Политика обработки персональных данных
Обязана быть опубликована на сайте в открытом доступе. Её отсутствие - самое частое нарушение и первое, что видит проверяющий.
ч. 2 ст. 18.1 152-ФЗ
8 документов в этой группе
Базовый комплект документов оператора персональных данных
Это тот минимум, который спрашивают первым - и при дистанционном мониторинге сайта, и при выездной проверке. Если сайт собирает хоть какие-то данные, эти документы должны быть готовы до того, как их запросят.
Почему начинают именно с этих документов
Политика обработки данных - единственный документ группы, который виден снаружи, без всякого запроса. Именно поэтому с неё и начинают: достаточно открыть сайт. Остальные документы группы внутренние, но они отвечают на следующий вопрос - выполнены ли меры, о которых политика заявляет. Расхождение между тем, что написано в политике, и тем, что происходит на самом деле, заметно быстрее всего.
Что входит в группу
Уведомление в Роскомнадзор об обработке ПД
Подаётся до начала обработки. С 30.05.2025 уведомлять обязаны практически все, кто собирает данные через сайт - включая форму обратной связи.
ст. 22 152-ФЗ
Приказ о назначении ответственного за организацию обработки ПД
У оператора-юрлица обязан быть назначенный ответственный. Без приказа считается, что мера не выполнена.
ч. 1 ст. 18.1, ст. 22.1 152-ФЗ
Согласие на обработку персональных данных
Основание для обработки там, где нет договора или требования закона: рассылки, аналитика, публикация фото.
ст. 9 152-ФЗ
Положение об обработке персональных данных
Внутренний документ, который описывает реальные процессы: кто, что и на каком основании обрабатывает.
п. 1 ч. 1 ст. 18.1 152-ФЗ
Инструкция по работе с ПД в ИСПДн
Правила для сотрудников, работающих в CRM, 1С, почте. По ней же проводится инструктаж.
ПП РФ № 1119
Акт об уничтожении персональных данных
Подтверждает, что данные удалены в срок. Без акта факт уничтожения доказать нечем.
ч. 4 ст. 21 152-ФЗ, Приказ РКН № 179
План мероприятий по защите персональных данных
Показывает, что защита - система, а не разовое действие. Проверяется вместе с моделью угроз.
ч. 1 ст. 18.1 152-ФЗ
Кому это нужно
- Сайт с любой формой - заявка, обратная связь, подписка, регистрация
- Интернет-магазин: заказы и доставка это уже обработка данных
- ИП и самозанятые - обязанности оператора не зависят от формы регистрации
- Компании с сотрудниками: кадровые данные это отдельный, более строгий режим
Собрать эти документы под свою организацию
Конструктор задаёт вопросы о вашей деятельности и подставляет реквизиты в готовые файлы .docx. В комплект входит вся группа целиком и ещё 49 документов, которые подключаются по мере необходимости - в инструкции отмечено, что нужно сразу, а что позже.
Частые вопросы
С чего начать, если нет вообще ничего?
С трёх документов: политика обработки персональных данных, уведомление в Роскомнадзор и приказ о назначении ответственного. Политику публикуют на сайте, уведомление подают до начала обработки (ст. 22 152-ФЗ), приказ хранится внутри. Остальное достраивается вокруг них.
Политику достаточно просто выложить на сайт?
Опубликовать и обеспечить неограниченный доступ - требование ч. 2 ст. 18.1 152-ФЗ, но этого мало. Политика должна описывать реальную обработку: те данные, которые действительно собираются, и те цели, которые действительно есть. Типовой шаблон с чужими формулировками расходится с сайтом почти всегда.
Нужен ли ответственный за обработку в маленькой компании?
Ст. 22.1 152-ФЗ обязывает оператора-юрлицо назначить ответственного за организацию обработки. Численность значения не имеет: в небольшой компании им обычно становится руководитель, и это оформляется приказом.
Другие группы документов
Уведомления и cookie
3 док.
Положения и перечни
4 док.
Информационная безопасность
8 док.
Согласия и обязательства
4 док.
Регламенты и инструкции
10 док.
Договоры и поручения
3 док.
Формы запросов субъектов
5 док.
Журналы учёта
6 док.
Приказы и должностные
4 док.
Инструкции по внедрению
2 док.
Весь комплект из 57 документов →