Защита персональных данных

Защита персональных данных необходима практически любой компании, которая работает с физическими лицами. Организации получают сведения о сотрудниках, кандидатах, клиентах, представителях контрагентов, посетителях сайта, подписчиках, пользователях личных кабинетов и получателях рекламных рассылок.

К персональным данным могут относиться имя, телефон, адрес электронной почты, сведения из документов, адрес доставки, данные о трудовой деятельности, банковские реквизиты, фотографии, записи телефонных разговоров и другие сведения, по которым прямо или косвенно можно определить человека.

Компания самостоятельно определяет цели и порядок обработки данных, поэтому во многих случаях становится оператором персональных данных. Это означает, что она должна установить законные основания обработки, не собирать лишнюю информацию, ограничить доступ, подготовить внутренние документы и обеспечить безопасность данных.

Защита персональных данных компании не ограничивается размещением политики на сайте. Необходимо проверить все процессы, в которых участвуют сведения о физических лицах:

• формы обратной связи и заявки на сайте;
• регистрация в личном кабинете;
• интернет-магазин и доставка заказов;
• рекламные и информационные рассылки;
• телефонные обращения и записи разговоров;
• кадровый и бухгалтерский учет;
• подбор кандидатов на работу;
• видеонаблюдение и пропускной режим;
• программы лояльности;
• CRM, облачные сервисы и системы аналитики;
• передача данных курьерам, банкам и подрядчикам;
• хранение бумажных анкет, договоров и заявлений.

Юрист по персональным данным анализирует, какие сведения собирает компания, для каких целей они нужны, где хранятся, кому передаются и какие документы используются. После проверки формируется система, соответствующая реальной работе бизнеса.

Для каждой цели должно быть определено правовое основание. В одних случаях обработка необходима для заключения и исполнения договора, в других — для выполнения обязанностей работодателя или требований закона. Если подходящего основания нет, может потребоваться согласие на обработку персональных данных.

Согласие не должно быть формальным. В нем указываются оператор, цели, перечень данных, действия с ними, возможные получатели, срок обработки и порядок отзыва. Один универсальный текст для клиентов, работников, рассылок и публикации фотографий обычно не учитывает различия между этими процессами.

Политика обработки персональных данных описывает общие правила оператора и должна соответствовать фактической деятельности. Если на сайте указано одно, а компания использует данные иначе, документ не выполняет защитную функцию.

Отдельно проверяется передача информации подрядчикам. Компания может привлекать сервис рассылок, хостинг, CRM, колл-центр, бухгалтерию, кадровое агентство, службу доставки или IT-подрядчика. В договорах необходимо определить, какие данные передаются, для каких целей, какие действия разрешены и какие меры защиты обязан применять получатель.

Юридическая помощь включает:

• аудит обработки персональных данных;
• определение статуса компании как оператора;
• анализ целей и правовых оснований обработки;
• подготовку политики обработки персональных данных;
• разработку согласий для клиентов и работников;
• подготовку уведомления в Роскомнадзор;
• проверку сведений в реестре операторов;
• назначение ответственного лица;
• разработку внутренних положений и приказов;
• подготовку документов для сайта;
• анализ договоров с подрядчиками;
• разработку поручений на обработку данных;
• подготовку порядка работы с обращениями граждан;
• разработку действий при утечке;
• сопровождение проверок и требований государственных органов.

Какие документы необходимы компании

Политика обработки персональных данных

Политика является основным публичным документом оператора. Она описывает категории субъектов и данных, цели обработки, правовые основания, сроки хранения, порядок уничтожения и меры защиты.

Политику нужно составлять под конкретную организацию. Текст, скопированный с другого сайта, может не учитывать кадровый учет, рассылки, CRM, видеонаблюдение или передачу информации подрядчикам.

Положение об обработке и защите персональных данных

Внутреннее положение устанавливает правила для сотрудников компании. В нем описываются порядок получения данных, уровни доступа, хранение документов, передача сведений, работа с запросами и действия при обнаружении нарушения.

Приказ о назначении ответственного

В организации назначается сотрудник, который контролирует соблюдение правил обработки персональных данных, организует внутреннюю работу и взаимодействует с ответственными подразделениями.

Согласия субъектов

Для разных процессов могут использоваться отдельные формы:

• согласие клиента;
• согласие кандидата на работу;
• согласие работника;
• согласие на рекламную рассылку;
• согласие на публикацию фотографии;
• согласие на передачу данных третьим лицам;
• согласие законного представителя;
• согласие на обработку разрешенных для распространения данных.

Необходимость каждой формы определяется после анализа правового основания обработки.

Документы для сайта

Для сайта могут потребоваться политика, формы согласий, тексты под формами обратной связи, правила работы с файлами cookie, условия подписки и документы для личного кабинета.

Каждая форма должна собирать только те сведения, которые действительно нужны для заявленной цели.

Перечень обрабатываемых данных

Компания фиксирует, какие сведения получает от разных категорий лиц, зачем они нужны, где хранятся и когда уничтожаются. Такой перечень помогает выявить избыточный сбор информации.

Перечень лиц, имеющих доступ

Доступ предоставляется не всем работникам, а только тем, кому данные нужны для выполнения обязанностей. Перечень можно сформировать по должностям, подразделениям или информационным системам.

Обязательства работников

Сотрудников знакомят с установленными правилами и обязанностью сохранять конфиденциальность. Соответствующие условия могут включаться в трудовые договоры, должностные инструкции и отдельные обязательства.

Документы для подрядчиков

Если обработка поручается другой организации, договор должен определять цели, перечень данных, разрешенные операции, конфиденциальность, требования безопасности и действия при инциденте.

Порядок работы с обращениями

Физическое лицо может запросить сведения об обработке, потребовать уточнить данные, прекратить обработку или отозвать согласие. Компания должна понимать, кто принимает такие запросы и как на них отвечать.

План действий при утечке

Внутренняя инструкция определяет, кто фиксирует инцидент, ограничивает доступ, сохраняет доказательства, устанавливает объем утечки и направляет необходимые уведомления.

Аудит обработки персональных данных

Аудит позволяет сравнить документы компании с реальными процессами. Юрист проверяет не только наличие политики и согласий, но и то, как сотрудники фактически получают, используют и передают сведения.

В ходе проверки анализируются:

• сайт и формы сбора данных;
• CRM и информационные системы;
• кадровые и бухгалтерские документы;
• договоры с физическими лицами;
• договоры с подрядчиками;
• рекламные рассылки;
• записи телефонных разговоров;
• видеонаблюдение;
• личные кабинеты;
• программы лояльности;
• бумажные архивы;
• порядок удаления информации;
• сведения в реестре операторов;
• размещение баз данных;
• технические и организационные меры защиты.

По результатам компания получает перечень рисков и план устранения нарушений. Отдельно отмечаются критические вопросы, которые требуют немедленных действий.