Reg Gap Analysis

---
name: reg-gap-analysis
description: >
  Локализация РФ. Gap-анализ обработки ПДн против ФЗ-152 и подзаконных актов
  (ПП-1119, приказы ФСТЭК № 21 и ФСБ, требования РКН): что есть, чего не хватает,
  план устранения с ответственными и сроками. Используй: «gap-анализ по ФЗ-152»,
  «готовы ли мы к проверке РКН», «влияет ли [новое требование] на нас».
argument-hint: '[область/процесс или конкретное требование]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 4 находки применены:
трансграничная передача — актуальный режим ст. 12 после 265-ФЗ вместо отменённого закрытого перечня
оснований; штрафы за утечку спецкатегорий (10–15 млн, ч. 16 ст. 13.11 КоАП) и биометрии (15–20 млн,
ч. 17) разведены вместо общего диапазона, добавлена альтернатива по числу идентификаторов и оговорка
о примечании 3 к ст. 13.11 КоАП; реквизиты акта оценки вреда приведены к тексту Приказа РКН № 178
(без «сведений о возможных причинах вреда» как обязательного реквизита); режим ФЗ-572/ЕБС не сведён
к категорическому запрету любой идентификации/аутентификации вне ЕБС. Дополнительно (сквозная
правка вместе с use-case-triage): отдельность согласия (ч. 1 ст. 9) не отождествлена с обязательным
отдельным документом — дефектна именно единая галочка, совмещающая согласие и принятие оферты.
-->

# /reg-gap-analysis — gap-анализ по ФЗ-152

Сверяет текущее состояние обработки с требованиями и выдаёт список пробелов + план устранения.

## Инструкции

1. **Загрузи профиль** и карту обработок. Плейсхолдеры → cold-start.
2. **Определи охват:** весь режим ПДн / конкретный процесс / конкретное новое требование. Если про новое требование — **веб-поиск актуальности** (currency-watch) `[проверить]`.
3. **Пройди по контрольному списку** (ниже), помечая статус: ✅ есть / 🟡 частично / 🔴 нет / ⚪ неизвестно.
4. **Для каждого пробела** — риск, приоритет, действие, ответственный, срок. Ориентиры ответственности — ниже; не пиши «крупный штраф» и не выдумывай цифру.
5. **План устранения** — таблица, отсортированная по приоритету. Предложи дашборд, если пунктов >10.

## Ориентиры ответственности (сверено 2026-08-27, размеры для коммерческих ЮЛ)

**КоАП ст. 13.11** (крупные и оборотные штрафы введены ФЗ от 30.11.2024 № 420-ФЗ, в силе с 30.05.2025).
Примечание 3 к ст. 13.11 **исключает** из понятия «юридическое лицо» для целей чч. 10–18 государственные
и муниципальные органы, а также некоммерческие организации — приведённые ниже размеры относятся
к коммерческим ЮЛ и ИП, не к любому «ЮЛ» без разбора `[сверено 2026-08-27]`:
- **нарушение локализации** — 1–6 млн руб., повторно 6–18 млн;
- **неуведомление РКН о намерении обрабатывать** — 100–300 тыс.;
- **неуведомление об инциденте (ст. 21 ч. 3.1)** — 1–3 млн, сверх штрафа за саму утечку;
- **утечка обычных ПДн** (чч. 12–14) — 3–5 млн, 5–10 млн, 10–15 млн — пороги определяются **альтернативно**: либо числом пострадавших субъектов (1 000–10 000 / 10 000–100 000 / свыше 100 000), либо числом скомпрометированных идентификаторов (номер телефона, email, паспортные данные и т. п.) — если одно из двух перекрывает более высокий порог, применяется он `[состав альтернативы по идентификаторам — сверить точные пороговые числа по первоисточнику]`;
- **утечка специальных категорий ПДн (ст. 10)** — **10–15 млн** (ч. 16 ст. 13.11 КоАП);
- **утечка биометрических ПДн** — **15–20 млн** (ч. 17 ст. 13.11 КоАП) `[сверено 2026-08-27 — разные части, не общий диапазон]`;
- **повторная утечка — оборотный штраф (ч. 18) 1–3 % совокупной выручки, не менее 20 млн (для спец/био — 25 млн) и не более 500 млн.**
- Смягчение по ст. 4.1 КоАП при расходах на ИБ не менее 0,1 % выручки три года подряд `[проверить]`.
- **Нумерацию частей ст. 13.11 сверять — источники расходятся `[проверить]`.**

**УК ст. 272.1** (введена ФЗ от 30.11.2024 № 421-ФЗ — не 420-ФЗ, это разные законы): ч. 1 — до 4 лет;
ч. 2 (ПДн несовершеннолетних, спецкатегории, биометрия) — до 5 лет; ч. 3 (корысть, крупный ущерб,
группа, служебное положение) — до 6 лет; **ч. 4 (трансграничная передача, перемещение носителей) —
до 8 лет со штрафом до 2 млн**; ч. 5 (тяжкие последствия, организованная группа) — до 10 лет;
ч. 6 (создание сайтов для незаконного оборота ПДн) — до 5 лет.

