Политика обработки персональных данных это публичный документ. Его обязаны опубликовать все, кто собирает данные через сайт, и предоставить по запросу все остальные. Разберём, что в нём должно быть и что там обычно не так.
Зачем она нужна
Закон требует от оператора опубликовать документ, определяющий его политику в отношении обработки персональных данных. Это не формальность: политика описывает, что компания делает с данными, и субъект на основании этого документа принимает решение, доверять ей или нет.
Отсутствие политики или её недоступность это самостоятельное нарушение, за которое штрафуют независимо от того, всё ли в порядке с остальным.
Обязательные разделы
Общие положения. Кто оператор: полное наименование, ИНН, адрес. На каком основании действует политика.
Правовые основания обработки. Перечень законов и договоров, из которых следует право обрабатывать данные. Для работодателя это Трудовой кодекс, для интернет-магазина договор купли-продажи, и так далее.
Цели обработки. Самый важный раздел. Цели должны быть конкретными: не «в целях ведения деятельности», а «для заключения и исполнения трудового договора», «для доставки заказа», «для ответа на обращение с сайта».
Категории субъектов и данных. Кто эти люди: сотрудники, кандидаты, клиенты, посетители сайта. Какие данные обрабатываются по каждой категории.
Порядок и условия обработки. Как собираются, где хранятся, кому передаются, как уничтожаются.
Сроки хранения. По каждой цели свой срок, и он должен быть обоснован. Хранить вечно нельзя.
Права субъекта. Как человек может узнать, какие данные о нём есть, потребовать исправления или удаления, отозвать согласие. Обязательно с указанием контакта для обращений.
Меры защиты. Общее описание организационных и технических мер без раскрытия деталей, которые сами по себе являются чувствительной информацией.
Порядок изменения политики. Как публикуются новые редакции.
Проверяющий сверяет цели из политики с тем, что происходит фактически. Если вы пишете, что данные не передаются третьим лицам, а заказы уезжают в службу доставки, это расхождение найдут за пять минут.
Ошибки шаблонов из интернета
Чужие цели. В шаблоне интернет-магазина есть доставка и оплата. Если вы производственная компания, эти цели вам не нужны и создают вопросы.
Ссылки на несуществующие документы. Политика ссылается на положение и приказ, которых у вас нет.
Устаревшие нормы. Законодательство менялось несколько раз, и шаблоны трёхлетней давности ссылаются на редакции, которых уже нет.
Отсутствие контакта. Нет адреса, куда обращаться субъекту. Это прямое нарушение права на обращение.
Несовпадение с формами на сайте. В политике одни цели, в галочке под формой заявки другие.
Где публиковать
На сайте, в свободном доступе, без регистрации. Ссылку принято ставить в подвал сайта и рядом с каждой формой, где собираются данные. Формулировка «Нажимая кнопку, вы соглашаетесь с политикой» должна вести на действующий документ, а не на пустую страницу.
Если у компании нет сайта, политика публикуется иным способом, обеспечивающим неограниченный доступ: например, размещается в офисе на информационном стенде.
Как проверить свою политику
| Вопрос | Если ответ «нет» |
|---|---|
| Совпадают ли цели с реальными процессами | переписать раздел целей |
| Указаны ли сроки хранения по каждой цели | добавить сроки |
| Есть ли контакт для обращений | добавить адрес и почту |
| Ссылается ли политика только на существующие документы | привести в соответствие |
| Открывается ли она без регистрации | исправить доступ |
| Указана ли дата редакции | добавить |
| Есть ли раздел о передаче третьим лицам | описать всех получателей |
Что идёт вместе с политикой
Политика это верхушка комплекта. Под ней лежат внутренние документы, которые проверяющий тоже запросит: положение об обработке и защите, приказ о назначении ответственного, перечень мест хранения, список допущенных сотрудников, формы согласий, журнал обращений.
Этот комплект мы готовим в рамках услуги разработка организационно-распорядительной документации, а техническую часть закрываем через обеспечение безопасности персональных данных.