Какие требования предъявляются к политике обработки персональных данных

Начните с того, для чего вы собираете сведения о людях. Оператор — тот, кто обрабатывает персональные данные; субъект — человек, к которому эти сведения относятся. Цели нужно определить заранее и сформулировать конкретно. Обработка допустима на законной и справедливой основе. Нельзя использовать собранные сведения для несовместимой цели. Эти требования к политике обработки персональных данных опираются на ч. 1 и 2 ст. 5 152-ФЗ: описание работы с данными должно соответствовать этим принципам.

Если оператор — юридическое лицо, он издаёт документы о политике и локальные акты, то есть внутренние правила обработки. Для каждой цели в них определяют категории людей, категории и перечень данных, способы обработки, сроки обработки и хранения. Также нужен порядок уничтожения сведений после достижения цели или при наступлении иных законных оснований. При подготовке документов удобно рассматривать каждую цель отдельно: какие сведения нужны именно для неё, о ком и как долго их будут обрабатывать. Основание — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

Перечень сведений нельзя расширять только ради возможной пользы в будущем. Собирайте данные, которые отвечают заявленной цели, в соответствующем ей объёме. Избыточные сведения обрабатывать нельзя. Базы с несовместимыми целями обработки объединять запрещено. Для работы с неточными или неполными данными предусмотрите их уточнение либо удаление: оператор обязан принимать необходимые меры или обеспечивать их принятие. Это следует из ч. 3–6 ст. 5 152-ФЗ.

Срок хранения связывайте с целью обработки. Если человека можно определить по сведениям, хранить их дольше необходимого для этой цели нельзя, кроме случаев, когда срок установлен федеральным законом или договором, в котором человек является стороной, выгодоприобретателем либо поручителем. Когда цель достигнута или необходимость в ней утрачена, сведения уничтожают либо обезличивают, если федеральный закон не предусматривает иного. Так срок хранения и завершение работы с данными соотносятся с ч. 7 ст. 5 152-ФЗ.

Где разместить политику, зависит от способа сбора. Оператор обязан открыть неограниченный доступ к ней и к сведениям о реализуемых требованиях к защите данных. Если сбор идёт через информационно-телекоммуникационную сеть, документы публикуют в соответствующей сети. На собственном сайте политика и сведения о защите должны быть опубликованы на страницах, через которые собирают данные; доступ к документу обеспечивают средствами этой сети — ч. 2 ст. 18.1 Закона № 152-ФЗ.

Проверьте также ограничения в тексте: документы не могут урезать права людей или возлагать на оператора полномочия и обязанности сверх предусмотренных законодательством. Работников, непосредственно обрабатывающих сведения, знакомят с политикой и внутренними правилами и (или) обучают. Фактическую обработку контролируют на соответствие этим документам. Это меры по п. 2, 4 и 6 ч. 1 ст. 18.1 Закона № 152-ФЗ. По запросу уполномоченного органа по защите прав субъектов персональных данных оператор представляет документы и (или) иначе подтверждает принятые меры — ч. 4 той же статьи.