Cold Start Interview Pd

---
name: cold-start-interview-pd
description: >
  Локализация РФ. Cold-start-интервью: изучить вашу практику обработки ПДн и
  записать профиль (роль оператор/обработчик, карта обработок, основания, уведомления
  РКН, локализация, инциденты). Запускай при первом использовании, когда конфиг
  ~/.claude/plugins/config/claude-for-legal-ru/personalnye-dannye/CLAUDE.md отсутствует
  или содержит плейсхолдеры, или когда говорят «настрой плагин по ПДн», «онбординг».
argument-hint: '[--redo перезапуск] [--check-integrations только интеграции]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 3 находки применены:
трансграничная передача — актуальный режим ст. 12 после отмены закрытого перечня оснований (265-ФЗ);
режим ФЗ-572/ЕБС не сведён к категорическому запрету любой идентификации/аутентификации вне ЕБС;
отдельность согласия (ч. 1 ст. 9) не отождествлена с обязательным отдельным документом/файлом.
-->

# /cold-start-interview — настройка плагина по ПДн

Первый запуск пишет `~/.claude/plugins/config/claude-for-legal-ru/personalnye-dannye/CLAUDE.md`; `--redo` — переинтервью с показом diff.

## Инструкции

1. **Проверь состояние:** прочитай конфиг. Если `[ЗАПОЛНИТЬ]`/`[Название организации]` — свежее интервью. Если заполнен и без `--redo` — спроси про перезапуск (покажешь diff).
2. **Веди по сценарию ниже**, по одному блоку. Записывай словами пользователя.
3. **Попроси документы** (если есть): текущую политику обработки ПДн, шаблон согласия, поручения на обработку, уведомление РКН, перечень ИСПДн. Читай их и извлекай карту обработок.
4. **Запиши конфиг** (создав папки) по структуре шаблона; заполни `company-profile.md`, если нет.
5. **Покажи сводку**: «Вот что услышал — конфиг записан. Что неверно?» Предложи `use-case-triage` на реальной обработке.

## Сценарий интервью

### Блок 1. Компания *(в company-profile.md)*
Наименование, ОПФ, отрасль; собираете ли ПДн через сайт/приложение; работаете ли с гражданами РФ.

### Блок 2. Роль по ФЗ-152
- Вы оператор ПДн, обработчик по поручению, или и то и другое?
- Назначен ли ответственный за организацию обработки (ст. 22.1)? Кто?
- Есть ли ответственный/подразделение за безопасность ПДн?

### Блок 3. Кто пользуется
Роль (юрист/не-юрист); адвокат ли (для шапки).

### Блок 4. Карта обработок
Пройди процессы: какие ПДн, о ком, зачем, основание, срок, кому передаёте, где хранятся (РФ/за рубежом), спец/био? Заполни таблицу карты обработок.
Обязательно спроси отдельно: **ПДн работников и кандидатов** (это самая массовая обработка — основание по ТК РФ, медосмотры, судимость, архивные сроки, передачи в СФР/ФНС) `[зона lawyer — эскалировать]`; **есть ли среди субъектов несовершеннолетние**; **публикуете ли ПДн для неограниченного круга лиц** (сайт, соцсети, отзывы, фото сотрудников — режим ст. 10.1); **получаете ли ПДн не от самого субъекта** (парсинг, покупные базы, лидогенерация — ст. 18 чч. 3, 4); **принимаются ли решения исключительно автоматизированно** (ст. 16).

### Блок 5. Основания и согласия
Какие основания используете (ст. 6)? Форма согласия (ст. 9)? Обрабатываете спецкатегории (ст. 10)/биометрию (ст. 11)?
- **Оформлено ли согласие отдельно от иной информации/документов?** С 01.09.2025 согласие оформляется **отдельно от иной информации и (или) документов**, которые субъект подтверждает или подписывает (ч. 1 ст. 9; ФЗ от 24.06.2025 № 156-ФЗ). Норма требует отдельности от иной информации/документов — **не обязательно отдельного файла или бумажного документа**: самостоятельный, отдельно подтверждаемый элемент согласия (свой чекбокс со своим текстом) на той же странице/в том же интерфейсе может ей соответствовать. Дефектна именно **единая** галочка, одновременно означающая и принятие договора/оферты, и согласие на обработку ПДн, — после 01.09.2025 такая конструкция → дефект `[сверено 2026-08-27]`. Спроси, когда обновляли форму согласия.
- **Биометрия:** используете ли изображение лица/запись голоса для **идентификации или аутентификации** (СКУД, проход, вход в кабинет, KYC)? Если да — данные размещены в **ЕБС**? По общему правилу хранение собственных шаблонов вне ЕБС организациям, ИП и нотариусам запрещено (ФЗ-572), но закон предусматривает **специальные режимы, исключения и иные информационные системы аутентификации** — прежде чем объявлять конкретную систему незаконной, выясни, что именно она делает (идентификация из множества / аутентификация против одного заранее известного вектора), где хранится вектор и на каком основании эксплуатируется `[сверено 2026-08-27]`.
- Есть ли согласие субъектов, покрывающее **поручение обработки** третьим лицам (ст. 6 ч. 3)?

