Обязательно ли выгружать реальную базу персональных данных, чтобы доказать результат разрешённого пентеста?

Эксперт считает, что обычно достаточно показать реальную возможность доступа. Выгрузка базы не становится обязательной или законной только из-за разрешённого тестирования.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2025-09-19

Короткий ответ

Нет, обычно достаточно продемонстрировать реальную возможность доступа, а не скачивать всю базу. Такой подход к разрешённому пентесту описан в экспертном разборе от 19 сентября 2025 года.

Согласие на проверку не следует считать автоматическим разрешением на любые действия с персональными данными.

Как подтвердить результат с меньшим объёмом данных

До начала теста определите допустимый способ доказательства: какие признаки доступа нужно показать и какие материалы передать заказчику. Проверяющему важно оставаться в согласованных границах.

Если технический результат можно подтвердить без копирования реальных записей, массовая выгрузка создаёт лишний объём работы с данными. Возможность доступа и необходимость забрать содержимое – разные обстоятельства.

Не нужно включать реальные сведения людей в отчёт только для наглядности. Сначала установите, какие минимальные подтверждения достаточны и кто вправе их получить.

Что согласовать сторонам

Опишите объекты проверки, допустимые действия, доказательства и порядок хранения результатов. Предусмотрите действия при обнаружении непредусмотренного доступа и контакты для оперативного согласования.

Границы стоит проверить вместе с условиями договора, а работу с данными – в рамках проверки процессов по 152-ФЗ.

Само разрешение владельца системы не решает автоматически вопросы законности обработки всех находящихся в ней данных. Если для отдельного подтверждения действительно нужны реальные записи, объём и основание необходимо оценить отдельно. Не следует расширять тест по собственной инициативе только потому, что технический доступ оказался шире ожидаемого.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.