Нужна ли политика обработки персональных данных

Если вы обрабатываете персональные данные как оператор, организуйте открытый доступ к документу о своей политике. Оператор здесь — тот, о чьей обработке данных и мерах их защиты сообщает документ. Обязанность обеспечить доступ сформулирована для оператора без оговорки о наличии сайта. Поэтому вопрос о необходимости политики нельзя сводить лишь к тому, принимает ли сайт сведения от посетителей. Это правило закреплено в ч. 2 ст. 18.1 Закона № 152-ФЗ.

Для юридического лица подготовка документов о политике прямо включена в меры по выполнению обязанностей оператора. Помимо политики нужны локальные акты — внутренние документы по вопросам обработки данных. При их подготовке следует исходить из целей вашей обработки, чтобы правила описывали работу с соответствующими сведениями и людьми. Основание — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

Что отразить во внутренних правилах? Для каждой цели определяют категории и перечень персональных данных, а также категории людей, чьи данные обрабатываются. Затем закрепляют способы и сроки обработки и хранения. Отдельно описывают уничтожение данных при достижении цели или наступлении других законных оснований. Такой состав локальных актов предусмотрен п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Содержание документов должно соответствовать тому, для чего оператор использует сведения.

Если сбор идёт через принадлежащий оператору сайт, политику публикуют на тех страницах, с использованием которых собирают данные. Вместе с ней размещают сведения о реализуемых требованиях к защите персональных данных. Доступ к документу должен быть возможен средствами соответствующей сети. При организации сбора проверьте именно доступность политики на этих страницах: такую обязанность устанавливает ч. 2 ст. 18.1 Закона № 152-ФЗ.

Если через сеть данные не собираются, для доступа к политике можно выбрать публикацию или иной способ, обеспечивающий неограниченный доступ. При этом открытыми должны быть также сведения о реализуемых требованиях к защите данных. Закрытое хранение документа для внутреннего пользования не выполняет задачу открытого доступа, установленную ч. 2 ст. 18.1 Закона № 152-ФЗ.

Подготовленную политику нужно применять в работе. Работников, непосредственно обрабатывающих данные, знакомят с ней и с локальными актами и (или) обучают. Соответствие обработки политике и внутренним правилам входит в предмет внутреннего контроля или аудита. Эти меры предусмотрены п. 4 и 6 ч. 1 ст. 18.1 Закона № 152-ФЗ и связывают содержание документов с повседневной обработкой.

При составлении правил нельзя ограничивать права людей, чьи данные обрабатываются, или закреплять за оператором полномочия и обязанности сверх предусмотренных законодательством. Это ограничение содержится в п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Документы также понадобятся для подтверждения принятых мер по запросу уполномоченного органа по защите прав субъектов персональных данных — ч. 4 той же статьи.