Use Case Triage

---
name: use-case-triage
description: >
  Локализация РФ. Триаж новой обработки ПДн: определяет правовое основание, нужно
  ли согласие/уведомление РКН/локализация/оценка вреда, выявляет конфликты с
  политикой обработки и маршрутизирует к следующему шагу. Используй, когда
  спрашивают «нужно ли согласие для X», «можем ли обрабатывать эти данные»,
  «оцени эту фичу с точки зрения ПДн», «начинаем сбор данных Y».
argument-hint: '[опиши обработку/фичу или путь к описанию]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 6 находок применены:
основание «законные интересы» (п. 7 ч. 1 ст. 6) не отрицается как несуществующее; трансграничная
передача — актуальный режим ст. 12 после 265-ФЗ вместо отменённого закрытого перечня оснований;
режим ФЗ-572/ЕБС не сведён к категорическому запрету любой идентификации/аутентификации вне ЕБС;
отдельность согласия (ч. 1 ст. 9) не отождествлена с обязательным отдельным документом, а перечень
ч. 4 ст. 9 привязан к письменной форме; обезличивание не выведено из-под ФЗ-152 одним ярлыком
«необратимо»; вывод по локализации при использовании иностранного сервиса разграничен со сбором.
-->

# /use-case-triage — триаж обработки ПДн

Быстрая сортировка: можно ли начинать обработку, что для этого обязательно, и куда идти дальше — по нормам ФЗ-152.

## Инструкции

1. **Загрузи профиль** `~/.claude/plugins/config/claude-for-legal-ru/personalnye-dannye/CLAUDE.md` (+ `company-profile.md`). Плейсхолдеры → останови, отправь на cold-start.
2. **Собери факты об обработке:** какие данные, о ком (субъекты; есть ли работники, есть ли несовершеннолетние), цель, кто оператор/обработчик, откуда данные (**от субъекта или нет**), кому передаём, публикуем ли для неограниченного круга лиц, где хранятся/обрабатываются (РФ/за рубежом), автоматизировано ли решение.
3. **Прогони чек-лист триажа** (ниже). По каждому пункту — вывод + тег.
4. **Итог: 🟢 можно / 🟡 можно с условиями / 🔴 нельзя без [X]**, с конкретными обязательными действиями и ответственными.
5. **Закрой деревом следующих шагов** (составить согласие/политику → `pdn-assessment` для оценки → `poruchenie-review` если привлекаем обработчика).

