списки в Минцифры до 11 августа 2024 года. Одна организация может направить несколько списков по мере их формирования. Минцифры передадут информацию в Минобороны до 31 августа 2024 года. С 1 октября по 31 декабря призывная комиссия будет принимать решения по отсрочке. Напоминаем, что работники призывного возраста, работающие в IT-сфере, могут претендовать на отсрочку от призыва на срочную службу, если они: - работают в аккредитованной IT-компании по трудовому договору, с нормальной продолжительностью рабочего дня; - имеют оконченное высшее образование по специальности из специального [перечня](http://publication.pravo.gov.ru/Document/View/0001202204010045?index=4 'перечня'); - имеют опыт работы в IT-сфере не менее 11 месяцев в течение года, предшествующего дате начала призыва. Запрет включать согласие на обработку ПДн в другие документы
В Госдуму внесён [законопроект](https://sozd.duma.gov.ru/bill/679980-8?ysclid=lyzstl76k2625458467 'законопроект') об оформлении согласия на обработку ПДн отдельно от других документов, которые подписывает субъект ПДн и/или которые предоставляются ему для ознакомления. По мнению инициаторов, в настоящее время согласие на обработку ПДн зачастую включается в договоры или другие согласия на обработку ПДн, которые предоставляются в иных целях. В таких документах среди значительного объёма сведений, не относящихся к вопросам обработки ПДн, спрятаны условия о предоставлении согласия на обработку ПДн, в том числе в целях их передачи неопределённому кругу лиц. На практике мы нередко встречаем ситуации, когда согласие на обработку ПДн работника «зашито» в его трудовой договор. Несмотря на отсутствие прямого запрета в законодательстве в настоящий момент на объединение согласия с текстом трудового договора, такой подход уже сейчас можно оспорить, поскольку работник является слабой стороной и такое объединённое с договором согласие может быть признано несвободным, недобровольным. Мы настоятельно рекомендуем всем работодателям отказаться от практики включения каких-либо согласий на обработку ПДн в трудовые договоры, иные соглашения, инструкции и локальные нормативные акты. Тем более, что согласие не является единственным возможным основанием для обработки ПДн работников. Обработка ПДн работников может также во многих случаях быть обоснована договором с работником или законным обязательством, в том числе теми обязательствами, которые есть у работодателя перед работниками согласно ТК РФ. В случае, когда обработка ПДн неизбежно требует получения согласия, такое согласие должно быть конкретным, сознательным и однозначным, то есть, в частности, полученным отдельно от других документов, а также предметным и информированным.

29 июля 2024 года на базе Американской торговой палаты в России (AmCham) состоялось заседание HR-комитета, в рамках которого эксперты обсудили актуальные темы трудового права. [Анастасия Петрова](https://www.alrud.ru/people/AnastasiaPetrova/ 'Анастасия Петрова'), Советник Трудовой практики АЛРУД, и [Мария Невежина](https://www.alrud.ru/people/MariaNevezhina/ 'Мария Невежина'), Старший юрист Трудовой практики АЛРУД, выступили с темой: «Комплаенс в сфере трудовых отношений после вступления в силу недавних санкций ЕС и США». В рамках темы эксперты поделились, какие трудоправовые процессы необходимо менять в связи со вступлением в силу недавних санкций ЕС и США, включая локализацию глобальных политик и шаблонов кадровых документов, изменения процессов обработки ПДн работников, реструктуризацию, приведение порядка взаимодействия с head office в соответствие с санкционными требованиями, а также проведение тренингов и введение системы отчётности. *Американская торговая палата в России (The American Chamber of Commerce in Russia, AmCham Russia) является ведущей иностранной бизнес ассоциацией в России. Основанная в 1994 году, AmCham представляет интересы крупнейших американских корпораций, российских компаний, а также компаний из стран Европы и Азии. Миссия AmCham – содействовать развитию устойчивой рыночной среды, способствующей ведению бизнеса в России.*

