Готовой папки из пяти документов, которая подойдет любому бизнесу, не бывает. Стоматология хранит медицинские карты пациентов, интернет-магазин передает адреса курьерской службе, и документы у них поэтому получаются разные. Сначала разбираются с процессами, бумаги готовят потом.
Если начать с чужого шаблона, документы почти сразу расходятся с жизнью. В политике написано одно, заявки давно уходят в другую CRM, а к таблице с клиентами имеют доступ люди, которых в документах нет. Вопросы при жалобе или проверке появляются как раз из-за таких расхождений.
С чего начинается комплект документов
Первым рабочим документом обычно становится карта обработки данных, а политику пишут уже по ней. Карта отвечает на простые вопросы: чьи данные получает бизнес и зачем, где они появляются, кто их видит, каким подрядчикам уходят, сколько хранятся и как потом удаляются.
Получается цепочка: процесс бизнеса, цель обработки, люди и их данные, правовое основание, системы и подрядчики, срок хранения, уничтожение. Когда карта готова, видно, какие документы нужны, а какие можно не делать.
Какие документы нужны почти каждому оператору
Статья 18.1 Федерального закона № 152-ФЗ требует, чтобы оператор принял достаточные меры и закрепил правила обработки. У обычной компании комплект чаще всего такой:
| Документ | Зачем он нужен |
|---|---|
| Политика обработки персональных данных | Рассказывает людям, какие данные компания обрабатывает и зачем. Если данные собирают через сайт, политика должна быть доступна на тех страницах, где это происходит. |
| Локальные акты по целям обработки | Описывают, чьи и какие данные обрабатываются, каким способом, сколько хранятся и как уничтожаются. |
| Приказ о назначении ответственного | Называет человека, который организует работу с персональными данными. Для юридического лица это обязательно. |
| Перечень допущенных работников и правила доступа | Нужны, чтобы доступ ко всем данным не получал каждый сотрудник. |
| Формы согласий и перечень других оснований | Показывают, где бизнес опирается на согласие, а где на договор или закон. |
| Порядок ответов на обращения | Расписывает, что делать с запросом человека, отзывом согласия, просьбой уточнить или удалить данные. |
| Порядок действий при инциденте | Экономит время, если к данным получили доступ посторонние. |
| Порядок хранения и уничтожения | Привязывает сроки к целям. Удаление подтверждается актами и журналами. |
| Условия обработки у подрядчиков | Требования к CRM, бухгалтерии, колл-центру и другим исполнителям. |
| Документы внутреннего контроля | Подтверждают, что компания оценивает риски, обучает работников и регулярно проверяет процессы. |
Список примерный, закрытого перечня в законе нет. И политика на сайте не заменяет внутренних инструкций: кому можно делать выгрузки, у кого какой доступ и что делать, если файл ушел не тому адресату.
Что добавляется в зависимости от бизнеса
Документы с одинаковыми названиями у разных компаний могут сильно отличаться по содержанию. Поэтому комплект удобнее собирать от реальных сценариев.
| Сценарий | Что проверить дополнительно |
|---|---|
| На сайте есть форма заявки | Политику рядом с формой, основание обработки, состав полей, путь заявки и подключенные сервисы |
| Есть работники | Локальный акт о данных работников и ознакомление с ним, доступ кадровиков и бухгалтерии, передачу данных банку и во внешние кадровые системы |
| Используется CRM или облачный сервис | Роль сервиса, условия поручения, где находятся базы, есть ли доступ у поддержки, как данные вернут и удалят после окончания договора |
| Ведется рекламная рассылка | Отдельную цель, нужное согласие и доказательство, что оно получено, работающую отписку |
| Есть видеонаблюдение или пропуска | Цель, зоны съемки, как об этом предупреждают людей, кто смотрит записи и сколько они хранятся |
| Принимаются сведения о здоровье | Допустима ли такая обработка вообще, на каком основании, кто к ней допущен и как данные защищены |
| Используются зарубежные сервисы | Где находятся базы, есть ли трансграничная передача и выполнена ли до ее начала отдельная процедура |
Небольшому ИП без работников приказ о назначении ответственного не нужен: закон прямо требует его от юридических лиц. Но понятные правила для заявок, клиентов, подрядчиков, хранения данных и обращений людей предпринимателю все равно нужны.
Какие документы часто делают зря
На аудитах мы регулярно видим папки, где приказов много просто ради количества. В одной компании назначена комиссия, которая ни разу не собиралась. В другой подробно описана система, которой у компании уже нет.
Копировать из интернета максимальный комплект закон не требует. Документ нужен там, где есть процесс, прямая обязанность или риск, который надо урегулировать. Если уничтожением данных у вас занимается один человек, создавать под это комиссию из трех сотрудников незачем. Если вы не раскрываете данные неограниченному кругу лиц, согласие на распространение добавлять «на всякий случай» тоже не стоит.
Лишний документ может и навредить. Компания в нем сама обещает проводить процедуры, а потом ей нечем это подтвердить.
Как документы должны работать вместе
Хороший комплект читается как одна история. Цель из карты появляется в политике и в уведомлении, для нее определены данные, основание, получатели и срок, а когда срок выходит, срабатывает порядок уничтожения.
Если документы спорят друг с другом, аккуратное оформление не спасет. Самые заметные расхождения такие: в уведомлении остались старые цели и старый адрес базы, политика молчит о сервисах, которые на самом деле получают данные, а согласие дано на одну цель, хотя данные используют еще и для рекламы.
Исправлять в таком случае лучше всю цепочку. Если поправить только политику, старые ошибки останутся в формах, договорах и CRM.
Как проверить свой комплект за 20 минут
Пройдите пять шагов:
- Откройте сайт и выпишите все формы, чаты, счетчики и личные кабинеты.
- Составьте список CRM, почты, облачных дисков, кадровых и бухгалтерских систем.
- Отметьте работников и подрядчиков, у которых есть доступ к данным.
- Для каждого процесса найдите цель, основание, срок и документ, где все это записано.
- Возьмите живой пример, скажем последнюю заявку, и проследите ее путь до удаления.
Если хотя бы по одному процессу ответа нет, комплект неполный. Начинайте с мест, где риск выше: сайт, клиентская база, кадры, рассылки, внешние сервисы.
Потом проверьте в обратную сторону. Возьмите любой документ и спросите, кто и когда последний раз делал то, что в нем написано. Если вспомнить не получается, документ живет отдельно от компании, и его пора переделать.