Политика обработки ПДн шаг за шагом: таблица целей, приказ и публикация

Политика обработки персональных данных — второй шаг после уведомления в реестр операторов. Обязанность идёт из пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ: юридическое лицо издаёт документ, определяющий политику в отношении обработки персональных данных, локальные акты, где по каждой цели названы категории и перечень данных, категории субъектов, способы, сроки обработки и хранения и порядок уничтожения данных, а также локальные акты с процедурами предотвращения и выявления нарушений законодательства и устранения их последствий.

Как устроен документ по рекомендациям Роскомнадзора и чем он отличается от положения об обработке — в разборе «Как разработать политику обработки персональных данных». Здесь — о работе: что писать в таблице целей, чем политику вводят в действие и что значит её опубликовать.

Почему скачанный шаблон подводит

Политика описывает не закон, а вашу обработку. Проверяют её сверкой: таблицу целей сопоставляют с формами на сайте, с текстами согласий, со сведениями уведомления в Роскомнадзор и с тем, что вам говорят работники. Три расхождения встречаются чаще прочих:

• в политике нет цели, которая на сайте есть: форма записи на приём собирает телефон, а в таблице только кадры и договоры;
• перечень данных шире фактического: шаблон принёс паспортные данные и сведения о доходах, которые организация не собирает. Лишнее в перечне — заявление о том, что вы это обрабатываете;
• таблица не совпадает с уведомлением: в реестре операторов одни цели, в политике другие. Расходятся два ваших же документа, и объяснять это придётся на проверке.

Сводная таблица целей: что писать в каждой графе

Это сердце документа и единственная его часть, которую нельзя переписать у соседа.

• Цель обработки. Формулируется делом, а не уставом: «организация кадрового учёта и исполнение трудовых договоров», «заключение и исполнение договоров с клиентами», «ответ на обращения с сайта». Цель вида «уставная деятельность» не годится: из неё не следует, какие данные нужны.
• Категории субъектов. Кто эти люди: работники, бывшие работники, кандидаты, клиенты, представители контрагентов, посетители сайта. По этой графе видно, чьи права затронуты и кому отвечать на обращения.
• Перечень персональных данных. Именно перечень, а не «иные данные». Ровно то, что собираете: фамилия, имя, отчество, телефон, адрес электронной почты, реквизиты документа, удостоверяющего личность, — по каждой цели свой набор.
• Правовое основание. Условие обработки из статьи 6 закона и то, чем оно подтверждается: Трудовой кодекс Российской Федерации для кадрового учёта, договор с клиентом, согласие человека, отраслевой закон. Сам Федеральный закон от 27.07.2006 № 152-ФЗ основанием не является — он задаёт правила, а не право обрабатывать.
• Срок хранения. Со ссылкой на то, откуда он взят. Кадровые документы — по перечню Росархива (приказ Росархива от 20.12.2019 № 236), договорные — по сроку действия договора и сроку хранения из того же перечня, с оглядкой на исковую давность и на бухгалтерские и налоговые сроки, если они применимы. «Бессрочно» и «до отзыва согласия» по всем строкам — красный флаг: обработка прекращается при достижении цели.

Откуда таблица берётся в сервисе

Заполнять её в текстовом редакторе не нужно: она собирается из профиля обработки. В профиле отмечается, чьи данные организация обрабатывает и как — работники, клиенты и контрагенты, специальные категории, автоматизированная обработка. Подсказки у флажков прямо говорят, на что влияет каждый: признак «работники» добавляет кадровую цель и категорию «работники», признак «клиенты и контрагенты» — договорную.

Дальше политика формируется одной кнопкой, а строки таблицы приходят из профиля. Проверять всё равно нужно: сервис знает, что вы обрабатываете данные клиентов, но не знает, что заявки с сайта у вас собирает ещё и чат-бот. Если такая обработка есть, цель добавляется.

Политика вводится в действие приказом

Сформированный файл сам по себе — черновик. Документ становится действующим, когда его утверждает руководитель: приказ об утверждении политики издаётся вместе с ней и вводит её в действие с указанной даты.

В сервисе это отметка в карточке документа: номер приказа, дата утверждения и подписант. После отметки реквизиты уходят в гриф самого документа и остальных документов комплекта, а требование в списке работ закрывается. Рядом в карточке стоит приказ, которым политика вводится, — его не нужно искать отдельно.

Опубликовать — значит открыть доступ, а не положить в папку

Часть 2 статьи 18.1 закона требует двух вещей сразу: опубликовать или иным образом обеспечить неограниченный доступ к политике и к сведениям о реализуемых требованиях к защите персональных данных. Про вторую половину забывают чаще всего. В сформированной сервисом политике эти сведения есть внутри самого документа — отдельной страницы для них заводить не нужно, но проверить, что раздел о мерах защиты не вырезан при правке, стоит.

Если данные собираются через сайт, политика публикуется в той же сети — на страницах сайта, через который идёт сбор, и доступ к ней обеспечивается средствами этой сети. На практике это ссылка в подвале и ссылка рядом с каждой формой, которая собирает данные: заявка, запись на приём, подписка, обратный звонок.

Адрес опубликованной страницы указывается в разделе «Сервис проверяет сам». Сервис проверяет, что страница отвечает, и следит за тем, чтобы опубликованная копия не отстала: когда в кабинете выходит новая редакция политики, он напоминает обновить страницу и ставит работу в план.

Что делать дальше

• Появилась новая цель обработки — сначала правится профиль, потом переформируется политика, потом обновляется страница на сайте. В обратном порядке документы разъедутся.
• Сведения уведомления в Роскомнадзор должны совпадать с политикой. Изменили цели — уведомление об изменении подаётся не позднее 15-го числа месяца, следующего за месяцем изменения (часть 7 статьи 22 закона).
• Раз в год политику стоит перечитывать вместе с профилем: обработка меняется тише, чем документы.

Короткий чек-лист

• Перечислить реальные цели обработки — по формам на сайте, договорам и кадровым процессам.
• По каждой цели заполнить пять граф: категории людей, перечень данных, основание из статьи 6 закона, способы и срок хранения со ссылкой на источник срока.
• Убрать из перечня то, что не собираете.
• Утвердить политику приказом и отметить его номер и дату.
• Опубликовать политику вместе со сведениями о реализуемых требованиях к защите; дать ссылку в подвале и у каждой формы.
• Сверить таблицу целей со сведениями уведомления в Роскомнадзор.

Невыполнение обязанности опубликовать или обеспечить неограниченный доступ к политике либо к сведениям о реализуемых требованиях к защите персональных данных — самостоятельный состав по части 3 статьи 13.11 КоАП РФ: доказывать вред никому не нужно, достаточно открыть сайт.