Напоминаем
Отказ компании в предоставлении дополнительных льгот (например, ДМС) по причине непредставления согласия работника на обработку персональных данных («ПДн») является незаконным. К такому выводу пришёл 3 КСОЮ в [Определении от 15.01.2024 № 88-1047/2024](https://d42f1655c9364c88829af6984139c656.svc.dynamics.com/t/t/o7qts10037Y0AaYhtYUuhGx5ygxdca78ue357CIx7Rgx/bfloHI8otwTIJghYzJHhna4xfd9fNSs9OkYg6b4vpaUx 'Определении от 15.01.2024 № 88-1047/2024'). Обстоятельства дела
Согласно трудовому договору, работник соглашался следовать всем требованиям ПВТР и иных ЛНА работодателя. В соответствии с Политикой по дополнительным льготам для работников, получение работником льгот было возможно при наличии письменного действительного согласия работника на обработку ПДн. В случае отсутствия согласия получение работником льгот могло быть приостановлено. Работница, восстановленная на работе и не подписавшая согласие на обработку ПДн, обратилась в суд с требованием обязать компанию обеспечить ей ДМС. Суды трёх инстанций поддержали работницу, указав, что законодательством о ПДн предусматривается наличие у субъекта ПДн права на выражение согласия на обработку таких данных. При этом выражение указанного согласия предусматривается исключительно добровольно. Реализация субъектом ПДн своих прав не может быть поставлена в зависимость от реализации права на получение дополнительных льгот, предоставляемых работнику в рамках трудовых правоотношений. Как следствие, суды удовлетворили требования работницы о возложении на работодателя обязанности не позднее 3-х рабочих дней с даты вступления решения суда в законную силу обеспечить ДМС на условиях действующих ЛНА. Основное требование > О возложении обязанности обеспечить ДМС, взыскании суммы дотации на питание, за компенсасции за задержку выплат, обязании предоставить ежегодный отпуск, компенсации морального вреда. Решение > Решения нижестоящих инстанций оставить в силе, кассационную жалобу — без удовлевторения.

Уважаемые дамы и господа! В России, как и в мире, сильно увеличилось внимание к вопросам защиты данных в последнее время. Об этом свидетельствуют большое количество принимаемых в этой связи законов, увеличение активности Роскомнадзора, несмотря на мораторий на плановые проверки, и ожидаемые серьезные изменения по увеличению ответственности за нарушения в области защиты данных. Так, например, в отчете Роскомнадзора за 2023 год1 мы видим, что общая сумма наложенных административных штрафов составила 266 324 329 рублей. Тогда как в отчете за 2022 год2 мы видим общую сумму наложенных административных штрафов в размере 109 579 160 рублей. То есть, несмотря на мораторий на плановые проверки, активность Роскомнадзора в части привлечения лиц к ответственности за нарушения законодательства о защите персональных данных в 2023 году выросла по сравнению с предыдущим периодом более чем в два раза. Вместе с тем российское законодательство о защите данных предъявляет множество требований к операторам и его соблюдение требует больших ресурсов и вовлеченности в процессы обработки персональных данных в компаниях. В этой связи у внутренних служб и DPO компаний часто возникают вопросы в отношении того, какие требования являются наиболее важными и сопряжены с наибольшим риском для бизнеса. Список требований может отличаться в зависимости от размера бизнеса, индустрии компании, бизнес-модели и других факторов, однако есть вопросы, которые будут актуальны для большинства операторов. В настоящей брошюре мы подсветили такие вопросы на текущий период и предлагаем Вам с ними ознакомиться: - Важность письменного согласия; - Проверки Роскомнадзора; - Требования к онлайн-ресурсам; - «Экстерриториальный» принцип действия 152-ФЗ; - Тенденция на локализацию; - Трансграничная передача данных; - Обезличенные данные; - Утечки персональных данных; - Уведомление об инцидентах, связанных с утечками персональных данных; - Персональная ответственность менеджмента, введение уголовной ответственности. Брошюру можно скачать по [ссылке](https://www.alrud.ru/upload/ALRUD%20upload/2024/Newsletters/%D0%90%D0%9B%D0%A0%D0%A3%D0%94_%D0%97%D0%B0%D1%89%D0%B8%D1%82%D0%B0_%D0%B4%D0%B0%D0%BD%D0%BD%D1%8B%D1%85_%D0%A7%D1%82%D0%BE_%D0%BD%D1%83%D0%B6%D0%BD%D0%BE_%D0%B7%D0%BD%D0%B0%D1%82%D1%8C_%D0%BE%D0%BF%D0%B5%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0%D0%BC_%D0%B2_2024_%D0%B3%D0%BE%D0%B4%D1%83.pdfmsdynttrid=x_SYPtSu-2wITzJ0QKXaV8IVoI0FVKHI_5cfBwx_50Q 'ссылке'). [gosdoklad_za_2023_03042024.pdf (rkn.gov.ru)](https://rkn.gov.ru/docs/gosdoklad_za_2023_03042024.pdfmsdynttrid=_NtR1zyNARm7hEveQYnacBAqlK18fJmmyNZj_yXDqt4 'gosdoklad_za_2023_03042024.pdf (rkn.gov.ru)') [2022_RKN_goskontrol.pdf](https://rkn.gov.ru/docs/2022_RKN_goskontrol.pdfmsdynttrid=c8UXY3nh3ECljLwTJ9mgwfsufAJzFuH1kr-n5nKrJHQ '2022_RKN_goskontrol.pdf')

