Документы по персональным данным для бизнеса

Полный список документов по защите персональных данных для компаний и сайтов

Персональные данные сегодня обрабатывает практически любой бизнес. Даже если компания не считает себя IT-сервисом или крупным интернет-проектом, она всё равно работает с данными людей: сотрудников, клиентов, партнёров, посетителей сайта.

Это означает, что на бизнес распространяются требования законодательства о защите персональных данных.

Однако многие предприниматели недооценивают эту тему. В результате компании:

• используют устаревшие формы согласий;
• копируют политику конфиденциальности с других сайтов;
• не оформляют внутренние документы по защите данных;
• не понимают, какие документы действительно обязательны.

При проверках это может привести к штрафам и предписаниям.

В этой статье подробно разберём:

• какие документы по персональным данным должны быть у бизнеса;
• какие документы обязательны для компаний и сайтов;
• какие ошибки чаще всего допускают предприниматели;
• как подготовиться к проверке Роскомнадзора;
• как системно управлять персональными данными в компании.

Что такое персональные данные

Персональные данные — это любая информация, которая позволяет идентифицировать человека.

К персональным данным относятся:

• имя и фамилия;
• номер телефона;
• электронная почта;
• паспортные данные;
• адрес проживания;
• дата рождения;
• IP-адрес;
• данные сотрудников;
• данные клиентов.

Фактически, если компания работает с любой информацией о человеке, которая позволяет его определить, она уже обрабатывает персональные данные.

Какие компании обязаны соблюдать закон о персональных данных

Закон распространяется практически на любой бизнес.

Компании обязаны соблюдать требования законодательства о персональных данных, если они:

• принимают заявки через сайт;
• работают с базой клиентов;
• имеют сотрудников;
• используют CRM-системы;
• ведут рассылки;
• обрабатывают заявки в мессенджерах;
• собирают контактные данные пользователей.

Даже небольшая компания с одним сотрудником и простым сайтом может считаться оператором персональных данных.

Какие документы по персональным данным должны быть у бизнеса

Для соблюдения законодательства компания должна иметь определённый пакет документов.

К основным документам относятся:

• политика обработки персональных данных;
• согласие на обработку персональных данных;
• положение о защите персональных данных;
• приказ о назначении ответственного за обработку данных;
• журнал учета обращений субъектов персональных данных;
• документы о мерах защиты данных;
• пользовательское соглашение (для сайтов);
• политика конфиденциальности.

Этот набор документов может отличаться в зависимости от размера бизнеса и характера обработки данных, но базовый пакет должен быть у большинства компаний.

Политика обработки персональных данных

Политика обработки персональных данных — один из ключевых документов.

Этот документ:

• объясняет, какие данные собирает компания;
• описывает цели обработки данных;
• определяет порядок хранения и защиты информации;
• объясняет права пользователей.

Политика должна быть:

• публичной;
• доступной на сайте;
• соответствующей реальным процессам компании.

Согласие на обработку персональных данных

Согласие подтверждает, что человек разрешил компании обрабатывать его персональные данные.

Согласие требуется:

• при сборе данных через формы сайта;
• при работе с клиентами;
• при обработке данных сотрудников;
• при использовании маркетинговых рассылок.

Согласие должно содержать:

• перечень данных;
• цель обработки;
• срок хранения;
• информацию об операторе данных.

Положение о защите персональных данных

Это внутренний документ компании.

Он регулирует:

• порядок обработки данных внутри компании;
• доступ сотрудников к информации;
• правила хранения данных;
• меры безопасности.

Этот документ часто проверяется при проверках.

Приказ о назначении ответственного за обработку данных

Компания должна назначить сотрудника, который отвечает за соблюдение законодательства о персональных данных.

В приказе обычно указывают:

• ответственное лицо;
• обязанности;
• контроль за обработкой данных.

Документы для сайта

Если компания собирает данные через сайт, дополнительно должны быть:

• политика конфиденциальности;
• пользовательское соглашение;
• согласие на обработку данных в формах сайта.

Также необходимо уведомлять пользователей о сборе cookies.

Какие документы по персональным данным проверяет Роскомнадзор

При проверке Роскомнадзор обычно анализирует:

• политику обработки персональных данных;
• согласия на обработку данных;
• внутренние документы компании;
• документы по защите данных;
• порядок хранения информации;
• процедуры удаления данных.

Инспекторы также могут проверять:

• формы на сайте;
• CRM-системы;
• процессы обработки заявок.