## Чек-лист триажа (ФЗ-152)

1. **Это вообще ПДн?** Любая информация, относящаяся к прямо/косвенно определённому физлицу (ст. 3).
   **Обезличивание само является обработкой ПДн** (ст. 3), а не операцией, автоматически выводящей
   данные из-под закона. Вне ФЗ-152 информация оказывается, только если объективно перестала
   относиться к определённому или определяемому физлицу — не из-за одного ярлыка «необратимое
   обезличивание»: сохраняется техническая возможность повторной идентификации (в т. ч. через
   сопоставление с другими массивами) → это по-прежнему ПДн. Обезличенные ПДн урегулированы ФЗ-152
   отдельно (ст. 3, ст. 5, режим ФЗ от 08.08.2024 № 233-ФЗ для передачи в ГИС Минцифры) — это
   специальный режим внутри закона, а не выход за его пределы `[сверено 2026-08-27]`. `[решить]` при сомнении в необратимости.
2. **Категория данных.** Обычные / **спецкатегории (ст. 10:** здоровье, раса, взгляды, интимная жизнь, судимость**) / биометрия (ст. 11 + ФЗ от 29.12.2022 № 572-ФЗ)**. Спец → авто-🟡/🔴: нужно отдельное основание ст. 10.
   **Биометрия — отдельный, но не безусловный запрет.** Обработка биометрических ПДн (изображение лица, запись голоса) в целях **идентификации и (или) аутентификации** организациями, ИП и нотариусами по общему правилу **вне ЕБС запрещена**, включая хранение исходных данных и векторов у себя. Но ФЗ-572 предусматривает **специальные режимы, исключения и иные информационные системы аутентификации** (в т. ч. по аутентификации — проверку соответствия предъявленных данных заранее полученным векторам на условиях закона) — нельзя автоматически объявлять любое СКУД, пропускную систему или собственный вектор аутентификации незаконным без квалификации конкретной конструкции: что именно делает система (идентификация из множества / аутентификация против одного заранее известного шаблона), где хранится вектор, кем и на каком основании эксплуатируется `[сверено 2026-08-27]`. Требуются размещение в ЕБС, согласие в установленном порядке, оборудование, прошедшее оценку соответствия, — если применимое исключение не установлено. Биометрия **вне** целей идентификации/аутентификации — по ст. 11 ФЗ-152. Уголовный риск при незаконном обороте биометрии — ч. 2 ст. 272.1 УК. *(Статья ФЗ-572 с запретом — ст. 15 `[номер статьи — проверить]`.)*
3. **Правовое основание (ст. 6 ч. 1).** Есть ли основание из закрытого перечня оснований (сам перечень пунктов закрыт, но один из пунктов — самостоятельное основание для широкого круга случаев)? Договор с субъектом (п. 5)? Закон (п. 2)? **Осуществление прав и законных интересов оператора или третьих лиц при соблюдении баланса прав и свобод субъекта (п. 7)** — это не «согласие по умолчанию»: оператор вправе положиться на это основание без получения согласия субъекта, если обработка необходима для его законных интересов и не нарушает баланс прав субъекта. *Не полный аналог GDPR legitimate interest (нет обязательного баланс-теста и его документирования как отдельной процедуры), но самостоятельное основание существует — не сводить вывод к «раз нет согласия, значит нельзя»* `[сверено 2026-08-27]`. Иначе — **согласие (ст. 9)**. Нет ни одного применимого основания → 🔴.
4. **Согласие — если основание согласие.** Конкретное, предметное, информированное, сознательное и однозначное, с правом отзыва; предзаполненные галочки недопустимы. **Перечень ПДн, перечень действий и сведения о лице, осуществляющем обработку по поручению (ст. 9 ч. 4), обязательны для согласия в письменной форме** — не для всякого согласия в любой подтверждаемой форме `[сверено 2026-08-27]`. Форма — при необходимости письменная (ст. 9 ч. 4).
   **Отдельность (с 01.09.2025).** Согласие оформляется **отдельно от иной информации и (или) документов**, которые субъект подтверждает или подписывает (ч. 1 ст. 9; ФЗ от 24.06.2025 № 156-ФЗ — сверено 2026-08-06). Норма требует отдельности **от иной информации/документов**, а не отдельного файла или бумажного документа: самостоятельный, отдельно подтверждаемый элемент согласия (например, свой чекбокс с отдельным текстом) на той же странице/в том же интерфейсе может ей соответствовать. Дефектна именно **единая** галочка, которая одновременно означает и принятие договора/оферты, и согласие на обработку ПДн, — только такую конструкцию отмечай 🔴 `[сверено 2026-08-27]`. Согласия, полученные до 01.09.2025, переподписывать не требуется — обратной силы нет; но если обработка по такому согласию продолжается и меняются цель или состав ПДн, проверь, не возникает ли обязанность получить новое, уже отдельно оформленное согласие `[проверить]`.
   *Общего требования об отдельном согласии на передачу третьим лицам в ФЗ-152 НЕТ.* Отдельное согласие требуется для ПДн, **разрешённых для распространения** (ст. 10.1, п. 13 ниже). Для трансграничной передачи в государства без адекватной защиты одним из альтернативных оснований является согласие **в письменной форме** именно на трансграничную передачу (ст. 12).
5. **Уведомление РКН (ст. 22).** Нужно ли подать/обновить уведомление о намерении обрабатывать? *С 2022 исключения сужены, но ч. 2 ст. 22 их сохранила (в частности — обработка исключительно без средств автоматизации).* Если уведомление уже подано — **не забудь актуализацию (ч. 7):** об изменении сведений — **не позднее 15-го числа месяца, следующего за месяцем изменений**; о прекращении обработки — **в течение 10 рабочих дней**. Новая цель/категория/ответственный/место нахождения БД — это изменение сведений ч. 3.
