Что это такое
Политика — обязательный документ для любого оператора персональных данных, а не только для тех, кто ведёт сайт: ст. 18.1 152-ФЗ прямо называет наличие такого документа одной из мер по обеспечению выполнения обязанностей оператора. Разница в способе доведения: если у оператора есть сайт, политика должна быть опубликована на нём в свободном доступе; если сайта нет, документ должен быть доступен любому заинтересованному лицу иным способом (например, по запросу, на информационном стенде).
Содержание политики обычно включает: сведения об операторе; категории субъектов и обрабатываемых данных; цели и правовые основания обработки; сроки хранения; сведения о трансграничной передаче, если она осуществляется; порядок и условия защиты данных; права субъекта персональных данных и порядок их реализации (доступ к своим данным, требование уточнения или уничтожения). Политика — не то же самое, что согласие на обработку: согласие подписывает конкретный субъект под конкретную обработку, политика — общий, публичный документ, описывающий подход оператора в целом.
Для работодателя политика касается не только данных клиентов сайта (если он есть), но и данных работников — многие компании ошибочно ограничивают политику только «клиентским» контуром, забывая, что персональные данные сотрудников тоже подпадают под этот документ.
Частые вопросы
Нужна ли политика обработки персональных данных компании без сайта?
Да, обязанность иметь такой документ не связана с наличием сайта — она следует из статуса оператора персональных данных как такового. Меняется лишь способ обеспечения доступа к документу.
Достаточно ли скачать типовой шаблон политики из интернета и разместить его без изменений?
Рискованно — политика должна отражать реальную практику конкретного оператора: его цели обработки, категории данных, фактические сроки хранения. Формальный шаблон, не соответствующий действительности, не защищает при проверке, а иногда усугубляет ситуацию, если содержит заведомо неверные сведения.
Что грозит за отсутствие или неактуальность политики обработки ПДн?
Административная ответственность в рамках ст. 13.11 КоАП РФ — за нарушение требований к обеспечению доступности сведений о своей политике в отношении обработки персональных данных предусмотрен отдельный состав со своим размером штрафа.
Как BLS помогает
BLS разрабатывает политику обработки персональных данных, отражающую реальную практику работодателя, — включая контур данных сотрудников, а не только клиентов сайта.