Привожу в порядок персданные (152-ФЗ)
Политика · положение · РКН · согласия
Политика в отношении обработки персональных данных — основной документ ситуации. Остальные добавите следом.
Порядок действий
Что сделать по шагам и каким документом закрывается каждый шаг.
-
Опишите, какие данные, о ком и зачем вы собираете и где храните.обязательно
-
Опубликуйте на сайте документ о принципах и условиях обработки.обязательно
-
Соберите согласия там, где нет иного основания: работники, клиенты, рассылка, фото.обязательно
-
Назначьте ответственного и утвердите правила доступа к данным.обязательно
-
Заведите учёт носителей, обращений субъектов и передач третьим лицам.обязательно
-
Сообщите регулятору о начале обработки до её старта.обязательно
Документы для этой ситуации
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если у меня только сотрудники?
Да. Прежнее исключение для кадровых данных отменено, и уведомление подаёт практически любой оператор, включая ИП с одним работником (ст. 22 ФЗ № 152-ФЗ). Подать его нужно до начала обработки — через портал РКН или на бумаге. Отсутствие уведомления образует отдельное нарушение по ст. 19.7 КоАП РФ, независимо от остальных документов.
Достаточно ли галочки «согласен» на сайте?
Для обычных данных да, если рядом видно, на что человек соглашается, и доступны текст согласия и политика. Но согласие на рассылку и на передачу третьим лицам оформляется отдельно от прочих условий (ст. 9 ФЗ № 152-ФЗ), а для биометрии и специальных категорий нужна письменная форма. Доказывать наличие согласия обязан сам оператор.
Обязательна ли политика на сайте?
Да, если данные собираются через сайт: оператор обязан опубликовать документ, определяющий его политику обработки, и обеспечить к нему неограниченный доступ (ч. 2 ст. 18.1 ФЗ № 152-ФЗ). Ссылку размещают в подвале и рядом с каждой формой. Это то нарушение, которое РКН фиксирует дистанционно, без выезда и запросов.
Что делать, если человек просит удалить свои данные?
Прекратить обработку и уничтожить данные в течение 30 дней со дня обращения, если нет другого законного основания их хранить (ст. 21 ФЗ № 152-ФЗ). Тот же срок действует при отзыве согласия. Уничтожение подтверждают актом, а само обращение и ответ на него регистрируют в журнале обращений субъектов персональных данных.