Какие ошибки чаще всего допускают компании

Копирование документов с других сайтов. Одна из самых распространённых ошибок — копирование политики конфиденциальности с другого сайта. Такие документы почти всегда: не соответствуют реальным процессам компании; содержат юридические ошибки; не учитывают особенности бизнеса.

Устаревшие формы согласия. Многие компании используют старые формы согласий. Но законодательство регулярно меняется, и устаревшие документы могут не соответствовать требованиям закона.

Отсутствие внутренних документов. Часто у компаний есть только политика на сайте, но отсутствуют внутренние документы по обработке данных. Это серьёзный риск при проверках.

Несоответствие документов фактическим процессам. Например: в документах указано одно, а на сайте и в CRM данные обрабатываются иначе. Это одна из самых частых причин претензий со стороны проверяющих органов.

Какие штрафы предусмотрены за нарушение закона о персональных данных

Если компания нарушает требования законодательства, возможны штрафы.

В зависимости от нарушения штрафы могут достигать:

• десятков тысяч рублей;
• сотен тысяч рублей;
• при повторных нарушениях — значительно больше.

Кроме штрафов возможны:

• предписания;
• блокировка обработки данных;
• обязательство устранить нарушения.

Если у бизнеса нет документов по персональным данным — что делать

Шаг 1. Определить, какие данные собирает компания. Нужно понять: какие данные собираются; где они хранятся; кто имеет доступ.

Шаг 2. Оформить обязательные документы. Важно подготовить: политику обработки персональных данных; согласие на обработку данных; внутренние регламенты.

Шаг 3. Проверить сайт. Если сайт собирает данные, необходимо проверить: формы заявок; политику конфиденциальности; уведомления о cookies.

Шаг 4. Систематизировать работу с данными. Документы должны: соответствовать реальной работе компании; регулярно обновляться; храниться централизованно.

Почему документы по персональным данным часто становятся проблемой

Основная причина — предприниматели воспринимают требования закона как формальность.

В результате документы создаются:

• один раз;
• без анализа процессов;
• без регулярного обновления.

Со временем такие документы перестают соответствовать реальной работе бизнеса.

Как автоматизировать документы по персональным данным

Многие компании не имеют отдельного юриста по вопросам персональных данных.

Поэтому всё чаще используются LegalTech-решения.

Платформа Bejure помогает бизнесу:

• сформировать полный пакет документов по персональным данным;
• использовать актуальные юридические шаблоны;
• обновлять документы при изменениях законодательства;
• хранить документы в одном сервисе.

Это помогает компаниям снизить юридические риски и подготовиться к проверкам.

Коротко

Если компания работает с персональными данными, у неё должны быть: политика обработки персональных данных; согласия на обработку данных; внутренние документы по защите данных; документы для сайта.

Важно не просто иметь эти документы, но и регулярно обновлять их и приводить в соответствие с реальными процессами бизнеса.

FAQ

Какие документы по персональным данным обязательны для бизнеса? К обязательным документам относятся политика обработки персональных данных, согласие на обработку данных, внутренние документы по защите данных и документы для сайта.

Нужна ли политика конфиденциальности для сайта? Да. Если сайт собирает персональные данные пользователей, политика конфиденциальности является обязательным документом.

Нужно ли согласие на обработку персональных данных? Да. Компания должна получать согласие пользователей на обработку их персональных данных.

Нужно ли уведомлять Роскомнадзор? В некоторых случаях компании обязаны уведомлять Роскомнадзор о начале обработки персональных данных.

Проверяет ли Роскомнадзор сайты? Да. Роскомнадзор может проверять сайты компаний, которые собирают персональные данные пользователей.

Можно ли использовать шаблоны документов из интернета? Можно, но это рискованно. Такие документы часто устаревшие и не учитывают специфику бизнеса.

Какие данные считаются персональными? Персональными считаются любые данные, которые позволяют идентифицировать человека.

Нужно ли оформлять документы по персональным данным для сотрудников? Да. Данные сотрудников также относятся к персональным данным и должны обрабатываться в соответствии с законодательством.

Что будет, если у компании нет документов по персональным данным? Компания может получить штраф и предписание устранить нарушения.

Нужна ли политика cookies? Да, если сайт использует cookies для обработки данных пользователей.

Нужно ли обновлять документы по персональным данным? Да. Документы необходимо регулярно обновлять в соответствии с изменениями законодательства.