Политика обработки персональных данных для вашей организации в соответствии с требованиями ФЗ-152

Разработка политики обработки персональных данных

Политика обработки персональных данных — это юридический фундамент для любого бизнеса, работающего с личной информацией физических лиц. Инспекторы Роскомнадзора запрашивают этот документ в первую очередь, и его отсутствие или несоответствие реальным процессам может стать причиной штрафа до 60 000 рублей (ч. 3 ст. 13.11 КоАП РФ). Читайте, как разработать политику без ошибок и что в ней обязательно должно быть.

Что такое Политика обработки персональных данных

Политика оператора персональных данных — это основной публичный документ оператора, в котором он фиксирует, как именно собирает, хранит, использует и защищает личную информацию граждан.

Она затрагивает все категории субъектов — клиентов, сотрудников, контрагентов, посетителей сайта и т.д. Ее нужно разместить в открытом доступе, чтобы любой человек мог с ней ознакомиться до передачи своих сведений.

Кому необходима Политика обработки персональных данных

Политика обработки персональных данных нужна любому оператору — коммерческой организации или НКО, индивидуальному предпринимателю или самозанятому, у которого есть, например, свой сайт, через который он собирает ПДн (п. 2 ч. 1 ст. 18.1 ФЗ №152-ФЗ).

Если у вас есть форма обратной связи на лендинге или интернет-магазин, вы обязаны разработать и опубликовать Политику персональных данных. Исключений для малого бизнеса нет: даже ИП без сотрудников, принимающий заявки через сайт, должен иметь этот документ.

Что должна содержать Политика обработки персональных данных организации

Многие ошибочно предполагают, что вся разработка документов по персональным данным сводится просто к скачиванию шаблонов из интернета и минимальным правкам. На самом деле это не так. Документ должен отражать реальные процессы компании и включать несколько обязательных разделов:

• Общие положения. Здесь указывается наименование оператора, его юридический статус и отсылка к Федеральному закону № 152-ФЗ. Важно не перегружать этот раздел Политики ПДн определениями, но дать базовые понятия: кто такой оператор персональных данных, что считается ПДн, что понимается под обработкой.
• Цели сбора персональных данных. Цели должны быть законными, заранее определенными и напрямую связанными с деятельностью бизнеса. Для большинства компаний это заключение и исполнение договоров, соблюдение трудового и налогового законодательства, обработка заявок с сайта, обратная связь с клиентами. Каждая цель должна соотноситься с конкретными категориями ПДн и категориями субъектов — избыточный сбор является прямым нарушением.
• Правовые основания обработки. В этом разделе оператор объясняет, на каком основании он работает с личной информацией. Это может быть согласие субъекта, исполнение договора, требования закона и т.д. Ссылаться на ФЗ №152-ФЗ нельзя: он устанавливает правила, но сам по себе не дает права собирать данные.
• Категории субъектов и обрабатываемых данных. Здесь перечисляется, чьи именно данные обрабатываются (клиенты, сотрудники, поставщики, посетители сайта) и какие именно сведения собираются (ФИО, паспортные данные, телефон, email, IP-адрес, файлы cookie). Важно указывать только те категории, которые действительно используются в работе.
• Порядок и условия обработки. Раздел описывает, как именно осуществляются сбор, хранение, использование, передача и другие действия с данными, какие меры принимаются для их безопасности, где физически расположены серверы, кому и в каких случаях данные могут передаваться. Если оператор привлекает подрядчиков — хостинг, CRM, сервисы рассылок — это также отражается здесь.
• Права субъектов и контактная информация. Каждый человек имеет право на доступ к своим данным, их уточнение, блокирование и уничтожение. В Политике должно быть указано, как он может реализовать эти права: куда направить запрос, в какие сроки компания ответит и какие действия предпримет.

Требования Роскомнадзора к Политике обработки персональных данных

Эти требования не ограничиваются перечнем разделов. Роскомнадзор обращает внимание на то, как документ соотносится с реальными процессами компании.

• Политика должна быть доступна в один клик и без регистрации. Если у организации есть сайт, документ должен быть доступен с любой страницы. Если сайта нет, но есть офис, разместите Политику на информационном стенде.
• Инспекторы проверяют, чтобы текст был понятен обычному человеку, а не только юристу, и чтобы в нем не было общих фраз, за которыми не видно реальных процедур.
• Оператор обязан своевременно вносить изменения в Политику: например, если он начал обрабатывать новые категории ПДн. Если инспектор выяснит, что документ устарел, это могут расценить как его отсутствие и оштрафовать.

Какие ошибки чаще всего допускаются при разработке Политики

При разработке Политики обработки персональных данных компании регулярно совершают одни и те же ошибки:

• Образец Политики обработки персональных данных просто скачан из интернета и размещен на сайте без полноценной адаптации.
• Ссылка на 152-ФЗ как на единственное основание обработки. Сам закон основанием не является, и такая формулировка вызывает вопросы у инспектора.
• Отсутствие конкретных целей обработки. Общие фразы вроде «для любых целей» прямо запрещены.
• Политика не обновляется при изменениях. Подключили новую CRM, запустили интернет-магазин или начали собирать cookie-файлы — документ нужно актуализировать.

Чем Политика обработки персональных данных отличается от Политики конфиденциальности

Политика обработки персональных данных организации описывает работу с данными в целом, охватывая все категории субъектов: сотрудников, клиентов, контрагентов. Она используется для выполнения требований законодательства и предъявляется при проверках.

Политика конфиденциальности адресована именно пользователям сайта. Она объясняет, какие данные собираются при посещении ресурса, для каких целей, кому могут передаваться и как пользователь может реализовать свои права.

Закон не запрещает объединять их в один документ. Многие компании так и делают — просто размещают на сайте одну Политику, которая выполняет обе функции.

Если вы не уверены, что ваша Политика обработки ПДн соответствует требованиям, обратитесь к юристам. Специалисты проведут аудит и разработают документ с учетом всех особенностей ваших процессов работы с данными.