Политика обработки персональных данных

Обязанность разработать и опубликовать политику распространяется на всех операторов персональных данных — юридических лиц и индивидуальных предпринимателей, которые собирают, хранят или иным образом обрабатывают данные физических лиц. Формулировка ст. 18.1 не делает исключений по масштабу бизнеса или объёму обрабатываемых данных.

На практике политика нужна любой компании, которая ведёт сайт с формой обратной связи, принимает заявки от клиентов, нанимает сотрудников или работает с базой контрагентов. Отсутствие документа — одно из самых частых нарушений, которое выявляет Роскомнадзор при проверках, потому что проверить факт публикации можно удалённо, не выходя на площадку оператора.

Политика решает две задачи одновременно: информирует субъектов персональных данных о том, как компания обращается с их данными, и служит оператору доказательством того, что он выполнил требования ст. 18.1 в случае проверки.

Закон не задаёт жёсткий перечень пунктов для политики, но исходя из требований ст. 18.1 и смежных статей 152-ФЗ в документ включают следующие разделы.

Часть этих сведений пересекается с содержанием уведомления, которое оператор направляет в Роскомнадзор по ст. 22 152-ФЗ. Формулировки в обоих документах стоит держать согласованными, расхождения затрудняют объяснение позиции при проверке.

Эти два документа часто путают, хотя они решают разные задачи.

Политика - односторонний документ оператора, описывает общий подход компании к обработке персональных данных, публикуется в открытом доступе для неограниченного круга лиц и не требует подписи или иного действия со стороны субъекта.

Согласие - волеизъявление конкретного человека по конкретным целям обработки, оформленное по требованиям ч. 4 ст. 9 152-ФЗ. Фиксирует, что именно этот субъект разрешил обрабатывать свои данные для указанных целей.

Наличие политики не заменяет обязанность получать согласие там, где оно требуется законом, и наоборот: полученное согласие не освобождает оператора от обязанности опубликовать политику. Это два самостоятельных требования закона, которые нужно выполнять параллельно.

Часть 2 ст. 18.1 152-ФЗ требует опубликовать документ или обеспечить к нему неограниченный доступ. На практике это означает размещение политики на сайте оператора — как правило, отдельной страницей с постоянным адресом и ссылкой из подвала сайта, доступной с любой страницы.

Если у оператора нет сайта, доступ можно обеспечить иначе — например, разместить документ в местах приёма клиентов или предоставлять по запросу. Но для компаний, которые ведут деятельность через сайт и принимают через него данные пользователей, публикация политики на сайте — стандартная и наиболее защищённая практика.

Ссылку на политику имеет смысл размещать рядом с любой формой, которая собирает персональные данные: заявка, форма обратной связи, форма подписки на рассылку. Это снижает риск претензии о том, что субъект не имел возможности ознакомиться с документом до передачи данных.

Политика описывает фактическую практику обработки данных в компании, поэтому её нужно приводить в соответствие каждый раз, когда эта практика меняется: появился новый канал сбора данных, изменился перечень обрабатываемых категорий, начали привлекать нового подрядчика для обработки, изменились сроки хранения.

Отдельно стоит проверять политику при изменениях самого 152-ФЗ и подзаконных актов — требования к содержанию документов операторов периодически уточняются. Устаревшая политика, которая не отражает реальную практику компании, при проверке создаёт для оператора риск не меньший, чем полное отсутствие документа: формально требование выполнено, но по существу документ вводит субъектов в заблуждение.

Дату последнего обновления политики стоит указывать прямо в тексте документа — это упрощает объяснение позиции, если проверяющий сравнивает действующую редакцию с прежними версиями.