Ограничение обработки персональных данных — это мера, при которой оператор временно прекращает любые действия с ПДн (кроме хранения), если субъект требует проверить точность данных или законность их обработки. Чтобы подтвердить факт выполнения такого требования, необходимо оформить соответствующие документы.
Какие документы нужны:
- Заявление субъекта ПДн — основание для ограничения (например, при споре о точности или законности обработки).
- Акт об ограничении обработки ПДн — фиксирует дату, основание, перечень данных и срок ограничения.
- Журнал учёта ограничений обработки — позволяет отслеживать все случаи ограничения.
- Приказ (или распоряжение) руководителя — при необходимости закрепляет порядок действий сотрудников при ограничении.
Обоснование по законодательству
- Ст. 5 ФЗ-152, ч. 6 — при выявлении неточных данных их обработка должна быть приостановлена до уточнения.
- Ст. 21 ФЗ-152 — субъект вправе требовать блокирования или ограничения обработки своих данных.
- Ст. 19 ФЗ-152 — организационные меры включают документирование действий с ПДн, в том числе при ограничении.
- Ст. 13.11 КоАП РФ — нарушение порядка обработки ПДн, включая игнорирование требований субъекта, влечёт административную ответственность.
Практика проверок Роскомнадзора
Роскомнадзор при проверках часто запрашивает акты об ограничении обработки. В одной организации субъект потребовал ограничить обработку его данных, оператор устно подтвердил исполнение, но документального подтверждения не было — проверка признала нарушение. В другой компании был оформлен акт и внесена запись в журнал — претензий не последовало.
Что важно учесть при оформлении
- Акт должен содержать: дату и номер, ФИО субъекта, основание ограничения (например, заявление), перечень данных, способ ограничения (блокировка в системе, изъятие документов в архив), срок действия.
- Документ подписывается ответственным за ПДн и утверждается руководителем.
- Важно обеспечить технические меры: например, ограничение прав доступа к данным в информационной системе.
- После устранения оснований ограничения составляется новый акт о возобновлении обработки или об уничтожении данных.
Рекомендации и выводы
Да, ограничение обработки ПДн должно оформляться документально. Без этого компания не сможет доказать выполнение требований закона и рискует получить штраф. Чтобы соответствовать ФЗ-152:
- Разработайте форму акта и журнала ограничений обработки.
- Утвердите порядок действий сотрудников на случай таких обращений.
- Обеспечьте взаимодействие между ответственным за ПДн и IT-службой для технической блокировки данных.
- Храните акты и журналы в составе документации по 152-ФЗ.
Компания ICTech разработает для вашей организации акт, журнал и регламент ограничения обработки ПДн и встроит их в полный пакет документов по ФЗ-152. Это позволит пройти проверку Роскомнадзора без нарушений и реально защитить бизнес.
