Персональные данные: соответствие 152-ФЗ

Что происходит

Интернет-магазин собирает телефоны и адреса покупателей через сайт, подключены веб-аналитика и CRM, а политика обработки данных скачана из интернета пять лет назад. Уведомление в Роскомнадзор никто не подавал.

Произошла утечка: выгрузка клиентской базы оказалась в открытом доступе или ушла вместе с бывшим сотрудником. Нужно понять, что компания обязана сделать и в какие сроки, и не усугубить ситуацию.

Компания пользуется зарубежными облачными сервисами и передаёт данные сотрудников иностранной головной структуре. Руководство не уверено, соблюдены ли требования о локализации и трансграничной передаче.

Что говорит закон

• Оператор должен иметь правовое основание для обработки каждой категории данных, опубликовать политику обработки и принять организационные и технические меры защиты (ст. 18.1 и 19 Закона о персональных данных).
• До начала обработки оператор по общему правилу направляет уведомление в Роскомнадзор, а о намерении осуществлять трансграничную передачу уведомляет отдельно (ст. 22 и 12 Закона о персональных данных).
• При сборе данных граждан России их запись, систематизация, накопление и хранение должны вестись с использованием баз данных, находящихся на территории России (ст. 18 Закона о персональных данных).
• О неправомерной передаче данных оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ст. 21 Закона о персональных данных).
• Ответственность установлена ст. 13.11 КоАП РФ; за утечки предусмотрены повышенные штрафы, размер которых зависит от количества затронутых субъектов, а за повторные утечки — штрафы, исчисляемые от выручки.
• Согласие на обработку, когда оно требуется, должно быть конкретным, предметным, информированным, сознательным и однозначным; для распространения данных нужно отдельное согласие (ст. 9 и 10.1 Закона о персональных данных).

Что делаем

• Проводим аудит: какие данные собираются, откуда поступают, где хранятся, кому передаются и на каком основании обрабатываются.
• Составляем карту процессов и перечень информационных систем, в которых обрабатываются персональные данные.
• Готовим документы: политику обработки, положение, формы согласий, поручения обработчикам, приказы о назначении ответственного.
• Готовим и подаём уведомления в Роскомнадзор, в том числе о трансграничной передаче.
• Проверяем тексты и формы на сайте, в приложении и договорах с подрядчиками и сервисами.
• При инциденте помогаем выстроить действия в первые часы, готовим уведомления и сопровождаем взаимодействие с Роскомнадзором.
• Защищаем компанию и должностных лиц по делам об административных правонарушениях.

Что понадобится от вас

• Перечень процессов, в которых собираются данные: сайт, приложение, CRM, кадры, пропускной режим, видеонаблюдение.
• Действующие политику, формы согласий и внутренние документы по персональным данным.
• Список информационных систем и сервисов, где хранятся данные, с указанием места размещения серверов.
• Договоры с подрядчиками, получающими доступ к данным: хостинг, рассылки, колл-центр, аутсорсинг бухгалтерии.
• Сведения о поданных уведомлениях в Роскомнадзор, прошлых проверках и инцидентах.