4 июля 2024 года эксперты практики Антикризисного управления, экономических санкций и комплаенса АЛРУД [Анастасия Петрова](https://www.alrud.ru/people/AnastasiaPetrova/ 'Анастасия Петрова'), Советник, и [Роман Ведерников](https://www.alrud.ru/people/RomanVedernikov/ 'Роман Ведерников'), Старший юрист, выступили на мероприятии «Sanctions Briefing», организованном Американской торговой палатой в России (AmCham). Модератором вебинара выступил президент и главный исполнительный директор Роберт Эйджи. Анастасия выступила с темой: «Санкции ЕС в отношении IT/IP. Ключевые аспекты», рассказав про актуальные изменения санкционного пакета ЕС, включая перенос сроков для использования IT инфраструктуры и услуг, запрет приема новых заявок на регистрацию интеллектуальной собственности, а также запрет на использование предоставленных по договору прав интеллектуальной собственности, относящихся к товарам высокого приоритета, предназначенным для последующей продажи, поставки, передачи или экспорта прямо или косвенно в Россию или для использования в России. Роман выступил с темой: «14-й пакет санкций Европейского союза в отношении России. Ключевые изменения», в рамках которого он рассказал про ключевые ограничения 14-го санкционного пакета ЕС.

Роскомнадзор планирует упростить гражданам отказ от обработки персональных данных («ПДн»)
Роскомнадзор предлагает обеспечить порядок отзыва согласий на обработку их ПДн «в один клик». Технически механизм может быть реализован в рамках создаваемой на базе портала «Госуслуги» «системы управления согласиями» Минцифры, но потребует доработки нормативов. Профильный законопроект может быть рассмотрен уже в сентябре. Участники рынка опасаются, что реализация схемы приведёт к расходам на перестройку информационных систем. Уголовная ответственность за нарушение тайны переписки и уничтожение корпоративной информации
Октябрьский районный суд г. Уфы вынес приговор по уголовному делу в отношении бывшего работника компании. Он признан виновным в совершении преступлений по ч. 1 ст. 138 УК РФ (нарушение тайны переписки), ч. 2 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, совершенный из корыстной заинтересованности). В суде установлено, что в ноябре 2023 года мужчина, ранее работавший системным администратором, удалённо скопировал переписки с электронной почты, контакты, ПДн руководителя и корпоративную информацию, содержащую коммерческую тайну, и уничтожил их. Подсудимый признал вину в совершении преступлений. Суд назначил ему наказание в виде штрафа в размере 120 000 рублей. При этом в приговоре не содержится информация о подаче компанией гражданского иска в рамках уголовного судопроизводства для возмещения имущественного вреда, возникшего в связи с уничтожением корпоративной информации. Вопрос > Могут ли оператора привлечь к административной ответственности в период действия моратория на проверки? Позиция 8 КСОЮ (дело № 2а-2919/2022) > В случае, если нарушение выявлено в ходе рассмотрения материалов, поступивших в том числе от гражданина, РКН вправе провести проверку и возбудить дело об административном правонарушении либо отказать в его возбуждении.

