9 августа 2026 Обыски и изъятия

Изъяли технику с персональными данными: что делать компании

После изъятия техники компания остаётся владельцем персональных данных, которые на ней хранились, и её обязанности никуда не исчезают. Практически это означает три действия: зафиксировать, что именно изъято, установить, чьи данные попали к следствию, и — если среди них есть данные лиц из ЕС — оценить, возникает ли обязанность уведомления по GDPR.

Законность действий следователя не освобождает компанию от её собственных обязательств перед людьми, чьи данные она обрабатывает. Изъятие может быть полностью правомерным, а претензия к компании — возникнуть отдельно и от других лиц. Ниже — что фиксировать во время изъятия, как проверить пределы определения и что сделать после.

Компания остаётся ответственной за данные

То, что носители физически не у вас, не прекращает вашего статуса владельца данных. Вы и дальше отвечаете перед работниками и клиентами за то, как с их информацией обращаются, и обязаны принимать доступные меры. Поэтому правильная реакция — не «ничего не поделаешь», а зафиксировать объём и действовать в пределах, которые закон оставляет.

Что фиксировать во время изъятия

Всё, что потом понадобится для оценки последствий, фиксируется именно в момент обыска — позже восстановить это будет не из чего.

Перечень носителей. Каждое устройство должно быть описано в протоколе индивидуально: модель, серийный номер, чьё рабочее устройство. «Системный блок в количестве 3 шт.» — это не описание.
Категории данных. Внесите замечание в протокол о том, что на носителях есть персональные данные работников и клиентов, которые не относятся к предмету производства.
Опечатывание. Носители должны быть упакованы и опечатаны так, чтобы доступ без вскрытия был невозможен. Это ваша единственная реальная защита от произвольного просмотра.
Личные устройства. Если забирают телефон или ноутбук, принадлежащий работнику лично, это должно быть зафиксировано отдельно — у него появляются собственные права на обжалование.

Границы определения

Обыск проводится в пределах, определённых определением следственного судьи. Если определение касается конкретных сведений за конкретный период, изъятие всего массива данных компании «на всякий случай» выходит за эти пределы. Это не останавливает обыск на месте, но создаёт основание для жалобы — при условии, что несоответствие зафиксировано в протоколе.

Что сделать после

Первое — оценить, данные каких категорий лиц оказались вне вашего контроля и в каком объёме. Второе — уведомить людей, которых это касается: работников и, в зависимости от объёма, клиентов. Делать это стоит спокойно и фактически, без драматизации: что произошло, какие данные могли быть на носителях, какие действия вы предпринимаете. Молчание здесь хуже неудобного разговора — люди всё равно узнают, и тогда вопрос будет уже не об обыске, а о доверии к компании.

Третье — если среди данных есть данные пользователей из ЕС, отдельно оценивается применимость требований GDPR об уведомлении. Четвёртое — параллельно запускается процедура возврата носителей: чем быстрее техника возвращается, тем меньший объём остаётся вне вашего контроля.

Чего не стоит делать

Не пытайтесь дистанционно удалять данные с уже изъятых устройств. Это не решает вопрос защиты данных и создаёт новый, значительно худший сюжет — воспрепятствование расследованию. Так же не стоит объяснять работникам, что «ничего не произошло», если вы ещё не знаете объёма: одно неточное заявление стоит дороже, чем пауза на сутки до проверки фактов.

Что можно сделать заранее

Самые дешёвые решения принимаются до обыска. Разделение рабочих и личных устройств, шифрование носителей, хранение персональных данных отдельно от операционных файлов, понятная политика доступа — всё это уменьшает объём того, что уедет вместе с техникой. Плюс письменный порядок действий, чтобы в момент обыска кто-то в компании знал, что именно фиксировать.

Частые вопросы

Является ли изъятие техники нарушением в сфере персональных данных?

Правомерное изъятие на основании определения суда не является неправомерным доступом, поэтому автоматически инцидентом оно не становится. Но оценить ситуацию всё равно нужно: значение имеют объём данных, чьи они и вышли ли за пределы, разрешённые определением. Вывод делается по фактам конкретного изъятия, а не по общему правилу.

Действует ли GDPR, если технику изъяли украинские правоохранители?

GDPR применяется по критерию того, чьи данные обрабатываются и кому предлагаются услуги, а не по месту изъятия. Если на технике были данные лиц из ЕС, обязанности компании по GDPR сохраняются независимо от того, что изъятие произошло в Украине и было законным. Нужно оценить, возникает ли основание для уведомления об инциденте.

Нужно ли уведомлять сотрудников об изъятии их данных?

Это зависит от того, что именно изъято и какие данные там были. Если на технике хранилась личная переписка, фото, сохранённые пароли работников, информирование является разумным шагом даже там, где формальной обязанности нет: люди должны знать, что их данные у следствия, чтобы сменить пароли и оценить собственные риски.

Что фиксировать во время изъятия с точки зрения персональных данных?

Перечень изъятых носителей с серийными номерами, состав данных на каждом хотя бы в общих категориях, наличие шифрования и то, передавались ли пароли. Эти записи потом являются единственным основанием ответить на вопрос, чьи именно данные попали к следствию.

Можно ли требовать копирования данных вместо изъятия техники?

Да, и это стоит заявлять сразу. Копирование информации вместо удержания носителей часто решает задачу следствия без остановки работы компании. Заявление должно быть зафиксировано в протоколе — тогда отказ становится предметом обжалования, а не устным спором.

Что сделать заранее, чтобы уменьшить последствия?

Разделить личные и рабочие данные на устройствах, включить шифрование, держать резервные копии вне офиса и минимизировать то, что вообще хранится локально. Самое простое правило: чем меньше данных лежит на ноутбуке, тем меньше их уедет вместе с ним.