Внутренние утечки, оборотные штрафы и уголовная ответственность — регулятор кратно увеличивает давление на операторов ПДн. Главная уязвимость ИТ-ландшафта кроется не в продакшене, а в тестовых и dev-средах.

Персональные данные в Dev/Test: Риски до 500 млн и УК РФ. Что требует ФЗ-152 и Приказ № 140

Основным столпом регулирования остается Федеральный закон № 152-ФЗ «О персональных данных» от 27 июля 2006 года. Он четко определяет, что любая информация о человеке, позволяющая его прямо или косвенно определить — это ПДн. Ключевые обязанности оператора (любого юрлица, обрабатывающего данные) включают: получение согласия, обеспечение защиты сертифицированными средствами, ограничение доступа, а главное — удаление или обезличивание данных по окончании цели обработки.
Однако внимание ИТ-сектора сейчас приковано к подзаконным актам, которые ужесточают требования к защите. В частности, Постановление Правительства № 1119 устанавливает четыре уровня защищенности данных, где 99% коммерческих организаций работают с ПДн 2-го и 3-го уровней. Для таких данных простого ограничения доступа недостаточно.

1. Законодательный контур: от основ до новых требований

Хотя ФЗ-152 является базой, именно отраслевые документы, такие как Приказ Роскомнадзора № 140, детализируют методики обезличивания и устанавливают требования к подтверждению его достаточности. Регулятор требует от вас подтвердить, что использованный метод делает идентификацию субъекта невозможной без использования ключа, сохраняя при этом семантическую целостность данных для тестирования.

Новая реальность: Штрафы до 500 млн руб.

Приказ РКН № 140: Целевой запрос к девелопменту

Оборотные штрафы (юрлица): До 500 млн рублей (с 30 мая 2025) за повторные крупные утечки, или 1−3% от оборота.

Уголовная ответственность: До 5 лет лишения свободы (Статья 272.1 УК РФ) за незаконный сбор, хранение и использование ПДн.

Внутренняя угроза: 47−55% утечек, по данным Infowatch, происходят изнутри компании. Ваша тестовая среда — это самая уязвимая и наименее контролируемая точка.

Деперсонализация (обезличивание) — это единственный метод, который позволяет полностью уничтожить связь между субъектом и данными, сохранив при этом их семантическую целостность для полноценного тестирования. DataSan предлагает подтвержденные регулятором методы:

• Маскирование: Реалистичная замена значений (например, ФИО, телефон).
• Хеширование/Маппинг: Гарантирует целостность связей между таблицами и системами, что критично для функционального и нагрузочного тестирования.
• Синтетика: Создание полностью новых, но статистически достоверных записей.

Наш продукт позволяет встроить процесс обезличивания прямо в CI/CD, обеспечить детальный аудит всех операций и хранить исходные и обезличенные данные строго раздельно.

2. Почему шифрование не работает, а деперсонализация DataSan — работает

Проблема Dev/Test сред

DataSan: Инструмент комплаенса и качества данных

В продуктивной среде оно защищает данные. Но для запуска тестов и отладки зашифрованные «боевые» данные приходится расшифровывать в тестовой копии. Таким образом, риски утечки не устраняются, а лишь переносятся в менее защищенный периметр.

Хранение реальных ПДн в Dev/Test базах без четкой цели и срока — прямое нарушение принципа целенаправленности. Отсутствие разделения идентификаторов и данных о взаимодействии делает базу «токсичным материалом».

Мы помогаем ведущим компаниям устранять риски утечек в средах разработки, гарантируя соответствие ФЗ-152 и Приказу № 140.

Эксперт по обезличиванию ПДн Василий Жидков готов ответить на вопросы о методологии и юридических аспектах.

Перейдите от риска к комплаенсу