Обязательна ли политика конфиденциальности

Если вы решаете, нужна ли политика конфиденциальности для работы с персональными данными, ориентируйтесь на обязанность оператора открыть доступ к своей политике обработки. Именно такой документ назван в ч. 2 ст. 18.1 Закона № 152-ФЗ. Практический смысл требования — человек должен иметь возможность ознакомиться с политикой, а оператор должен обеспечить неограниченный доступ к ней. Сведения о реализуемых требованиях к защите персональных данных также должны быть доступны.

Для юридического лица предусмотрена и обязанность издать документы, определяющие политику обработки персональных данных. Она закреплена в п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Поэтому при подготовке документов организации нужно решить две задачи: оформить политику и обеспечить доступ к ней. Хранить её исключительно среди внутренних документов организации, закрытых для ознакомления, не соответствует требованию об открытом доступе.

Если вы собираете персональные данные через сайт, разместите документ в интернете. Обязанность охватывает в том числе страницы принадлежащего оператору сайта, с использованием которых идёт сбор данных. Посетитель должен иметь возможность получить доступ к политике средствами соответствующей сети. Это специальное правило для сетевого сбора по ч. 2 ст. 18.1 Закона № 152-ФЗ; оно касается также сведений о реализуемых требованиях к защите данных.

При сборе данных без использования информационно-телекоммуникационных сетей действует общее требование: опубликовать политику или иным образом обеспечить к ней неограниченный доступ. Выбирая способ ознакомления, исходите из того, сможет ли человек получить документ без ограничения доступа. Такое различие способов раскрытия предусмотрено ч. 2 ст. 18.1 Закона № 152-ФЗ.

Что подготовить организации помимо политики? Для каждой цели обработки в локальных актах нужно определить категории и перечень персональных данных, категории людей, чьи данные обрабатываются, способы и сроки обработки и хранения. Также нужен порядок уничтожения данных при достижении целей обработки или наступлении иных законных оснований. Эти вопросы перечислены в п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ и помогают связать документы с фактической работой организации.

При составлении политики и локальных актов нельзя ограничивать права людей, чьи персональные данные обрабатываются. Нельзя также включать положения, наделяющие оператора полномочиями и обязанностями, которых законодательство не предусматривает. Это ограничение содержания документов установлено п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ. Сотрудников, непосредственно обрабатывающих данные, знакомят с политикой и локальными актами и (или) обучают — п. 6 ч. 1 той же статьи.

Если поступит запрос уполномоченного органа по защите прав субъектов персональных данных, оператор обязан представить документы и локальные акты, указанные в ч. 1, и (или) иначе подтвердить принятие предусмотренных ею мер. Такая обязанность закреплена в ч. 4 ст. 18.1 Закона № 152-ФЗ. Политика должна отражать организацию обработки, а её доступность — обеспечиваться на практике.