Политика обработки персональных данных: что в ней должно быть

Основание

Подпункт 1-1) пункта 2 статьи 25 закона о персональных данных обязывает утверждать документы, определяющие политику оператора в отношении сбора, обработки и защиты персональных данных. То же требование дублируется в пункте 6 Правил осуществления мер по защите персональных данных.

Какие разделы имеет смысл включить

• Термины и область применения: на кого распространяется — работников, кандидатов, клиентов, контрагентов
• Цели сбора и обработки по каждой категории людей: для чего именно вы собираете данные
• Перечень собираемых данных с разделением на общедоступные и данные ограниченного доступа
• Правовые основания: согласие человека либо прямое требование закона
• Порядок получения и хранения согласий, а также порядок отзыва согласия
• Кто внутри компании имеет доступ к данным и на каком основании
• Передача третьим лицам: кому, зачем, на каком основании, как защищена передача
• Трансграничная передача, если она есть, и где находится база
• Сроки хранения и порядок уничтожения по достижении цели
• Права людей и порядок рассмотрения их обращений со сроками
• Меры защиты: организационные и технические, без раскрытия деталей, которые сами по себе являются уязвимостью
• Порядок действий при нарушении безопасности данных, включая уведомление за один рабочий день
• Ответственное лицо и его контакты

Один документ или несколько

Закон говорит о «документах» во множественном числе, поэтому допустимы оба варианта. На практике удобнее разделить.

Политика — общий публичный документ, его можно разместить на сайте. Положение о персональных данных работников — внутренний документ, с ним работников знакомят под подпись. Для работников это дополнительно требуется Трудовым кодексом: подпункт 24) пункта 2 статьи 23 обязывает работодателя собирать, обрабатывать и защищать персональные данные работника в соответствии с законодательством.

Как ввести в действие

1. 1Соберите фактическую картинуКакие данные вы реально собираете и где они лежат. Политика, написанная в отрыве от практики, разваливается при первой же проверке.
2. 2Утвердите приказом руководителяПолитика — акт работодателя, вводится приказом с датой введения в действие.
3. 3Ознакомьте работников под подписьЛист ознакомления с датами и подписями хранится вместе с документом.
4. 4Опубликуйте открытую частьЕсли вы собираете данные клиентов через сайт, разместите политику по доступной ссылке — это подтверждает, что человек мог с ней ознакомиться.
5. 5Пересматривайте при измененияхНовая система, новый подрядчик, новый вид данных — повод обновить документ и переознакомить работников.

Частая ошибка

Скачанная российская политика ссылается на Федеральный закон № 152-ФЗ и на Роскомнадзор. В Казахстане действует Закон № 94-V, свой уполномоченный орган и свой срок уведомления об утечке — один рабочий день. Такой документ не просто бесполезен, он показывает, что работа не велась.

Частые вопросы