Регламент обработки персональных данных — это ключевой локальный акт, который описывает порядок работы компании с ПДн на всех этапах: от сбора до уничтожения. Его наличие обязательно для любой организации, чтобы подтвердить выполнение требований ФЗ-152.
Обязательные разделы регламента обработки ПДн
- Общие положения
- цель документа;
- область действия (на кого распространяется: сотрудники, клиенты, подрядчики).
- Правовые основания обработки ПДн
- ссылки на ФЗ-152 и иные законы (Трудовой кодекс, НК РФ, отраслевые законы).
- Цели обработки персональных данных
- кадровый учёт, исполнение договоров, выполнение требований законодательства и т. д.
- Перечень обрабатываемых ПДн
- список категорий данных (ФИО, паспортные данные, контакты, медицинские сведения, биометрия и др.).
- Порядок получения и хранения согласий субъектов
- формы согласий, сроки и правила хранения, порядок отзыва.
- Права субъектов ПДн и обязанности оператора
- права на доступ, исправление, отзыв согласия; обязанности оператора по ст. 18 и 19 ФЗ-152.
- Порядок доступа сотрудников к ПДн
- правила разграничения прав, процедура предоставления и отзыва доступа.
- Меры по обеспечению безопасности ПДн
- организационные (ответственные лица, инструкции, обучение персонала);
- технические (резервное копирование, шифрование, антивирусная защита).
- Передача ПДн третьим лицам
- условия, на основании которых возможна передача (согласие, закон, договор).
- Сроки хранения и порядок уничтожения ПДн
- сроки хранения по категориям документов;
- правила и акты уничтожения или обезличивания.
- Ответственность сотрудников за нарушение порядка обработки ПДн
- дисциплинарная, административная, материальная.
- Заключительные положения
- порядок внесения изменений, пересмотра и утверждения регламента.
Обоснование по законодательству
- Ст. 18.1 ФЗ-152 — оператор обязан утверждать локальные акты, определяющие политику и регламент обработки ПДн.
- Ст. 19 ФЗ-152 — требует применения организационных мер, в том числе принятия документов, определяющих порядок обработки.
- Приказ ФСТЭК России № 21 от 18.02.2013 — обязывает документировать правила работы с ИСПДн.
Практика проверок Роскомнадзора
Инспекторы в первую очередь запрашивают регламент обработки ПДн. Там, где документ был формальным (например, состоял из 2–3 страниц без конкретики), организации получали предписания о доработке. В компаниях, где регламент охватывал все обязательные разделы и реально применялся, проверка проходила без нарушений.
Что важно учитывать компаниям
- Регламент должен быть адаптирован под деятельность конкретной организации, а не копироваться из типовых шаблонов.
- В документе должны быть учтены все категории субъектов (сотрудники, клиенты, подрядчики).
- Регламент должен быть утверждён приказом руководителя и доведён до сотрудников под подпись.
Рекомендации и выводы
Да, регламент обработки ПДн обязателен, и он должен содержать ключевые разделы, закрепляющие порядок сбора, хранения, передачи и уничтожения данных. Это позволит компании:
- Подтвердить выполнение требований ФЗ-152.
- Минимизировать риски штрафов при проверках.
- Обеспечить единые правила работы с ПДн для всех сотрудников.
Компания ICTech поможет вашей организации разработать полный регламент обработки ПДн с учётом специфики бизнеса и включить его в пакет документов, соответствующий ФЗ-152.