[Анастасия Петрова](https://www.alrud.ru/people/AnastasiaPetrova/ 'Анастасия Петрова'), Советник Трудовой практики АЛРУД, и [Маргарита Егиазарова](https://www.alrud.ru/people/MargaritaEgiazarova/ 'Маргарита Егиазарова'), к.ю.н., Старший юрист Трудовой практики АЛРУД, представили вниманию читателей журнала «Legal Insight» свою статью на тему: «Что нужно учесть работодателям при использовании ИИ». Искусственный интеллект улучшает производительность и эффективность труда, создавая новые вызовы для рынка. Российское законодательство должно не только отражать текущие реалии, но и предвосхищать будущие изменения, обеспечивая баланс между инновациями и защитой прав работников. Это включает разработку правил по охране труда в условиях автоматизации и защиту персональных данных работников при использовании ИИ. Подробнее ознакомиться со статьей можно по [ссылке](https://legalinsight.ru/journal/archive/%e2%84%96-04-130-2024/ 'ссылке').

Запрет на зарубежные услуги и сервисы информационной безопасности из «недружественных» юрисдикций
Указом Президента РФ от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» ранее были введены ограничения на использование зарубежных средств защиты информации. Так, органам власти, госкорпорациям, системообразующим организациям и субъектам критической информационной инфраструктуры («Субъекты КИИ») было запрещено с 1 января 2025 года использовать средства защиты информации: - происходящие из «недружественных» государств1; - либо от производителей, которые являются организациями под юрисдикцией «недружественных» государств, прямо или косвенно подконтрольные им либо аффилированные с ними. Указом Президента РФ от 13.06.2024 № 500 сфера действия запрета была расширена: теперь с 1 января 2025 года органам власти, госкорпорациям, системообразующим организациям и Субъектам КИИ также запрещается пользование сервисами (работами или услугами) по кибербезопасности от компаний из «недружественных» государств. Если ваша компания относится к органам власти, госкорпорациям, системообразующим организациям или Субъектам КИИ, мы рекомендуем вместе с IT провести ревизию программного обеспечения и IT услуг, используемых для целей кадрового и бухгалтерского учёта и управления персоналом с целью обеспечения своевременного соблюдения требований вышеназванных указов Президента. Против России введён 14-й пакет санкций, который вводит в том числе IT ограничения
США значительно расширили санкции против России, новые ограничения затронули финансовую инфраструктуру, облачные сервисы и информационные технологии, проекты в сфере СПГ. США с 12 сентября запрещают предоставление ряда услуг в сфере программного обеспечения и IT. Минфин США вместе с Госдепом издал специальное постановление, которое предусматривает следующие ограничения: - запрещено предоставлять любому лицу в России проектные услуги и услуги по IT-консультированию; - запрещено поставлять облачные технологии и услуги IT-поддержки для управления предприятием, а также ПО для проектирования и производства. Российские компании, использующие такое ПО для HR целей, могут рассмотреть следующие варианты действий: - смену вендора, которая позволит продолжить использование ПО в России; - локализацию соответствующих HR процессов. Освобождение от ответственности за утечку в связи с малозначительностью правонарушения
В рамках проводимого Всероссийского конкурса профессионального мастерства работников сферы дополнительного образования «Сердце отдаю детям» произошёл технический сбой, приведший к краткосрочной публикации (в течение трёх минут) на сайте конкурса сведений об одном субъекте ПДн. Были опубликованы паспортные данные, адрес регистрации, номер телефона и адрес электронной почты, что является ПДн. В суде оператор указал, что причиной инцидента явился технический сбой в работе сервиса, третьими лицами доступ к ПДн не был получен ввиду устранения нарушения в кратчайшие сроки, ущерб субъекту ПДн не причинён. Роскомнадзор сообщил, что жалоб в отношении оператора в связи инцидентом в Роскомнадзор не поступало. Оператор в соответствии с законом направил уведомление об утечке ПДн. Мировой судья судебного участка № 456 Даниловского района г. Москвы (дело № 05-1415/456/2023) посчитал, что оператор не обеспечил конфиденциальность ПДн, не исключил неправомерный доступ к ним третьих лиц, и квалифицировал содеянное по ч. 1 ст. 13.11 КоАП РФ. Однако так как у суда не было данных о том, что сведения о субъекте ПДн были скопированы, получены либо использованы третьими лицами с целью нарушения охраняемых законом прав, в том числе через сайт конкурса, суд освободил оператора от административной ответственности в связи с малозначительностью правонарушения и ограничился устным замечанием (ст. 2.9 КоАП РФ). Перечень «недружественных» государств определён Распоряжением Правительства РФ от 05.03.2022 № 430-р.