Политика обработки персональных данных: что это такое и как не нарушить закон

Прежде чем говорить о порядке, нужно понять, с чем мы работаем. Согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», ПДн — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Например, ФИО, дата рождения, адрес места жительства, номер телефона, реквизиты банковской карты и другие.

Законодательство выделяет специальные категории персональных данных, например: сведения о состоянии здоровья, национальная принадлежность, политические взгляды, религиозные или философские убеждения, сведения о судимости. А также отдельно выделены биометрические персональные данные, например: данные изображения лица, данные голоса человека, отпечатки пальцев и другие. Для этих категорий закон предусматривает свои требования к безопасности и условиям обработки.

Политика в отношении обработки персональных данных — это локальный нормативный документ, который описывает, как именно компания работает с ПДн: какие собирает, зачем, как хранит и кому передает.

Если опираться на букву закона, то согласно ч. 1 и ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», это документ, определяющий политику оператора в отношении обработки персональных данных, который в обязательном порядке должен содержать сведения о целях и объеме обработки, категориях обрабатываемых ПДн и субъектах, а также о реализуемых требованиях к защите данных.

Главная ошибка, которую совершают 90% компаний, — попытка решить вопрос «одной бумажкой». Руководители или юристы скачивают из интернета шаблон Политики, меняют в нем реквизиты на свои, публикуют на сайте и считают, что проблема решена.

Такой подход не работает. Политика не может быть оторвана от реальности. Она должна быть точным отражением реальных бизнес-процессов компании. Этот документ является следствием! организационных и технических мер обработки данных в компании.

Вам нужно начинать с ревизии цифрового хозяйства.

Только проведя аудит, вы сможете:

1. Описать все реальные процессы и составить детальную схему потоков данных.
2. Понять, какие данные, кому и на каком этапе передаются.
3. Убедиться, что в инфраструктуре нет нелегальной трансграничной передачи данных.
4. Гарантировать, что базы данных находятся на серверах в России (требование о локализации по ст. 18 ФЗ-152).
5. Выявить всех сторонних подрядчиков, которые фактически работают с вашими данными.

И именно Оператор несет полную ответственность перед законом и субъектами ПДн (ст. 6 ФЗ-152).

Многие бизнесы ошибочно полагают: «Мы просто пользуемся CRM, а данные хранятся у разработчика, пусть они и отвечают». Это заблуждение.

Давайте посмотрим на рутину:

• Вы работаете в облачной CRM (amoCRM, Битрикс24).
• Отправляете письма клиентам через почтовые сервера (Яндекс, Mail.ru, SendPulse).
• Собираете статистику посещаемости сайта через Яндекс.Метрику.
• Отдали доступы к админке сайта сторонней IT-компании или фрилансеру для внесения изменений.

Вы обязаны заключить с каждой такой компанией Договор поручения на обработку ПДн (ст. 6 ФЗ-152), где будут жестко прописаны обязательства подрядчика по защите информации. Роскомнадзор рекомендует отразить эти компании в вашей Политике.

Передали данные без договора поручения? Компания, которой вы поручили обработку, не отражена в локальном реестре Поручений на обработку ПДн? Это нарушение закона. Несмотря на то, что физически данные обрабатывает другой сервис, собираете их вы, а значит, отвечаете перед законом именно вы.

Для соответствия компании законодательству необходим комплект, состоящий из нескольких десятков документов. И Политика обработки персональных данных должна отражать результат их разработки.

В противном случае даже идеальная Политика, выверенная топовыми юристами, не спасет вас от штрафов. Почему? Потому что она не будет отражать действительность. Регулятору (Роскомнадзору) не обязательно приезжать к вам с проверкой. Они могут автоматически проверить ваш сайт, посмотреть, какие cookies и метрики вы используете, какие формы сбора данных настроены, и сравнить это с вашей опубликованной Политикой. Несоответствие будет выявлено моментально, что повлечет за собой административную ответственность по ст. 13.11 КоАП РФ.

Но для вашей компании этот порядок важен не меньше, а даже больше. Только полная прозрачность процессов дает управляемость. Вы не можете защитить то, о чем не знаете. Утечка данных, сбой в работе CRM из-за отсутствия регламентов, потеря клиентской базы — это прямые финансовые убытки. Наведение порядка в ПДн является, по сути, наведением порядка в бизнес-процессах, что напрямую влияет на рентабельность и устойчивость компании.