Политика в отношении обработки персональных данных описывает подход оператора к обработке и защите сведений. Здесь — требования к содержанию, публикации на сайте, утверждению документа и ознакомлению работников, а также ошибки при переносе чужого текста.
Коротко
Политика обработки персональных данных — документ оператора об обработке сведений о людях. Оператор обязан обеспечить неограниченный доступ к нему и сведениям о реализуемых требованиях к защите, а при сборе через сеть — опубликовать их в соответствующей сети, включая страницы своего сайта, через которые собираются данные: ч. 2 ст. 18.1 Закона № 152-ФЗ. Для юридического лица издание документов политики входит в меры по п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Начните с расхождений между опубликованным документом и тем, как поступают сведения о клиентах и работниках.
ч. 2 ст. 18.1 Закона № 152-ФЗ
п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ
пп. 4, 6 ч. 1, ч. 4 ст. 18.1 Закона № 152-ФЗ
Публичная политика обработки персональных данных требует проверки содержания и доступности. Красивое название файла не подтверждает выполнение обязанностей оператора.
Разбор требуется там, где название документа перестало совпадать с обработкой.
Политика оператора в отношении обработки персональных данных связана с разными обязанностями участников; публикация не заменяет внутреннюю организацию.
| Участник | Обязанность или право | Норма |
|---|---|---|
| Оператор — юридическое лицо | Издаёт документы политики и локальные акты: по каждой цели определяются категории субъектов, категории и перечни данных, способы и сроки обработки и хранения, уничтожение; предусматриваются процедуры предотвращения, выявления нарушений и устранения последствий. Назначает ответственного за организацию обработки. | пп. 1, 2 ч. 1 ст. 18.1 Закона № 152-ФЗ |
| Оператор, собирающий данные через сеть | Публикует документ политики и сведения о реализуемых требованиях к защите в соответствующей сети, включая страницы собственного сайта, через которые собираются данные. Обеспечивает возможность доступа средствами этой сети. | ч. 2 ст. 18.1 Закона № 152-ФЗ |
| Работники, непосредственно обрабатывающие данные | Подлежат ознакомлению с положениями законодательства, требованиями к защите, документами политики и локальными актами и (или) обучению. Для подготовки ознакомления нужно определить сотрудников, которые действительно выполняют обработку. | п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ |
| Уполномоченный орган по защите прав субъектов | По его запросу оператор представляет документы и локальные акты либо иным способом подтверждает принятие предусмотренных мер. Материалом ответа служит не только опубликованный текст, но и подтверждение организации обработки. | ч. 4 ст. 18.1 Закона № 152-ФЗ |
Документ, определяющий политику обработки персональных данных, — часть организации обработки, а не декоративный раздел сайта.
Политика организации в отношении обработки персональных данных описывает подход оператора, а локальные акты раскрывают процессы. Для юридического лица локальные акты определяют по каждой цели категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения; предусматривают предотвращение и выявление нарушений, устранение последствий. Название «положение» или «правила» не заменяет этого содержания: п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Политика обработки персональных данных общества должна быть связана с контролем фактической обработки. Оператор самостоятельно определяет необходимые и достаточные меры, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами; внутренний контроль и (или) аудит входит в их перечень: ч. 1 ст. 18.1 Закона № 152-ФЗ.
Политика обработки персональных данных и согласие — разные предметы проверки. В тексте ст. 18.1 Закона № 152-ФЗ речь идёт об издании документов, доступе к политике, контроле и ознакомлении работников. Из этой нормы нельзя вывести, что отметка «принимаю политику обработки персональных данных» сама по себе решает вопрос о согласии. Для оценки согласия нужен его текст и соответствующая норма.
Опубликованный документ не исчерпывает материалы, которые могут потребоваться оператору.
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Я проверяю, какой документ компания считает действующим и чем подтверждается его применение. По ч. 4 ст. 18.1 Закона № 152-ФЗ предмет ответа шире ссылки на страницу сайта: это документы и локальные акты либо иное подтверждение принятия мер. Поэтому при подготовке ответа я сопоставляю политику с внутренними документами, а не оцениваю только оформление публикации.
Статьи закона, на которых держится тема, — с названиями из официального текста
Официальный текст: О персональных данных
Поводы обращения различаются по тому, где обнаружен пробел: в тексте, доступе или организации обработки.
