Инструкция по обработке ПДн

Политика обработки ПДн, опубликованная по ст. 18.1 закона 152-ФЗ, описывает подход оператора к обработке данных в целом — она адресована субъектам персональных данных и контролирующим органам. Инструкция решает другую задачу: она объясняет сотруднику, который каждый день работает с данными клиентов, учеников или пациентов, конкретный порядок действий.

Инструкцию утверждает руководитель организации приказом. С ней знакомят под подпись каждого сотрудника, у которого есть доступ к персональным данным, — не только IT-специалистов, но и администраторов, менеджеров, преподавателей, бухгалтерию. Факт ознакомления фиксируется в листе ознакомления или в журнале инструктажа.

Отсутствие инструкции само по себе не образует отдельного нарушения закона, но резко повышает риск того, что сотрудники будут обрабатывать данные с нарушениями — а ответственность за это несёт оператор.

Первый раздел инструкции описывает, как сотрудник должен действовать в момент получения персональных данных: от кого их можно принимать, какие поля заполнять, куда вносить сведения.

• данные собираются только в объёме, который необходим для заявленной цели — этого требует принцип минимизации из ст. 5 закона 152-ФЗ;
• перед сбором данных, для которых закон не предусматривает иного основания, сотрудник обязан убедиться, что получено согласие или зафиксирован иной законный повод по ст. 6;
• бумажные анкеты и формы с персональными данными не оставляются на открытых столах и в общедоступных местах;
• устные сведения, которые сотрудник фиксирует со слов клиента, вносятся в систему сразу, а не хранятся в личных заметках.

Отдельно стоит прописать, что делать, если данных пришло больше, чем нужно для цели, — например, клиент прислал скан паспорта целиком, хотя для заявленной цели достаточно ФИО и телефона. Инструкция должна требовать не использовать лишние сведения и не сохранять их дольше, чем требуется для проверки.

Второй раздел определяет, где и как хранятся данные после сбора. Электронные данные размещаются в информационных системах, к которым применяется парольная политика и разграничение прав доступа — эти правила подробнее раскрывает инструкция пользователя информационной системы.

Бумажные носители с персональными данными хранятся в запираемых шкафах или сейфах, доступ к которым имеют только сотрудники, которым это необходимо по должностным обязанностям. Копирование документов с персональными данными для личных нужд, пересылка сканов на личную почту или в мессенджеры вне рабочих каналов — прямое нарушение инструкции.

Доступ к данным предоставляется по принципу необходимого минимума: сотрудник видит только те сведения, которые нужны ему для выполнения конкретной задачи. Это снижает риск утечки и облегчает расследование инцидента, если он всё же произойдёт.

Передача персональных данных за пределы организации — один из самых рискованных этапов обработки. Инструкция должна прямо запрещать сотруднику самостоятельно принимать решение о передаче данных третьему лицу — партнёру, подрядчику, государственному органу — без согласования с ответственным за обработку ПДн.

Если данные передаются лицу, которое обрабатывает их по поручению оператора — например, бухгалтерской компании или IT-подрядчику, — с этим лицом должен быть заключён договор, содержащий условия обработки, предусмотренные ст. 6 закона 152-ФЗ. Сотрудник не вправе передавать данные подрядчику, с которым такой договор не заключён.

Типичные нарушения, которые инструкция должна прямо запрещать:

• сотрудник сам решает передать данные партнёру или подрядчику, не спросив ответственного;
• ответ на запрос государственного органа готовится и отправляется без переадресации ответственному, даже если запрос выглядит срочным;
• данные уходят подрядчику, с которым не заключён договор с условиями обработки по ст. 6 закона 152-ФЗ.

Последний раздел описывает действия при наступлении оснований для уничтожения данных: истёк срок, указанный в согласии; субъект отозвал согласие и у оператора не осталось иного основания для обработки; цель обработки достигнута. Сроки и порядок уничтожения регулирует ст. 21 закона 152-ФЗ.

Инструкция должна закреплять конкретный алгоритм действий.

1. Сотрудник или ответственный выявляет основание для уничтожения данных.
2. Ответственный за обработку ПДн инициирует процедуру уничтожения.
3. Электронные данные удаляются из всех систем и резервных копий; бумажные носители уничтожаются способом, исключающим восстановление, — измельчением, а не выбрасыванием в мусор.
4. Факт уничтожения оформляется актом.

Без документального подтверждения оператору будет сложно доказать регулятору, что данные действительно были уничтожены в установленный срок, а не продолжают храниться без основания.