Оператор персональных данных (ОПД) обязан не просто собирать и обрабатывать информацию, но и документально подтверждать свою законность. Чем шире спектр обрабатываемых категорий и целей, тем больше документации потребуется. По состоянию на перечень обязательных документов колеблется от 35 до 120 позиций в зависимости от отрасли, объёма данных и способов их обработки.
Что такое «ПДН» и кто им является
ПДН — это любое лицо или организация, самостоятельно или совместно с другими определяющее цели и средства обработки персональных данных. Это могут быть:
- Розничные компании (магазины, маркетплейсы)
- Банки и финансовые организации
- Медицинские и образовательные учреждения
- IT-компании, разработчики приложений
- Государственные органы
Обязательные документы по закону 152-ФЗ
Внутренние локальные акты
- Политика в отношении обработки ПД, основной документ, описывающий цели, правила и меры защиты;
- Положение о конфиденциальности — для сотрудников и контрагентов;
- Приказ о назначении ответственного за организацию обработки ПД;
- Программа обучения сотрудников по вопросам защиты ПД;
- Регламенты по инцидентам (утечкам, нарушениям).
Реестры и журналы
- Реестр систем обработки ПД;
- Журнал учёта доступа к ПД;
- Журнал учёта запросов субъектов ПД;
- Журнал регистрации инцидентов;
- Реестр действий (операций) с ПД.
Соглашения и договоры
- Согласия субъектов ПД (в простой письменной форме или в электронном виде);
- Договоры с операторами по обработке ПД (по 152-ФЗ ст. 6.1 п. 3);
- Договоры о трансграничной передаче (если данные выводятся за пределы РФ);
- НДА (соглашения о неразглашении) с сотрудниками и контрагентами.
Дополнительные документы для отраслевых операторов
Медицина и фармацевтика
- Приказ о допуске к медицинским данным;
- Согласие на обработку специальных категорий ПД (здоровье);
- Информированное добровольное согласие пациента;
- Соглашение о врачебной тайне.
Финансовый сектор
- Доверенности на доступ к банковской тайне;
- Регламенты по скоринговым оценкам и кредитным историям;
- Акты о передаче данных в БКИ.
HR-сфера и кадровые службы
- Локальный акт о видеонаблюдении на рабочем месте;
- Политика по биометрическим данным (если используется сканирование лица, отпечатков);
- Правила внутреннего трудового распорядка с разделом о ПД.
Контрольный чек-лист: как не пропустить важное
- Определите категории обрабатываемых ПД (общие, специальные, биометрические).
- Зафиксируйте все юридические основания обработки (ст. 6 и 9 152-ФЗ).
- Составьте карту потоков данных (от кого, куда, зачем).
- Сверьтесь с реестром операций Роскомнадзора (если подлежите уведомлению).
- Обновите документы не реже 1 раза в 3 года или при изменении законодательства.
От 35 до 120 документов — это не пугающая цифра, а систематизированный подход к защите персональных данных. Главное правило: каждый документ должен быть не «для галочки», а работать на прозрачность, безопасность и доверие субъектов ПД.
Не уверены, что учли всё? Проведите внутренний аудит или обратитесь к специалисту по 152-ФЗ — это дешевле штрафов и репутационных потерь.