Как организовать обработку персональных данных по закону

Чтобы сделать обработку персональных данных организованной, начните с описания целей: для чего именно используются сведения о людях. Оператор — тот, кто организует такую обработку. По ст. 18.1 Закона № 152-ФЗ он определяет необходимые меры исполнения своих обязанностей, если закон не устанавливает иное. Поэтому набор документов должен соответствовать тому, как фактически устроена работа с данными, а исполнение правил нужно обеспечить на практике.

Для юридического лица эта работа включает подготовку политики обработки и локальных актов — внутренних правил организации. Для каждой цели в них определяют категории людей, чьи сведения обрабатываются, категории и перечень самих данных, способы обработки, сроки обработки и хранения. Отдельно устанавливают порядок уничтожения сведений после достижения цели или появления иных законных оснований. Статья 18.1 Закона № 152-ФЗ запрещает включать в эти документы ограничения прав людей и полномочия или обязанности оператора, которых нет в законодательстве.

В организации нужно назначить ответственного за организацию обработки персональных данных. По ст. 22.1 152-ФЗ он получает указания непосредственно от исполнительного органа организации и отчитывается перед ним. Его обязанности включают контроль за соблюдением правил, информирование работников о требованиях закона и внутренних документах. Также он организует прием и обработку обращений людей, чьи данные используются, либо контролирует эту работу. Назначение ответственного следует связывать с этими конкретными задачами: одного названия должности для организации процессов недостаточно.

Работникам, которые непосредственно будут обрабатывать персональные данные, нужно объяснить применимые правила. Статья 18.1 Закона № 152-ФЗ предусматривает ознакомление с законодательством, требованиями к защите, политикой и внутренними актами либо обучение. Правовые, организационные и технические меры безопасности должны сопровождаться внутренним контролем или аудитом. Это проверка того, соответствует ли реальная обработка требованиям закона и собственным правилам оператора. Кроме того, закон предусматривает оценку возможного вреда людям при нарушении требований и сопоставление этого вреда с принимаемыми мерами.

Политика обработки должна быть доступна без ограничения круга читателей. Вместе с ней открывают сведения о реализуемых требованиях к защите данных. Если сбор идет через сайт, ч. 2 ст. 18.1 Закона № 152-ФЗ требует публикации этих материалов на страницах, где собирают сведения, и возможности получить доступ средствами сети. Внутренние правила при этом нужны и для предупреждения нарушений, их выявления и устранения последствий. По запросу уполномоченного органа оператор обязан представить документы и локальные акты либо иным способом подтвердить принятие предусмотренных мер. Поэтому организовать обработку означает также иметь возможность показать, какие меры действительно приняты.