Предприниматель собирает сведения через сайт и выясняет, как открыть доступ к документу. Обязанность сетевой публикации адресована оператору, осуществляющему такой сбор: ч. 2 ст. 18.1 Закона № 152-ФЗ.
У компании есть кадровые процессы, но документы не определяют цели, перечни данных и сроки хранения. Содержание документов юридического лица проверяется по п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Компания подготовила внутренний документ, но опубликованная версия отличается от него. Издание документов и обеспечение доступа — самостоятельные меры по п. 2 ч. 1 и ч. 2 ст. 18.1 Закона № 152-ФЗ.
Посетитель видит название документа, однако ссылка ведёт на закрытый файл. Проверяется возможность доступа к политике средствами сети на страницах сбора: ч. 2 ст. 18.1 Закона № 152-ФЗ.
Оператор — юридическое лицо проверяет, отражает ли документ процессы сайта. Сначала выясняется, какие персональные данные обрабатываются и для какой цели, затем сверяются документы по п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Сайт на конструкторе содержит форму заявки и готовый текст. Проверяется доступ к политике со страниц сбора, а для юридического лица — содержание документов по ч. 2 и п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Ответственность за обработку данных работника нельзя автоматически переносить на любой дефект публичного документа.
| Нарушение | Кто отвечает | Санкция | Норма |
|---|---|---|---|
| То же нарушение в отношении данных работника | Лица, виновные в нарушении | Также гражданско-правовая, административная и уголовная ответственность в порядке, установленном федеральными законами. Конкретный состав и санкцию нужно устанавливать отдельно. | ч. 1 ст. 90 ТК РФ |
Отдельного штрафа за отсутствие политики обработки персональных данных закон не устанавливает. Лица, виновные в нарушении законодательства при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном трудовым законодательством и иными федеральными законами: ч. 1 ст. 90 ТК РФ. Компания и должностное лицо не объявляются виновными лишь по названию документа. Специальные санкции за биометрию, транспортные базы или незаконно полученную компьютерную информацию не являются штрафом за отсутствие политики.
адвокат · рег. № 78/8790
Я начинаю проверку политики с пути данных: от формы заявки или кадрового документа до хранения и уничтожения. Так видно, какие цели и категории субъектов действительно нужно описать в документах юридического лица по п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Форма политики обработки персональных данных имеет смысл только после такого сопоставления: чужая формулировка может выглядеть убедительно и при этом описывать другой бизнес.
Отдельно я открываю документ так, как его открывает посетитель. Доступ к политике обработки персональных данных — самостоятельная обязанность по ч. 2 ст. 18.1 Закона № 152-ФЗ. Если файл требует авторизации или недоступен со страницы сбора, внутреннее утверждение документа не отвечает на вопрос о публикации. Проверка касается и сведений о реализуемых требованиях к защите.
Внутри компании я сопоставляю текст политики с локальными актами и материалами ознакомления работников. Пункты 4 и 6 ч. 1 ст. 18.1 Закона № 152-ФЗ связывают документы с контролем и ознакомлением и (или) обучением. Я готовлю перечень обнаруженных расхождений с указанием конкретного процесса; это полезнее рекомендации заменить заголовок на более привычный.
Рабочая последовательность начинается с процессов обработки и заканчивается проверкой опубликованной и внутренней версий.
Комплект отражает содержание документа и выполнение мер. Форма внутренних подтверждений ниже — организационный выбор, а не утверждённый законом бланк.