6. **Локализация БД (ст. 18 ч. 5, ред. с 01.07.2025).** При сборе ПДн, в т. ч. через интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ **с использованием баз данных, находящихся за пределами территории РФ, не допускаются**, за исключением случаев п. 2, 3, 4, 8 ч. 1 ст. 6 (обязанности по закону/международному договору; судопроизводство и исполнительное производство; гос. и мун. услуги; журналистская/научная/творческая деятельность). Редакция — ФЗ от 28.02.2025 № 23-ФЗ. **Схема «дублирующая БД в РФ + основная обработка за рубежом» после 01.07.2025 не работает.** Запрет касается именно перечисленных операций **при сборе** ПДн. Иностранный сервис/облако, участвующий в сборе (в т. ч. первичной записи/накоплении) ПДн граждан РФ, → 🔴, если не подпадает под исключения. Последующая передача/использование уже собранных с соблюдением локализации данных **не образует само по себе** нарушение ч. 5 ст. 18 — но требует отдельной проверки по ст. 12 (трансграничная передача, п. 8 ниже), если получатель или обработка находятся за рубежом `[сверено 2026-08-27]`.
7. **Передачи и обработчики.** Передаём третьим лицам? Если привлекаем обработчика — поручение правомерно **с согласия субъекта, если иное не предусмотрено ФЗ**, и оформляется договором либо актом гос./мун. органа (ст. 6 ч. 3) → маршрут на `poruchenie-review`. Передача третьим лицам как самостоятельным операторам — основание/согласие.
8. **Трансграничная передача (ст. 12).** За рубеж? Действующая ст. 12 (после отмены с 01.03.2023 старого закрытого перечня оснований для государств без адекватной защиты) работает иначе: закрытого перечня специальных оснований больше нет — трансграничная передача правомерна на **общем основании обработки по ст. 6** (в т. ч. согласие субъекта, договор с субъектом и т. д. — то же основание, что и для обработки внутри РФ) **плюс** отдельная уведомительная процедура: (а) **до** подачи уведомления получить от иностранного получателя, находящегося под юрисдикцией государства **вне перечня** обеспечивающих адекватную защиту, сведения о правовом регулировании ПДн в его государстве; сведения о мерах защиты ПДн и об условиях прекращения обработки запрашиваются у получателя **независимо от того, входит ли его государство в перечень**; (б) подать в РКН **отдельное** от ст. 22 уведомление **до начала** передачи; (в) для государств вне перечня — это **не разрешительный порядок**: положительного решения РКН дожидаться не требуется, но передавать нельзя **до истечения** обычного срока рассмотрения уведомления (**10 рабочих дней** со дня поступления, ч. 9 ст. 12), с приостановкой на время, пока РКН не получит запрошенные сведения (ч. 11 ст. 12); исключение — передача в жизненно важных интересах субъекта. **5 рабочих дней (ч. 13 ст. 12)** — это срок решения РКН по **специальным представлениям государственных органов**, а не сокращённый срок обычного уведомления оператора — не путать; (г) РКН вправе запретить/ограничить передачу `[сверено 2026-08-27]`. *Перечень государств с адекватной защитой — Приказ РКН от 05.08.2022 № 128; критерии перечня изменены ФЗ от 26.07.2026 № 265-ФЗ — **состав перечня сверять** `[проверить]`.*
9. **Оценка вреда / модель угроз.** Масштабная/рискованная обработка (спец, био, профилирование, большие объёмы) → предложи `pdn-assessment` (оценка вреда субъектам, **п. 5 ч. 1 ст. 18.1** + Приказ РКН от 27.10.2022 № 178) и модель угроз (ПП-1119, ФСТЭК № 21).
10. **Конфликт с политикой.** Сверь с опубликованной политикой обработки (издание — **п. 2 ч. 1 ст. 18.1**; публикация/неограниченный доступ, а для собирающих ПДн через интернет — публикация в сети — **ч. 2 ст. 18.1**): покрывает ли она эту цель/категорию? Не покрывает → 🟡, нужно обновить политику (маршрут `policy-monitor`).
11. **Данные получены не от субъекта?** (парсинг, покупные базы, лидогенерация, передача от партнёра.) **До начала обработки** оператор обязан предоставить субъекту сведения: наименование и адрес оператора, цель обработки и её правовое основание, предполагаемые пользователи ПДн, права субъекта, источник получения (ст. 18 чч. 3, 4). Исключения — ч. 4 ст. 18 `[сверить перечень]`. Нет уведомления → 🔴.
12. **Решение принимается только машиной?** Решения, порождающие юридические последствия или иным образом затрагивающие права и законные интересы, **исключительно** на основании автоматизированной обработки запрещены — кроме согласия субъекта **в письменной форме** или случаев, предусмотренных ФЗ. Оператор обязан разъяснить субъекту порядок принятия такого решения и обеспечить возможность заявить возражение (ст. 16).
13. **Публикуем ПДн для неограниченного круга лиц? (ст. 10.1)** Сайт, соцсети, отзывы клиентов, фото и контакты сотрудников. Если да — нужно **отдельное** согласие на обработку ПДн, разрешённых для распространения (оформляется отдельно от иных согласий), с возможностью субъекта определить перечень ПДн по каждой категории; **молчание или бездействие согласием не является**. Оператор обязан опубликовать сведения об условиях обработки и о наличии запретов и условий. Субъект вправе в любое время потребовать прекратить передачу — требование подлежит исполнению `[сроки — проверить]`.
14. **Это ПДн работников или кандидатов?** Отдельный контур: основание — исполнение трудового договора и требования ТК РФ (гл. 14 ТК РФ), спецкатегории (здоровье — медосмотры, судимость — отдельные должности), сроки хранения по архивному законодательству, передачи в СФР/ФНС. `[состав норм ТК и архивных сроков — зона lawyer, эскалировать]`
15. **Есть ли среди субъектов несовершеннолетние?** Отдельного «детского» режима по образцу COPPA в ФЗ-152 нет, но незаконный оборот ПДн несовершеннолетних — **квалифицированный состав ч. 2 ст. 272.1 УК** (до 5 лет), а в Приказе РКН № 178 ПДн несовершеннолетних отнесены к высокой степени вреда. Авто-эскалация. Порядок получения согласия за несовершеннолетнего — `[зона lawyer — эскалировать]`.
16. **Смежная зона — реклама.** Рассылки/обзвон по сетям связи регулируются не только ст. 15 ФЗ-152, но и **ст. 18 ФЗ от 13.03.2006 № 38-ФЗ «О рекламе»** (только с предварительного согласия абонента; бремя доказывания на рекламораспространителе; санкция — ст. 14.3 КоАП, независимо от ФЗ-152). `[ФЗ-38 — смежная зона, сверить]`

