Перечень персональных данных

Перечень персональных данных — документ, в котором оператор перечисляет категории сведений, обрабатываемых в организации: ФИО, контактные данные, паспортные данные, сведения об образовании, данные о здоровье и так далее, — с привязкой к тому, в рамках какого процесса эти данные собираются.

Без такого документа организация часто не может дать быстрый и точный ответ на простой вопрос: какие именно данные о клиентах или сотрудниках она обрабатывает. А это первое, что спрашивает Роскомнадзор при проверке и первое, что нужно для корректного заполнения уведомления об обработке персональных данных по ст. 22 закона 152-ФЗ.

Перечень также служит основой для составления формы согласия: нельзя корректно описать в согласии перечень данных, на обработку которых согласился субъект, если у оператора нет актуального списка, что именно он обрабатывает.

Часть 5 ст. 5 закона 152-ФЗ прямо требует, чтобы содержание и объём обрабатываемых персональных данных соответствовали заявленным целям обработки. Нельзя собирать данные «про запас» — на случай, если они когда-нибудь пригодятся.

На практике это означает, что перечень персональных данных должен строиться не как единый список всего, что организация когда-либо собирала, а как таблица, где каждая категория данных явно привязана к конкретной цели: заключение и исполнение договора, кадровый учёт, рассылка информационных сообщений, ведение личного дела учащегося.

Если для какой-то цели данные оказываются избыточными — например, для рассылки достаточно телефона и имени, а форма запрашивает ещё и дату рождения без явной необходимости, — это повод пересмотреть форму сбора данных, а не просто зафиксировать избыточность в перечне.

Удобная практическая форма — таблица с колонками: категория субъектов персональных данных (клиенты, сотрудники, ученики, посетители сайта); цель обработки; перечень конкретных данных; основание обработки (согласие, договор, требование закона); срок хранения.

Такая структура позволяет быстро проверить, есть ли у каждой строки законное основание, и сразу видно, если какая-то категория данных собирается без чёткой цели.

Ведение и актуализацию перечня логично возложить на ответственного за организацию обработки персональных данных, назначенного по ст. 22.1 закона 152-ФЗ. Он же — первое звено, которое обязано заметить, что в организации появился новый процесс сбора данных, не отражённый в документе.

Перечень пересматривается при появлении нового процесса обработки — например, запуска новой формы на сайте, нового сервиса рассылок, новой программы для учёта клиентов, — а не только раз в год по формальному графику. Практика показывает, что именно новые, наспех подключённые сервисы чаще всего становятся источником незамеченного избыточного сбора данных.

Изменение перечня персональных данных, как правило, влечёт необходимость проверить и обновить связанные документы: политику обработки ПДн, форму согласия, уведомление в Роскомнадзор, если состав данных или целей обработки изменился существенно.

На проверке и в суде чаще всего всплывают одни и те же недочёты перечня.

• Перечень составлен один раз и не обновлялся. Организация растёт, появляются новые процессы, а документ фиксирует состояние двухлетней давности - при проверке это сразу видно по несоответствию перечня и реально используемых форм на сайте.
• Данные без привязки к цели. Список вида «ФИО, телефон, email, адрес, дата рождения» без указания, для какого процесса каждая позиция собирается, не позволяет проверить соблюдение принципа минимизации.
• Смешение категорий субъектов. Данные клиентов, сотрудников и посетителей сайта фиксируются в одном недифференцированном списке, хотя у них разные цели, основания и сроки хранения.
• Игнорирование специальных категорий данных. Сведения о здоровье, судимости, религиозных убеждениях требуют отдельной отметки в перечне - для них закон предъявляет более строгие требования к обработке.