## Контрольный список (базовый)

**Документы и организация**
- Политика обработки ПДн издана (**п. 2 ч. 1 ст. 18.1**) и опубликована / обеспечен неограниченный доступ; при сборе ПДн через сеть «Интернет» — опубликована в сети (**ч. 2 ст. 18.1**)
- Уведомление РКН подано (ст. 22 чч. 1, 3) **и актуализировано (ч. 7)**: об изменении сведений — не позднее 15-го числа месяца, следующего за месяцем изменений; о прекращении обработки — в течение 10 рабочих дней. Проверь состав сведений ч. 3 (цели, категории, ответственные, дата начала, срок/условие прекращения, трансграничная передача, **место нахождения БД**, меры и шифровальные средства). Исключения ч. 2 ст. 22 сохранились (в частности — обработка исключительно без средств автоматизации)
- Назначен ответственный за организацию обработки (ст. 22.1; п. 1 ч. 1 ст. 18.1 — основание назначения)
- Локальные акты о ПДн, перечни ПДн/ИСПДн, согласия/формы (п. 2 ч. 1 ст. 18.1)
- **Осуществляется внутренний контроль и (или) аудит соответствия обработки (п. 4 ч. 1 ст. 18.1)**
- **Работники, непосредственно обрабатывающие ПДн, ознакомлены с положениями законодательства и локальными актами, проводится обучение (п. 6 ч. 1 ст. 18.1)**
- **Проведена оценка вреда субъектам (п. 5 ч. 1 ст. 18.1 + Приказ РКН от 27.10.2022 № 178): по каждой категории субъектов — степень высокая / средняя / низкая; документ содержит реквизиты оператора, даты издания документа и проведения оценки, ФИО и должности проводивших оценку, установленную степень вреда, подпись.** Сведения о возможных причинах вреда обязательным реквизитом приказа не являются — держи их как рабочую колонку анализа, а не как формальное требование `[сверено 2026-08-27]` (см. `pdn-assessment`)

**Основания и согласия**
- Каждая обработка имеет основание (ст. 6/9/10/11)
- Согласия соответствуют ст. 9: конкретность, предметность, информированность, сознательность, однозначность; перечень ПДн, перечень действий и **сведения о лице, обрабатывающем по поручению** (ч. 4); право отзыва (ч. 2)
- **Согласия оформлены отдельно от иной информации и (или) документов, которые субъект подтверждает или подписывает (ч. 1 ст. 9, с 01.09.2025; ФЗ от 24.06.2025 № 156-ФЗ).** Требуется отдельность от иной информации/документов, не обязательно отдельный файл: самостоятельный, отдельно подтверждаемый элемент согласия на той же странице ей соответствует. **Единая** галочка, одновременно означающая и принятие договора/оферты, и согласие на обработку ПДн, → 🔴 `[сверено 2026-08-27]`
- Поручение обработки покрыто согласием субъекта либо иным основанием ФЗ (ст. 6 ч. 3)
- Спецкатегории (ст. 10) — отдельные основания
- **Биометрия: обработка в целях идентификации/аутентификации по общему правилу вне ЕБС запрещена (ст. 11 ФЗ-152 + ФЗ от 29.12.2022 № 572-ФЗ), но ФЗ-572 предусматривает специальные режимы, исключения и иные информационные системы аутентификации.** Не отмечай собственное СКУД/хранение шаблонов лиц-голоса автоматическим 🔴 без квалификации конкретной конструкции: что делает система (идентификация из множества / аутентификация против одного заранее известного вектора), где хранится вектор, на каком основании эксплуатируется `[сверено 2026-08-27]` `[статья ФЗ-572 с запретом — ст. 15, проверить]`
- **ПДн, разрешённые для распространения (ст. 10.1): отдельное согласие, перечень ПДн по каждой категории, опубликованы сведения об условиях обработки и о запретах/условиях**
- **Сбор ПДн не от субъекта: до начала обработки субъекту предоставлены сведения по ст. 18 чч. 3, 4** `[перечень исключений ч. 4 — сверить]`
- **Решения исключительно на основании автоматизированной обработки, порождающие юридические последствия, — запрещены, кроме согласия в письменной форме или случаев ФЗ; порядок разъяснён, возможность возражения обеспечена (ст. 16)**

