Какие документы нужны для соблюдения Закона № 152-ФЗ

Начните с того, для чего бизнесу нужны персональные данные — сведения о конкретном человеке. Оператором называют того, кто организует их обработку. Для юридического лица документы должны отражать каждую цель работы с данными. Состав мер оператор определяет самостоятельно с учётом своих обязанностей: комплект должен соответствовать реальным процессам обработки, а не только называться комплектом документов по 152-ФЗ. Основа этого подхода — ч. 1 ст. 18.1 Закона № 152-ФЗ.

Подготовьте политику обработки персональных данных. К ней нужно обеспечить неограниченный доступ. Если сведения собираются через сайт, политика и сведения о реализуемых требованиях к защите должны быть опубликованы в соответствующей сети, в том числе на страницах сайта, через которые идёт сбор. Посетитель должен иметь возможность открыть документ средствами этой сети. Такое размещение предусмотрено ч. 2 ст. 18.1 Закона № 152-ФЗ.

Для внутренних правил компании нужны локальные акты. По каждой цели в них указывают категории людей, чьи сведения обрабатываются, категории и перечень данных, способы обработки, сроки обработки и хранения. Отдельно описывают порядок уничтожения после достижения цели или при наступлении других законных оснований. Это позволяет связать конкретные сведения с целью их использования и определить, когда работу с ними нужно закончить — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

Внутренние процедуры должны также помогать предотвращать и выявлять нарушения, устранять их последствия. Компания назначает ответственного за организацию обработки, проводит внутренний контроль или аудит, оценивает возможный вред людям и соотносит его с принимаемыми мерами. Работников, непосредственно занятых обработкой, знакомят с законодательством, политикой и локальными актами либо обучают. Эти обязанности нужно учитывать при подготовке документов и организации работы — п. 1, 2, 4–6 ч. 1 ст. 18.1 Закона № 152-ФЗ.

Если основанием служит согласие человека, оформляйте его отдельно от прочих подтверждаемых или подписываемых им документов. Выбирайте форму, которая позволяет подтвердить получение согласия. За доказательства отвечает оператор; при другом законном основании он должен доказать наличие этого основания. Когда согласие даёт представитель, проверьте его полномочия — ч. 1 и 3 ст. 9 152-ФЗ.

Для случаев обязательного письменного согласия предусмотрены требования к содержанию. Укажите сведения о человеке и операторе, цель, перечень данных, действия с ними и способы обработки, срок действия согласия и способ отзыва, предусмотрите подпись. При участии представителя или обработчика по поручению включите сведения о них. Электронный документ с электронной подписью признаётся равнозначным бумажному согласию при соблюдении условий ч. 4 ст. 9 152-ФЗ.

Храните документы так, чтобы можно было представить их по запросу уполномоченного органа по защите прав субъектов персональных данных. Оператор обязан представить документы и локальные акты либо иным образом подтвердить принятые меры — ч. 4 ст. 18.1 Закона № 152-ФЗ.