Тема обработки персональных данных (далее — ПДн) всегда актуальна для бизнеса, будь то коммерческая фирма или некоммерческое учреждение, оказывающее услуги. Без обработки персональных данных невозможны ни найм сотрудников, ни получение услуг, ни взаимодействие с клиентами. Правильное обращение с этими данными требует особой внимательности и осторожности, поскольку ошибки здесь чреваты финансовыми потерями (штрафами), судебными разбирательствами и снижением репутации компании.
Напомним, что персональными данными является любая информация, позволяющая прямо или косвенно установить личность физического лица. А вот оператором персональных данных становятся все организации, осуществляющие сбор и обработку личной информации граждан начиная от работодателей и заканчивая интернет-магазинами и сервисами онлайн-платежей.
Все организации и индивидуальные предприниматели, намеревающиеся заниматься обработкой персональных данных, обязаны заблаговременно направить в Роскомнадзор соответствующее уведомление о планируемой обработке таких данных.
В процессе работы над пакетами документов в сфере персональных данных для наших клиентов мы часто встречаем ошибки, которые повторяются из раза в раз. В этой статье мы обобщили наиболее частые ошибки, которые допускаются при обработке персональных данных и даем советы, как их избежать.
Ошибка №1. Отсутствие внутренней документации по обработке персональных данных.
Достаточно серьезной ошибкой является недостаточное внимание к разработке внутренней документации, которая регулирует процесс обработки ПДн.
Что делать? Каждая организация обязана создать собственную политику обработки персональных данных, которая будет закреплять цели, методы и принципы обращения с информацией о сотрудниках и клиентах. Законодательство не устанавливает единой формы для подобного документа, но в политике обработке персональных данных указываются:
- цели обработки данных;
- способы и методы обработки;
- категории обрабатываемой информации;
- порядок и сроки хранения данных;
- механизмы защиты данных;
- процедура удаления информации после достижения поставленных целей.
Дополнительно советуем следить за обновлениями в законодательстве и опираться на разъяснения, рекомендации Роскомнадзора, чтобы минимизировать вероятность ошибок.
Ошибка №2. Неправильные цели обработки и сбор лишней информации. Уничтожение персональных данных.
Присутствует проблема некорректно сформулированной цели обработки данных субъектов. Зачастую компании собирают гораздо больший объем информации, чем реально необходим для осуществления поставленной задачи, что ведет к увеличению риска потери контроля над данными и потенциальным штрафам.
Что делать? Собирайте ровно столько данных, сколько объективно требуется для достижения конкретной цели. Каждое действие по сбору и обработке информации должно соответствовать заявленным целям и не превышать необходимый минимум.
Действующее законодательство, а именно ст. 5 Федерального закона №152-ФЗ «О персональных данных» предусматривает обязательность своевременного удаления данных после окончания достижения целей обработки. Проверка и уничтожение излишних данных помогут уменьшить шансы попадания информации в руки злоумышленников при утечке. Приказ Роскомнадзора № 179 от 28.10.2022 устанавливает, что документом, подтверждающим уничтожение ПДн субъектов персональных данных, является акт об уничтожении ПДн. В случае, если оператор использует средства автоматизации, то дополнительна необходима выгрузка из журнала регистрации событий в информационной системе персональных данных.
Ошибка №3. Отсутствие информированности сотрудников и клиентов.
Компании оказываются виновниками нарушений потому, что не доводят до своего персонала и клиентов необходимую информацию о правилах обработки данных.
Что делать? Необходимо информировать субъектов о следующем:
- кто осуществляет обработку данных (название и контактные данные компании);
- какие конкретно данные собираются;
- для каких целей производится сбор и обработка данных;
- сколько времени хранится информация;
- как можно отозвать свое согласие на обработку данных.
Все перечисленные моменты лучше отразить в доступной форме, удобной для понимания любым человеком.
Ошибка №4. Отсутствие ответственного лица.
Практически каждый второй случай нарушения связан с тем, что в компании отсутствует ответственный специалист по обработке персональных данных. Отсутствие эффективного контроля нередко приводит к утечке данных и последующим штрафам, которые с 30 мая 2025 года ужесточились.
Что делать? Назначить специального сотрудника и/или сотрудников, которые предотвратят большинство потенциальных ошибок, а следует, что защитят репутацию компании. Ответственное лицо занимается организацией всей работы с ПДн:
- контроль исполнения соответствующих положений;
- подготовка уведомлений для Роскомнадзора;
- разрешение возникающих вопросов по хранению, предоставлению, удалению данных после исполнения целей обработки.
Дополнительно упомянем, что внимательно стоит относиться к оформлению уведомлений, подаваемых в Роскомнадзор. Среди типичных ошибок встречаются:
- отсутствие исходящих номеров и подписей уполномоченных лиц на документации;
- некорректные указания категорий, целей и видов отношений с субъектами персональных данных;
- неточность контактных данных самой организации для обратной связи.
Ошибка №5. Сайт компании не содержит политики обработки персональных данных.
Что делать? Размещать на сайте, работающем с персональными данными, публичную политику конфиденциальности и форму согласия на обработку данных. Пользователь должен ставить соответствующую отметку (обычно «галочка»), которая подтверждает ознакомление и принятие правил. Важно, чтобы политика конфиденциальных данных и их обработки была размещена для посетителей в видимом поле. Согласие содержит такие пункты как:
- полное наименование оператора, обрабатывающего данные;
- четкая формулировка цели обработки данных;
- подробный перечень персональных данных, подлежащих обработке;
- срок хранения данных;
- возможность отзыва согласия.
Таким образом, персональные данные достаточно мощный ресурс, способный нанести ущерб при ненадлежащей обработке. Следуя изменениям законодательства и рекомендациям Роскомнадзора, можно значительно снизить риски ошибок и обеспечить надежную защиту информации.
