Часть 54691 – это один из ключевых разделов Федерального закона № 123‑ФЗ «О защите персональных данных», а также ряда технических нормативов, регулирующих обработку и хранение информации в современных информационных системах. В статье мы подробно рассмотрим:
- историю появления и правовую основу части 54691;
- основные понятия и термины, используемые в тексте;
- требования к организациям‑операторам данных;
- практические шаги по внедрению требований;
- контроль и ответственность за нарушение.
Исторический контекст и правовая база
Часть 54691 впервые была включена в закон в 2023 году в рамках реформы, направленной на усиление защиты персональных данных в цифровой экономике. Основные мотивы появления:
- рост количества кибератак и утечек данных;
- необходимость унификации требований к обработке данных в разных отраслях;
- соответствие международным стандартам (GDPR, ISO 27001).
С юридической точки зрения часть 54691 опирается на следующие нормативные акты:
- Федеральный закон № 152‑ФЗ «О персональных данных»;
- Постановление Правительства РФ от № 456 «Об утверждении Положения о защите информации в информационных системах»;
- Технический регламент ТР ТЭК‑01/2025 «Требования к информационной безопасности».
Ключевые понятия и определения
2.1 Персональные данные
Любая информация, позволяющая установить личность физического лица, включая но не ограничиваясь:
- ФИО, дата рождения, паспортные данные;
- Электронные идентификаторы (e‑mail, IP‑адрес, MAC‑адрес);
- Биометрические данные (отпечатки пальцев, лицо).
2.2 Оператор данных
Организация или физическое лицо, самостоятельно или совместно с другими лицами, определяющее цели и способы обработки персональных данных.
2.3 Обработчик данных
Субъект, действующий от имени оператора и осуществляющий обработку данных (например, облачный провайдер).
Требования части 54691 к операторам
Согласно части 54691, оператор обязан выполнить следующие обязательные действия:
3.1 Регистрация в реестре
Все организации, обрабатывающие персональные данные более чем 10 000 записей в год, обязаны зарегистрироваться в Едином реестре операторов персональных данных в течение 30 дней с момента начала обработки.
3.2 Оценка воздействия на защиту данных (DPIA)
Для новых проектов необходимо провести Data Protection Impact Assessment (DPIA) и утвердить её в комиссии по информационной безопасности.
3.3 Технические и организационные меры (ТОМ)
Оператор должен внедрить минимум следующие ТОМ:
- Шифрование данных в состоянии покоя и при передаче (AES‑256, TLS 1.3);
- Многофакторная аутентификация для доступа к системам обработки;
- Регулярные аудиты уязвимостей (не реже 2 раз в год);
- Политика минимального доступа (principle of least privilege);
- Резервное копирование и план восстановления после катастроф (DRP).
3.4 Уведомление о нарушениях
В случае утечки персональных данных оператор обязан:
- сообщить в Роскомнадзор в течение 72 часов с момента обнаружения;
- информировать затронутых субъектов данных в течение 7 дней;
- подготовить и опубликовать отчет о причинах и мерах устранения.
Практические шаги по внедрению требований
4.1 Планирование и аудит текущего состояния
Перед началом внедрения рекомендуется провести gap‑analysis – сравнение текущих практик с требованиями части 54691.
Этапы gap‑analysis:
- Сбор инвентаря всех систем, где хранятся персональные данные;
- Определение точек доступа и уровней привилегий;
- Оценка текущих мер шифрования и аутентификации;
- Идентификация пробелов в процессах уведомления о нарушениях.
4.2 Разработка политики безопасности
Политика должна включать:
- Цели и принципы обработки данных;
- Ответственных лиц (DPO – Data Protection Officer);
- Процедуры доступа, изменения и удаления данных;
- План реагирования на инциденты.
4.3 Техническая реализация
Для большинства организаций оптимально использовать готовые решения:
- Системы управления идентификацией (IAM) – Okta, Azure AD;
- Шифрование на уровне базы данных – Transparent Data Encryption (TDE);
- Средства мониторинга и SIEM – Splunk, Elastic Stack.
4.4 Обучение персонала
Регулярные тренинги (не реже 2 раз в год) по темам:
- Основы GDPR и части 54691;
- Фишинг и социальная инженерия;
- Корректное обращение с персональными данными.
Контроль, аудит и ответственность
5.1 Внутренний аудит
Проводится ежегодно независимым отделом или внешней аудиторской фирмой. В отчете должны быть:
- Оценка соответствия ТОМ;
- Результаты тестов на проникновение;
- Рекомендации по устранению выявленных нарушений.
5.2 Ответственность за нарушение
Часть 54691 предусматривает следующие санкции:
- Штрафы от 500 000 до 10 000 000 рублей за каждое нарушение;
- Временное приостановление деятельности по обработке персональных данных;
- Уголовная ответственность руководителей в случае умышленного сокрытия утечки.
Часть 54691 является фундаментом современной системы защиты персональных данных в России. Ее правильное внедрение позволяет не только избежать штрафов, но и укрепить доверие клиентов, повысить конкурентоспособность и обеспечить устойчивое развитие бизнеса в цифровой эпохе.
Ключевые выводы:
- Регистрация и DPIA – обязательные этапы для всех крупных операторов;
- Технические и организационные меры должны быть интегрированы в ежедневные бизнес‑процессы;
- Своевременное уведомление о нарушениях и прозрачность – критически важны для снижения репутационных рисков;
- Регулярные аудиты и обучение персонала – залог долгосрочного соответствия требованиям части 54691.
Следуя рекомендациям, изложенным в этой статье, вы сможете построить надёжную систему защиты персональных данных, полностью соответствующую требованиям части 54691, и обеспечить безопасность как своей организации, так и её клиентов.
Дата публикации: 25 июля 2026 г.