- ООО обязано иметь комплект публичных и внутренних документов по персональным данным
- Все внутренние документы утверждаются приказом генерального директора
- Отсутствие обязательных документов считается нарушением требований ФЗ-152
- Минимальный комплект обычно включает 7–10 документов в зависимости от процессов обработки
- Документы должны соответствовать реальной деятельности компании и регулярно обновляться
Полный перечень документов для ООО
ООО как оператор персональных данных обязано иметь два блока документов:
- публичные — для клиентов, пользователей и субъектов ПД;
- внутренние — для сотрудников, организации процессов и проверок РКН.
Публичные документы
| Документ | Где размещается | Обязательность | |---|---|---| | Политика конфиденциальности | Сайт компании | Обязательно | | Cookie-политика | Сайт | При использовании cookie | | Согласие на обработку ПД | Формы на сайте | Обязательно | | Согласие на рекламную рассылку | Формы подписки | При маркетинговых рассылках |
Политика конфиденциальности и формы согласий должны быть доступны пользователю до момента отправки данных через сайт или сервис.
Внутренние документы
| Документ | Кем утверждается | Обязательность | |---|---|---| | Положение об обработке и защите ПД | Приказ гендиректора | Обязательно | | Приказ о назначении ответственного | Генеральный директор | Обязательно | | Должностная инструкция ответственного | Генеральный директор | Обязательно | | Регламент обработки ПД | Руководитель / ответственный | Рекомендовано | | Матрица сроков хранения | Ответственный | Рекомендовано | | Журнал обращений субъектов | Ответственный | Рекомендовано | | Форма акта об уничтожении ПД | Ответственный | Обязательно | | Регламент реагирования на инциденты | IT + ответственный | Рекомендовано | | NDA / соглашение о конфиденциальности | HR / юрист | Рекомендовано | | Договоры поручения | Юрист / ответственный | При работе с подрядчиками |
Уведомления и регистрация
| Действие | Срок | Обязательность | |---|---|---| | Уведомление РКН об обработке ПД | До начала обработки | Обязательно | | Уведомление об инциденте | В течение 24 часов | При утечке | | Уведомление об изменениях | В течение 10 дней | При изменении сведений |
Описание ключевых документов
1. Положение об обработке и защите ПД
Основной внутренний документ компании.
Обычно содержит:
- категории субъектов;
- перечень обрабатываемых данных;
- цели обработки;
- меры защиты;
- порядок доступа;
- процедуры реагирования на инциденты;
- правила уничтожения данных.
Средний объём: 10–20 страниц.
2. Регламент обработки ПД
Описывает реальные процессы обработки:
- как данные поступают в компанию;
- кто получает доступ;
- где данные хранятся;
- как осуществляется удаление;
- каким подрядчикам данные передаются.
Средний объём: 5–15 страниц.
3. Матрица сроков хранения
Таблица, в которой фиксируются:
- категория данных;
- срок хранения;
- нормативное основание;
- способ уничтожения;
- ответственный сотрудник.
Роскомнадзор регулярно проверяет наличие сроков хранения и соответствие фактического хранения внутренним регламентам компании.
4. NDA и соглашения о конфиденциальности
Каждый сотрудник с доступом к персональным данным должен быть ознакомлен с правилами конфиденциальности.
Документ обычно включает:
- перечень доступных данных;
- обязанности по неразглашению;
- меры ответственности;
- порядок прекращения доступа при увольнении.
Порядок введения документов в действие
- Подготовка полного комплекта документов
- Согласование с HR, IT и юристами
- Утверждение приказом генерального директора
- Ознакомление сотрудников под подпись
- Размещение публичных документов на сайте
- Подача уведомления в Роскомнадзор
Типичные ошибки при оформлении документов
| Ошибка | Последствие | |---|---| | Использование шаблонов без адаптации | Несоответствие фактической обработке | | Устаревшая политика на сайте | Нарушение принципа информирования | | Нет договора поручения с CRM или SaaS | Нарушение ст. 6 ФЗ-152 | | Сотрудники не ознакомлены с документами | Документы считаются формальными | | Нет матрицы сроков хранения | Риск бессрочного хранения данных |
- Уведомление РКН подано и компания есть в реестреобязательно
- Политика конфиденциальности опубликована и актуальнаобязательно
- Положение об обработке и защите ПД утвержденообязательно
- Назначен ответственный за ПДобязательно
- Сотрудники ознакомлены с внутренними документами
- Подписаны NDA и соглашения о конфиденциальности
- Заключены договоры поручения с подрядчиками
- Матрица сроков хранения используется на практике
- Форма акта об уничтожении ПД утверждена