Универсальной папки из пяти документов, которая подходит любому бизнесу, не существует. Интернет-магазин, стоматология и небольшое агентство собирают разные данные, используют разные сервисы и по-разному общаются с клиентами. Поэтому сначала нужно понять процессы, а уже потом готовить бумаги.
Если начать с чужих шаблонов, документы быстро расходятся с реальностью. В политике написано одно, заявка уходит в другую CRM, а доступ к таблице есть у людей, которых в документах нет. Именно такие расхождения создают вопросы при жалобе или проверке.
С чего начинается комплект документов
Первый рабочий документ обычно не политика, а карта обработки данных. Она отвечает на простые вопросы:
- чьи данные получает бизнес;
- для какой цели;
- где они появляются;
- кто получает доступ;
- каким подрядчикам они передаются;
- сколько хранятся и как удаляются.
Процесс бизнеса → цель обработки → люди и данные → правовое основание → системы и подрядчики → срок хранения → уничтожение.
После такой карты видно, какие документы действительно нужны.
Какие документы нужны почти каждому оператору
Статья 18.1 Федерального закона № 152-ФЗ требует от оператора принять достаточные меры и закрепить правила обработки. Для обычной компании комплект чаще всего выглядит так:
| Документ | Для чего нужен |
|---|---|
| Политика обработки персональных данных | Объясняет людям, какие данные и для чего обрабатывает компания. При сборе данных через сайт политика должна быть доступна на соответствующих страницах. |
| Локальные акты по целям обработки | Фиксируют категории людей и данных, способы, сроки хранения и порядок уничтожения. |
| Приказ о назначении ответственного | Закрепляет человека, который организует работу с персональными данными. Для оператора - юридического лица это обязательная мера. |
| Перечень допущенных работников и правила доступа | Помогают не выдавать всем сотрудникам доступ ко всем данным. |
| Формы согласий и перечень других оснований | Показывают, где бизнес опирается на согласие, договор или закон. |
| Порядок ответов на обращения | Задает маршрут для запроса, отзыва согласия, уточнения и требования об удалении. |
| Порядок действий при инциденте | Помогает не терять время, если данные стали доступны посторонним. |
| Порядок хранения и уничтожения | Связывает сроки с целями и подтверждает удаление актами и журналами. |
| Условия обработки у подрядчиков | Закрепляют требования к CRM, бухгалтерии, колл-центру и другим исполнителям. |
| Документы внутреннего контроля | Подтверждают оценку рисков, обучение работников и регулярную проверку процессов. |
Это ориентир, а не закрытый перечень. Политика на сайте не заменяет внутренние инструкции о доступе, выгрузках и действиях при ошибочной отправке файла.
Что добавляется в зависимости от бизнеса
Одинаковые названия документов еще не означают одинаковое содержание. Удобнее собирать комплект по реальным сценариям.
| Сценарий | Что проверить дополнительно |
|---|---|
| На сайте есть форма заявки | Политику рядом со сбором данных, подходящее основание, перечень полей, путь заявки и подключенные сервисы |
| Есть работники | Локальный акт о данных работников, ознакомление, доступ кадров и бухгалтерии, передачу банку и внешним кадровым системам |
| Используется CRM или облачный сервис | Роль сервиса, условия поручения, место баз, доступ поддержки, возврат и удаление данных после договора |
| Ведется рекламная рассылка | Отдельную цель, необходимое согласие, доказательство его получения и работающую отписку |
| Есть видеонаблюдение или пропуска | Цель, зоны наблюдения, информирование людей, доступ к записям и срок хранения |
| Принимаются сведения о здоровье | Допустимость обработки, основание, круг допущенных лиц и меры защиты |
| Используются зарубежные сервисы | Локализацию баз, наличие трансграничной передачи и выполнение отдельной процедуры до ее начала |
Небольшому ИП без работников не нужен приказ о назначении ответственного, который закон прямо требует от юридических лиц. Но предпринимателю все равно нужны понятные правила для заявок, клиентов, подрядчиков, хранения и обращений людей.
Какие документы часто делают зря
На проверке мы регулярно видим папки, в которых приказы существуют только ради количества. В одном назначена комиссия, которая никогда не собиралась. В другом описана система, которой у компании уже нет.
Закон не требует копировать максимальный комплект из интернета. Документ появляется, когда есть процесс, обязанность или риск, который нужно урегулировать. Если в компании один человек отвечает за уничтожение, не стоит автоматически создавать комиссию из трех сотрудников. Если данные не распространяются для неограниченного круга лиц, отдельное согласие на распространение не нужно добавлять на всякий случай.
Тейк юриста: лишний документ тоже может навредить. Компания сама обещает выполнять процедуры, а потом не может показать ни журнал, ни протокол, ни одно реальное действие.
Как документы должны работать вместе
Хороший комплект можно прочитать как одну историю. Цель из карты появляется в политике и уведомлении. Для нее определены данные, основание, получатели и срок. После окончания срока срабатывает порядок уничтожения.
Если документы противоречат друг другу, красивое оформление не поможет. Особенно заметны расхождения в трех местах:
- в уведомлении указаны старые цели и адрес базы;
- политика не называет процессы и сервисы, которые реально получают данные;
- согласие разрешает одну цель, а данные используют еще и для рекламы.
Исправлять лучше всю цепочку, иначе старые ошибки останутся в формах, договорах и CRM.
Как проверить свой комплект за 20 минут
Пройдите по пяти шагам:
- Откройте сайт и выпишите все формы, чаты, счетчики и личные кабинеты.
- Составьте список CRM, почты, облачных дисков, кадровых и бухгалтерских систем.
- Отметьте работников и подрядчиков, которые получают доступ.
- Для каждого процесса найдите цель, основание, срок и документ.
- Возьмите один реальный пример, например последнюю заявку, и проследите ее путь до удаления.
Если хотя бы для одного процесса нет ответа, комплект неполный. Начинать лучше с наиболее рискованных мест: сайта, клиентской базы, кадров, рассылок и внешних сервисов.
Коротко: хороший комплект документов повторяет работу бизнеса. Если процесс нельзя найти в документах, а документ нельзя подтвердить реальным действием, систему стоит пересобрать.
Рабочие документы снижают риск жалобы, штрафа и неприятных вопросов Роскомнадзора. Но их главная польза в другом: сотрудники понимают, что можно делать с данными, и компания спокойно занимается своей работой без постоянных юридических импровизаций.