Важно
Обновят декларацию по туристическому налогу с 2027 года 
Компании предлагают встраивать privacy-check до подключения нового SaaS-сервиса
HR, маркетинг и продажи подключают SaaS-сервисы самостоятельно, а юрист или ответственный за ПДн узнаёт об этом лишь при согласовании договора или после загрузки данных.
Содержание
HR подключил новую систему для подбора кандидатов. Маркетинг оплатил сервис рассылок. Продажи завели облачную CRM и уже загрузили клиентскую базу.
А юрист или ответственный за ПДн узнал об этом, когда принесли договор на согласование. Или еще позже, когда данные уже оказались в сервисе.
В такой ситуации проблема обычно не в том, что DPO не усмотрел. Проблема в точке входа в процесс. 152-ФЗ требует от оператора определить необходимые и достаточные меры для защиты ПДн, организовать внутренний контроль, назначить ответственного за обработку ПДн. Но это не означает, что для каждого нового SaaS нужен полноценный аудит.
Между «бизнес хочет новый сервис» и «проводим углубленную проверку» можно поставить короткий обязательный privacy-check. Причем privacy-check ≠ сокращенный аудит поставщика.
В его задачу входит быстрое определение необходимости углубленной проверки.
Что спросить до подключения SaaS
Владельцу процесса не нужно разбираться в 152-ФЗ. От него нужны факты:
- зачем нужен сервис;
- чьи ПДн туда попадут;
- какие именно данные;
- откуда они поступают;
- где будут обрабатываться;
- какие интеграции подключаются;
- кто еще сможет получить к ним доступ.
Дальше сервис можно направить по одному из трех маршрутов:
- ПДн не передаются либо используется уже согласованная стандартная схема — фиксируем сервис без глубокой проверки.
- Новая категория данных, новая цель обработки, интеграция с другими системами или изменение маршрута данных — подключаем ответственного за ПДн.
- Специальные или биометрические ПДн, иностранная инфраструктура или трансграничная передача, существенный объем клиентских данных — проводим отдельную правовую и ИБ-проверку.
Это не классификация из 152-ФЗ, а пример внутренней модели маршрутизации SaaS.
Что такой фильтр позволяет увидеть
Во-первых, зачем сервису вообще нужны эти ПДн. Цель и состав данных стоит проверить раньше репутации поставщика: не собирает ли новый процесс больше, чем ему действительно требуется.
Во-вторых, какую роль играет поставщик. Если обработка осуществляется по поручению оператора, одного условия «поставщик соблюдает 152-ФЗ» недостаточно: содержание поручения должно соответствовать требованиям закона.
В-третьих, куда данные фактически пойдут. Ответ «серверы в России» еще не описывает весь маршрут. Нужно понимать, какие базы, интеграции, подрядчики и службы поддержки участвуют в обработке и возникает ли трансграничная передача.
Наконец, новый процесс стоит сверить со сведениями, ранее сообщенными Роскомнадзору. При изменении сведений, входящих в уведомление, возникает обязанность сообщить об изменениях. Но сама покупка новой SaaS-подписки автоматически этого не означает.
Куда встроить privacy-check
Не нужно рассчитывать, что DPO самостоятельно обнаружит каждый новый сервис. Гораздо надежнее поставить контроль там, где SaaS все равно оставляет след: договор — закупка — корпоративная оплата — подключение интеграции — запуск нового процесса.
Тогда HR, маркетинг и продажи не становятся специалистами по privacy. Они сообщают несколько фактов, а Legal, DPO и ИБ подключаются только там, где действительно нужна их оценка.
Если ответственный за ПДн узнает о SaaS после загрузки базы, исправлять нужно в первую очередь не работу DPO, а процесс согласования.
Если SaaS у вас могут самостоятельно подключать HR, маркетинг или продажи, перешлите этот пост тем, кто отвечает за закупки, договоры и корпоративные оплаты.
Защита персональных данных в компании регулируется 152-ФЗ в 2026 году — колонка компании «Б-152»:
Больше информации:
