Алексей Ветров
Эксперт по защите данных IC-TECH
Даже микробизнес (например, небольшой интернет-магазин, мастерская, салон или ИП с несколькими сотрудниками) обязан соблюдать требования ФЗ-152, если в работе используются персональные данные клиентов или работников. Наличие небольшого штата или ограниченного объёма данных не освобождает от обязанностей по их защите.
Для микробизнеса ключевая задача — организовать хранение ПДн с минимальными, но достаточными средствами:
- Бумажные документы (анкеты клиентов, трудовые договоры, согласия) должны храниться в закрытых шкафах или сейфах. Доступ к ним имеет только ограниченный круг сотрудников, назначенных приказом.
- Электронные данные (базы клиентов, списки заказов, данные сотрудников) необходимо хранить на компьютерах с паролями, антивирусом и ограничением доступа. Важно избегать хранения ПДн в мессенджерах или незащищённых файлах Excel.
- Если используются облачные сервисы, они должны находиться на территории России и обеспечивать защиту данных.
Обоснование по законодательству
- ФЗ-152, ст. 19 — оператор обязан обеспечить защиту ПДн с учётом актуальных угроз.
- ФЗ-152, ст. 18.1 — оператор обязан утвердить документы, определяющие политику и правила хранения ПДн.
- Постановление Правительства № 1119 — устанавливает уровни защищённости для информационных систем.
Практика проверок и позиция Роскомнадзора
Роскомнадзор в отношении микробизнеса отмечает три наиболее частые ошибки:
- Отсутствие документов по ПДн (ограничиваются устными договорённостями).
- Хранение клиентских баз на личных компьютерах или в телефонах без паролей.
- Использование зарубежных облаков (Google Drive, Dropbox), что нарушает требования локализации.
В ряде случаев малый бизнес штрафуют именно за то, что ПДн обрабатываются «как удобно», но без соблюдения минимальных мер безопасности.
Что важно учитывать микробизнесу
- Даже при небольшом объёме данных нужен приказ о назначении ответственного и политика по ПДн.
- Бумажные документы должны храниться в закрытых шкафах, а электронные — в защищённых системах.
- Для сотрудников следует провести инструктаж и зафиксировать его в журнале.
- Нужно предусмотреть порядок уничтожения старых документов.
Рекомендации и выводы
Микробизнесу важно выстроить простую, но корректную систему хранения ПДн. Это не требует сложных затрат, но существенно снижает риски штрафов и утечек. Минимум, что нужно сделать:
- Завести комплект документов по ПДн (политика, приказы, журналы).
- Организовать безопасное хранение бумажных и электронных данных.
- Назначить ответственного и провести инструктаж сотрудников.
- Использовать российские облачные сервисы и пароли для доступа к базам.
Компания ICTech разработает для вашего микробизнеса компактный и доступный комплект документов по ПДн, который соответствует требованиям ФЗ-152 и подходит именно под масштаб вашего бизнеса.
Хотите защитить себя от проверок и штрафов?
Разработаем полный пакет документации по обработке персональных данных для вашей организации.
