Решающим фактором является не масштаб бизнеса, а сам факт обработки персональных данных. Если малый бизнес работает с клиентами, сотрудниками, пользователями сайта или иными физическими лицами, он в полном объёме подпадает под требования 152-ФЗ.
На практике именно малый бизнес чаще всего допускает нарушения, полагая, что «для маленьких требования мягче». Однако Роскомнадзор применяет меры ответственности одинаково как к малым компаниям и ИП, так и к крупным организациям. Если хочешь, следующим шагом могу раскрыть, распространяется ли 152-ФЗ на малый бизнес и почему размер компании не имеет значения, либо перейти к следующему вопросу рубрики.
Распространяется ли 152-ФЗ на малый бизнес
Требования 152-ФЗ применяются ко всем, кто обрабатывает персональные данные, независимо от формы и масштаба бизнеса.
Кто считается оператором персональных данных
Оператором персональных данных признаётся любое лицо — юридическое или физическое, — которое:
-
самостоятельно или совместно с другими лицами организует обработку ПДн;
-
определяет цели и состав обрабатываемых данных;
-
осуществляет действия с персональными данными.
Малый бизнес автоматически становится оператором ПДн, если:
-
имеет сотрудников;
-
работает с клиентами-физлицами;
-
принимает заявки и обращения;
-
использует сайт, формы обратной связи, мессенджеры.
Какие данные обрабатывает малый бизнес
На практике малый бизнес обрабатывает:
-
ФИО клиентов и работников;
-
контактные данные;
-
сведения для договоров и расчётов;
-
данные для доставки, оплаты, бухгалтерского учёта.
Все эти сведения подпадают под понятие персональных данных.
Почему размер бизнеса не имеет значения
В 152-ФЗ нет критериев, связанных с численностью, выручкой или статусом «малый бизнес».
Если данные позволяют идентифицировать человека — они подлежат защите независимо от того, обрабатывает их крупная корпорация или небольшой магазин.
Есть ли в законе «упрощённые режимы» для малого бизнеса
152-ФЗ не предусматривает специальных режимов или послаблений для малого бизнеса в части соблюдения требований по персональным данным.
Отсутствие специальных исключений в 152-ФЗ
В тексте закона отсутствуют нормы, которые:
-
освобождают малый бизнес от выполнения требований;
-
устанавливают для него особый порядок обработки данных;
-
позволяют не разрабатывать документы по ПДн из-за масштаба деятельности.
Все операторы персональных данных, независимо от размера, обязаны:
-
обеспечивать законность обработки;
-
защищать персональные данные;
-
соблюдать права субъектов ПДн.
Равенство операторов перед законом
С точки зрения 152-ФЗ малый бизнес и крупная корпорация находятся в равном правовом положении.
Отличия возможны только:
-
в объёме обрабатываемых данных;
-
в сложности процессов;
-
в уровне рисков,
но не в самих требованиях закона.
Что действительно различается
Различается не закон, а:
-
масштаб обработки;
-
количество документов;
-
уровень технических мер защиты.
Но обязательность выполнения требований — одинакова для всех.
В чём реально выражается «упрощение» для малого бизнеса
Упрощение для малого бизнеса возможно не за счёт отмены требований 152-ФЗ, а за счёт их адаптации к масштабу деятельности и уровню рисков.
Меньше процессов — меньше документов
Если у малого бизнеса:
-
нет филиалов;
-
нет сложных ИТ-систем;
-
ограниченный круг сотрудников,
то и комплект документов по ПДн может быть:
-
компактным;
-
без избыточных регламентов;
-
ориентированным на реальные процессы.
Это не освобождение от документов, а сокращение их количества и объёма.
Отсутствие сложных ИСПДн
Малый бизнес часто не использует:
-
распределённые базы данных;
-
автоматизированные системы обработки в высоких классах защищённости;
-
критически важные ИТ-платформы.
Это позволяет:
-
не разрабатывать сложные модели угроз;
-
не внедрять дорогостоящие технические решения;
-
ограничиться разумными мерами защиты, соответствующими рискам.
Адаптация мер защиты под уровень риска
Для малого бизнеса допустимы:
-
более простые технические меры;
-
локальные регламенты вместо сложных политик;
-
упрощённая система контроля.
При этом базовые требования по конфиденциальности, доступу и защите данных должны соблюдаться в любом случае.
Какие требования обязательны даже для малого бизнеса
Существуют требования 152-ФЗ, от которых невозможно отказаться или упростить их за счёт размера компании. Они обязательны для всех операторов персональных данных.
Законные основания обработки персональных данных
Малый бизнес обязан:
-
обрабатывать персональные данные только на законных основаниях;
-
иметь договор, согласие или иную правовую базу;
-
не использовать данные произвольно.
Отсутствие правовых оснований — грубое нарушение независимо от масштаба бизнеса.
Политика обработки персональных данных
Даже самая маленькая компания обязана иметь:
-
документ, определяющий цели и порядок обработки ПДн;
-
правила работы с персональными данными;
-
меры по защите информации.
Отсутствие политики ПДн — самостоятельное нарушение 152-ФЗ.
Меры по защите персональных данных
Работодатель или предприниматель обязан:
-
ограничить доступ к данным;
-
обеспечить их сохранность;
-
предотвратить утечки и несанкционированный доступ.
Форма реализации может быть проще, но само требование обязательно.
Соблюдение прав субъектов ПДн
Малый бизнес обязан:
-
отвечать на запросы субъектов персональных данных;
-
предоставлять информацию об обработке;
-
обеспечивать возможность отзыва согласий и исправления данных.
Уведомление Роскомнадзора (при необходимости)
Если малый бизнес подлежит уведомлению как оператор ПДн, отсутствие такого уведомления также является нарушением, независимо от размера компании.
Для корректного выполнения этих требований разрабатывается организационно-распорядительная документация по защите персональных данных.
Типовые ошибки малого бизнеса
Именно малый бизнес чаще всего допускает нарушения по персональным данным не из-за злого умысла, а из-за неправильного понимания требований 152-ФЗ.
«Мы маленькие, нас не проверят»
Одна из самых опасных иллюзий. На практике проверки часто начинаются именно с малого бизнеса — по жалобам клиентов, сотрудников или из-за онлайн-деятельности.
Отсутствие документов по ПДн
Многие малые компании:
-
не имеют политики обработки ПДн;
-
не оформляют регламенты и согласия;
-
не фиксируют порядок доступа к данным.
Отсутствие документов трактуется как отсутствие системы защиты данных.
Формальные шаблоны без привязки к бизнесу
Даже когда документы есть, они часто:
-
не соответствуют реальным процессам;
-
содержат избыточные или недостоверные положения;
-
не применяются на практике.
Игнорирование сайта и онлайн-форм
Малый бизнес часто забывает, что:
-
формы обратной связи;
-
заявки;
-
подписки;
-
онлайн-чаты
являются полноценной обработкой персональных данных и требуют соблюдения 152-ФЗ.
Отсутствие контроля и актуализации
Документы не пересматриваются при:
-
изменении деятельности;
-
появлении сайта;
-
найме сотрудников;
-
подключении сервисов.