## Формат вывода

```markdown
[ШАПКА — по конфигу ## Выводы]

# Триаж обработки: [название]

**Итог:** 🟢 / 🟡 / 🔴
**Данные:** [категории], субъекты: [кто], основание: [ст. 6/9/10/11 …]

## Обязательно перед стартом
- [ ] [действие] — [норма] — ответственный [ФИО] `[решить]`/`[проверить]`

## Риски/открытые вопросы
- [пункт]

## Следующий шаг
[что и через какой скилл]
```

## Проверки перед выдачей
- [ ] Проверена категория (спец/био) и основание (закрытый перечень ст. 6)
- [ ] Биометрия для идентификации/аутентификации проверена на запрет вне ЕБС (ФЗ-572), а не только на «отдельное согласие»
- [ ] Согласие проверено на отдельность от иных документов (ч. 1 ст. 9, с 01.09.2025)
- [ ] Проверены уведомление РКН (включая **актуализацию** по ч. 7 ст. 22), локализация в действующей редакции ст. 18 ч. 5, трансграничность (с тегами currency-watch)
- [ ] Проверены источник данных (ст. 18 чч. 3, 4), чисто автоматизированные решения (ст. 16), распространение (ст. 10.1)
- [ ] Для тем currency-watch выполнен веб-поиск актуальности
- [ ] Итог с конкретными действиями и ответственными, не «нужно посоветоваться с юристом»