Как соблюдать 152-ФЗ и не получить штраф

Как компаниям соблюдать 152-ФЗ и не допускать типовых ошибок при работе с персональными данными

Компании нарушают 152-ФЗ чаще не из-за сложных требований, а из-за недоработанных процессов: отсутствия уведомлений, формальных политик и неправильного хранения данных. Чтобы снизить риски штрафов и проверок, важно выстроить системную работу с ПДн: от инвентаризации до контроля уничтожения. Ниже — конкретные шаги и ошибки, которые встречаются на практике.

Минимальный набор действий:

• определить цели обработки ПДн

• зафиксировать категории данных и субъектов

• разработать и утвердить политику обработки

• назначить ответственного за ПДн

• подать уведомление в Роскомнадзор (при необходимости)

• внедрить меры защиты (организационные и технические)

Ошибка: формальное копирование документов без привязки к реальным процессам компании.

Оператор обязан:

• уведомлять о начале обработки ПДн

• направлять изменения при корректировке целей, категорий или способов обработки

Частая проблема — уведомление подано один раз и не обновляется, несмотря на изменения в бизнес-процессах (например, внедрение CRM или новых каналов сбора данных).

Типовые недочеты:

• слишком общий текст без конкретики

• отсутствие перечня обрабатываемых данных

• не указаны сроки хранения

• не описаны права субъектов

Последствие — документ не выполняет юридическую функцию и не защищает компанию при проверке.

При публикации или передаче ПДн:

• требуется отдельное согласие субъекта

• нужно четко указать цели распространения

• важно обеспечить контроль доступа

Ошибка — использование «универсального» согласия, не учитывающего распространение.

Компании обязаны:

• уничтожать данные по достижении целей обработки

• фиксировать факт уничтожения

• соблюдать сроки хранения

Риск — отсутствие доказательств. Даже если данные удалены, без актов или логов это считается нарушением.

Зоны повышенного риска:

• HR (данные сотрудников и кандидатов)

• маркетинг (лиды, рассылки)

• IT (хранение и безопасность)

• юридические службы

Ошибка — отсутствие единой координации между подразделениями.

• не проводят регулярный аудит обработки ПДн

• не обновляют политику под реальные процессы

• забывают про обязательные уведомления

• хранят данные дольше, чем это допустимо

• не фиксируют уничтожение данных

• не назначают фактически ответственного за процесс

Эти вопросы подробнее планируют обсудить на онлайн-встрече 12 мая. Тема встречи — «Как компании выполнять требования закона 152-ФЗ и не допустить ошибок», эксперт — Алексей Работягов, руководитель практики IT-безопасности КСК ГРУПП.

Нужно ли всем подавать уведомление в Роскомнадзор?
Нет, есть исключения, но большинство коммерческих компаний подпадают под обязанность.

Можно ли использовать шаблон политики из интернета?
Только как основу. Без адаптации под процессы документ бесполезен.

Что считается распространением ПДн?
Любое раскрытие неопределенному кругу лиц, включая публикации на сайте.

Обязательно ли фиксировать уничтожение данных?
Да, отсутствие доказательств приравнивается к нарушению.

Реклама: «АУДИТ КОМПЛЕКС», ИНН: 7727287800, erid: 2W5zFGbzazD