| Документ | Зачем | Кто подписывает, форма |
|---|---|---|
| Текст политики обработки персональных данных | Определяет политику оператора; для юридического лица входит в документы по п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. | Издаёт оператор — юридическое лицо. Обязательный бланк и состав подписантов эта норма не задаёт. |
| Локальные акты по вопросам обработки | Для каждой цели определяют категории субъектов, категории и перечни данных, способы, сроки обработки и хранения, уничтожение; предусматривают предотвращение, выявление нарушений и устранение последствий: п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. | Издаёт оператор — юридическое лицо; форма определяется в организации. |
| Материалы ознакомления и обучения | Подтверждают работу с сотрудниками, непосредственно осуществляющими обработку, по п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ. | Способ фиксации выбирает оператор. Подтверждение ознакомления связывают с конкретной версией документа. |
| Подтверждения публикации и внутреннего контроля | Помогают проверить доступность документа и соответствие обработки политике по ч. 2 и п. 4 ч. 1 ст. 18.1 Закона № 152-ФЗ. | Снимки страниц и материалы проверки готовят участвующие работники; обязательную форму этих материалов норма не устанавливает. |
Юридическое лицо обязано определять в локальных актах сроки обработки и хранения персональных данных для каждой цели: п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
| Действие | Срок | С какого дня | Норма |
|---|---|---|---|
| Ответ на запрос субъекта персональных данных или его представителя | В течение десяти рабочих дней; продление — не более чем на пять рабочих дней. | С даты получения запроса об информации о наличии персональных данных и ознакомлении с ними. | ч. 1 ст. 20 Закона № 152-ФЗ |
| Предоставление информации уполномоченному органу по защите прав субъектов персональных данных | В течение десяти рабочих дней; продление — не более чем на пять рабочих дней. | С даты получения запроса органа. | ч. 4 ст. 20 Закона № 152-ФЗ |
Для продления срока оператор направляет адресату мотивированное уведомление с указанием причин продления предоставления запрашиваемой информации: ч. 1, 4 ст. 20 Закона № 152-ФЗ. Срок хранения сведений не равен сроку действия документа политики.
Как адвокат ведёт поручение компании
Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение
№ 78/8790 · адвокат
Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.
Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.
Ответы о содержании и доступе основаны на тексте нормы о мерах оператора.
Да. При сетевом сборе оператор обязан опубликовать политику и сведения о реализуемых требованиях к защите, включая страницы своего сайта, через которые идёт сбор, и обеспечить доступ к документу: ч. 2 ст. 18.1 Закона № 152-ФЗ.
Для юридического лица издание документов политики и локальных актов предусмотрено п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Политика обработки персональных данных организации проверяется вместе с описанием целей и процессов.
Юридическое лицо определяет содержание локальных актов по каждой цели: категории субъектов и данных, перечни данных, способы, сроки, уничтожение; процедуры против нарушений. Правила политики обработки персональных данных не могут ограничивать права субъектов или вводить не предусмотренные законом полномочия и обязанности: п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Нет. ст. 18.1 Закона № 152-ФЗ регулирует документ оператора. Отметки «согласен с политикой обработки персональных данных» и «соглашаетесь с политикой обработки персональных данных» не заменяют проверки политик обработки персональных данных и согласий по профильным нормам.
Название «политика конфиденциальности в отношении обработки персональных данных» не заменяет содержание политики по п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Пользовательское соглашение и политика обработки персональных данных проверяются раздельно.
Бланк приказа п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ не задаёт. Утверждение политики обработки персональных данных оформляют по внутреннему порядку; обозначьте действующую версию и приложения.
Часть 2 ст. 18.1 Закона № 152-ФЗ требует публикации в соответствующей сети, включая страницы сбора. Надпись «ознакомьтесь с политикой обработки персональных данных» без возможности открыть документ не обеспечивает доступ.
Отдельный файл с таким названием п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ не предписывает; кадровые цели и процессы должны быть описаны. Работников, непосредственно осуществляющих обработку, знакомят с документами и (или) обучают по п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Для сравнения структуры — да. Политика оператора обработки персональных данных и локальные акты юридического лица должны отражать собственные цели, субъектов, данные и процессы: п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.
По запросу уполномоченного органа нужно представить документы и локальные акты либо иначе подтвердить принятие мер: ч. 4 ст. 18.1 Закона № 152-ФЗ. Подготовьте действующую версию, акты и материалы контроля.
Нет. Часть 2 ст. 18.1 Закона № 152-ФЗ требует неограниченного доступа к политике и сведениям о реализуемых требованиях к защите. Политика в области обработки персональных данных, доступная только после входа в кабинет, этому правилу не отвечает.
По каждой цели локальные акты юридического лица определяют субъектов, данные, способы, сроки и уничтожение: п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Политика обработки и защиты персональных данных сверяется с ними при контроле по п. 4 ч. 1 ст. 18.1 Закона № 152-ФЗ.
Где нужна помощь адвоката и что прочитать дальше по этому вопросу