**Данные и инфраструктура**
- **Локализация (ст. 18 ч. 5, ред. ФЗ от 28.02.2025 № 23-ФЗ, в силе с 01.07.2025): при сборе ПДн, в т. ч. через интернет, запись, систематизация, накопление, хранение, уточнение, извлечение ПДн граждан РФ с использованием баз данных за пределами РФ не допускаются, кроме случаев п. 2, 3, 4, 8 ч. 1 ст. 6. Схема «дублирующая БД в РФ + основная обработка за рубежом» не работает**
- Определён уровень защищённости, меры безопасности (ПП-1119, ФСТЭК № 21, ФСБ) — → ИБ
- Минимизация и сроки хранения (ст. 5, минимизация — ст. 5 ч. 5)
- **Обезличивание: если передаём/формируем составы обезличенных данных — режим ФЗ от 08.08.2024 № 233-ФЗ (передача обезличенных ПДн в ГИС Минцифры, профильные положения с 01.09.2025)** `[подзаконная база — проверить]`
- **Являются ли ИСПДн объектами КИИ (ФЗ от 26.07.2017 № 187-ФЗ)? Для здравоохранения, финсектора, связи, энергетики, транспорта это меняет режим безопасности и отчётности об инцидентах** `[зона ФЗ-187 — эскалировать]`

**Передачи**
- Поручения на обработку оформлены по ст. 6 ч. 3 и покрыты согласием/иным основанием (см. `poruchenie-review`)
- **Трансграничная передача (ст. 12, действующая редакция после отмены с 01.03.2023 закрытого перечня специальных оснований для государств без адекватной защиты).** Закрытого перечня оснований для «незащищённых» государств больше нет: передача правомерна на **общем основании обработки по ст. 6** (то же, что для обработки внутри РФ) **плюс** отдельная уведомительная процедура: (а) до подачи уведомления получены от иностранного получателя, находящегося под юрисдикцией государства **вне перечня** обеспечивающих адекватную защиту, сведения о правовом регулировании ПДн в его государстве; сведения о мерах защиты и об условиях прекращения обработки запрашиваются у получателя **независимо** от того, входит ли его государство в перечень; (б) подано **отдельное** от ст. 22 уведомление в РКН **до начала** передачи; (в) для государств вне перечня — это **не разрешительный порядок**: положительного решения РКН дожидаться не требуется, но передавать нельзя до истечения обычного срока рассмотрения уведомления (**10 рабочих дней** со дня поступления, ч. 9 ст. 12), с приостановкой на время получения запрошенных сведений (ч. 11 ст. 12); исключение — жизненно важные интересы субъекта. **5 рабочих дней (ч. 13 ст. 12)** — срок решения РКН по **специальным представлениям государственных органов**, а не сокращённый срок обычного уведомления оператора, — не путать `[сверено 2026-08-27]`. Перечень государств с адекватной защитой — Приказ РКН от 05.08.2022 № 128; критерии перечня изменены ФЗ от 26.07.2026 № 265-ФЗ, состав перечня сверять `[проверить]`

**Права субъектов и инциденты**
- Процедура ответов на обращения в сроки (ст. 14 ч. 3, ст. 20 ч. 1 — 10 рабочих дней + до 5; ст. 21 чч. 1–6 — деструктивные сроки; ст. 15 ч. 2 — **немедленное** прекращение обработки в целях продвижения)
- **Подтверждение уничтожения ПДн (Приказ РКН от 28.10.2022 № 179, в силе с 01.03.2023): при автоматизированной обработке — акт об уничтожении ПДн И выгрузка из журнала регистрации событий в ИСПДн; без автоматизации — акт** `[срок хранения подтверждений — проверить, ориентир 3 года]`
- **Инцидент — два независимых канала: (1) РКН (ст. 21 ч. 3.1) — 24 ч о факте, 72 ч о результатах внутреннего расследования; (2) ГосСОПКА/НКЦКИ (ст. 19 ч. 12) — взаимодействие и информирование о компьютерных инцидентах, повлёкших неправомерную передачу ПДн. Одно уведомление вместо двух → 🔴** `[устоялось — сверено 2026-08-06]`
- ПДн работников и кандидатов выделены в отдельный контур (ТК РФ гл. 14, спецкатегории, архивные сроки, передачи в СФР/ФНС) `[зона lawyer — эскалировать]`

## Формат вывода

```markdown
[ШАПКА]

# Gap-анализ ПДн: [охват]

**Сводка:** ✅ [N] · 🟡 [N] · 🔴 [N] · ⚪ [N]

## Пробелы (по приоритету)
| Пробел | Норма | Риск | Приоритет | Действие | Ответственный | Срок |
|---|---|---|---|---|---|---|
| ... | | 🔴/🟠/🟡 | | | | |
```

## Проверки перед выдачей
- [ ] Для новых требований выполнен веб-поиск актуальности (currency-watch); проверена дата последней сверки файла
- [ ] Технические меры отнесены к зоне ИБ, не смешаны с правовыми
- [ ] У каждого пробела — действие, ответственный, срок
- [ ] Риск выражен ориентиром из раздела «Ориентиры ответственности», а не словами «крупный штраф»
- [ ] Проверены все шесть мероприятий п. 1–6 ч. 1 ст. 18.1, включая внутренний контроль/аудит и ознакомление работников

## Закрой деревом следующих шагов