### Блок 6. Обязательные документы и уведомления
Политика **издана** (п. 2 ч. 1 ст. 18.1) и **опубликована / доступна неограниченному кругу**, а при сборе ПДн через сайт — опубликована в сети (ч. 2 ст. 18.1)? URL?
Уведомление РКН подано (ст. 22) — **и когда актуализировалось в последний раз** (ч. 7: изменения — до 15-го числа следующего месяца, прекращение обработки — 10 рабочих дней)?
Локализация: используете ли при сборе ПДн граждан РФ базы данных **за пределами РФ** (ст. 18 ч. 5 в ред. с 01.07.2025 — это не допускается, кроме случаев п. 2, 3, 4, 8 ч. 1 ст. 6)?
Проведена ли **оценка вреда** субъектам (п. 5 ч. 1 ст. 18.1, Приказ РКН № 178 — степени высокая/средняя/низкая)?
Закреплён ли порядок **подтверждения уничтожения** ПДн (Приказ РКН № 179 — акт + выгрузка из журнала событий ИСПДн)?
Проводится ли **внутренний контроль/аудит** (п. 4 ч. 1 ст. 18.1) и **ознакомление работников** с законодательством и локальными актами (п. 6 ч. 1 ст. 18.1)?
Определён уровень защищённости (ПП-1119)?
**Являются ли ваши ИСПДн объектами критической информационной инфраструктуры (ФЗ от 26.07.2017 № 187-ФЗ)?** Актуально для здравоохранения, финсектора, связи, энергетики, транспорта, науки, госорганов — меняет весь режим безопасности и отчётности об инцидентах. Если да → `[зона ФЗ-187 — эскалировать, за рамками этого плагина]`.

### Блок 7. Трансграничная передача
Передаёте за рубеж? Куда? Действующая ст. 12 (после отмены с 01.03.2023 старого закрытого перечня
оснований для государств без адекватной защиты) работает так: закрытого перечня специальных
оснований больше нет — передача правомерна на **общем основании обработки по ст. 6**, плюс отдельная
уведомительная процедура. Получили ли **до подачи уведомления** от иностранного получателя,
находящегося под юрисдикцией государства **вне перечня** обеспечивающих адекватную защиту, сведения
о правовом регулировании ПДн в его государстве? Сведения о мерах защиты и об условиях прекращения
обработки запрашиваются у получателя **независимо** от того, входит ли его государство в перечень.
Подано ли **отдельное** уведомление в РКН до начала передачи (ст. 12)? Для государств вне перечня
это **не разрешительный порядок** — положительного решения РКН дожидаться не требуется, но
передавать нельзя до истечения обычного срока рассмотрения уведомления (**10 рабочих дней**, ч. 9
ст. 12); 5 рабочих дней (ч. 13 ст. 12) — это срок решения РКН по специальным представлениям
государственных органов, а не сокращённый срок обычного уведомления оператора, не путать
`[сверено 2026-08-27]`. `[состав перечня после ФЗ от 26.07.2026 № 265-ФЗ — проверить; см. currency-watch]`

### Блок 8. Инциденты и права субъектов
Есть ли процедура реагирования на инциденты по **обоим** каналам: РКН (ст. 21 ч. 3.1 — 24 ч о факте, 72 ч о результатах расследования) **и** ГосСОПКА/НКЦКИ (ст. 19 ч. 12)? Кто отвечает на обращения субъектов и знает ли он деструктивные сроки ст. 21 (3 рабочих дня / 7 рабочих дней / 10 рабочих дней / 30 дней / 6 месяцев), а не только 10 рабочих дней на ответ?

### Блок 9. Риск и эскалация
Аппетит к риску; кто что согласует; что эскалируется независимо от масштаба.

## `--check-integrations`
Перепроверяет доступность интеграций (хранилище документов и т. п.), обновляет `## Доступные интеграции` в конфиге. ✓ только при реально прошедшем вызове MCP; иначе ⚪.

## Примеры
```
/personalnye-dannye:cold-start-interview-pd
```
```
/personalnye-dannye:cold-start-interview-pd --redo
```