Состав ОРД по персональным данным не закреплён в виде закрытого перечня в 152-ФЗ. Он формируется с учетом вида деятельности оператора, категорий обрабатываемых персональных данных, наличия работников, клиентов, сайта и используемых информационных систем. Именно поэтому при проверках Роскомнадзор оценивает не количество документов, а их достаточность, актуальность и соответствие фактической деятельности оператора.
Что такое ОРД по персональным данным
Организационно-распорядительная документация по персональным данным — это совокупность внутренних документов оператора, которые устанавливают порядок обработки, защиты и контроля персональных данных. Эти документы фиксируют обязанности оператора и сотрудников, регламентируют процедуры и подтверждают выполнение требований законодательства.
ОРД по персональным данным выполняет несколько ключевых функций:
-
определяет правила обработки персональных данных внутри организации;
-
распределяет ответственность между должностными лицами;
-
устанавливает порядок доступа к персональным данным;
-
регламентирует хранение, передачу и уничтожение персональных данных;
-
подтверждает выполнение требований 152-ФЗ при проверках.
Для Роскомнадзора ОРД является основным доказательством того, что оператор не ограничился формальным соблюдением закона, а выстроил систему обработки персональных данных с учетом реальных процессов.
Обязателен ли единый перечень документов ОРД
Единого и закрытого перечня документов, входящих в ОРД по персональным данным, законодательство не устанавливает. Федеральный закон № 152-ФЗ закрепляет обязанность оператора обеспечить организацию обработки и защиту персональных данных, но не содержит списка конкретных документов, которые должны быть разработаны в обязательном порядке.
Формирование состава ОРД основано на принципах:
-
достаточности — документы должны покрывать все фактические процессы обработки персональных данных;
-
соразмерности — объем и содержание документации должны соответствовать масштабам и характеру деятельности оператора;
-
актуальности — документы должны отражать реальные условия обработки персональных данных.
Состав ОРД зависит от:
-
наличия работников и кадровых процессов;
-
работы с клиентами и контрагентами;
-
использования сайта и онлайн-сервисов;
-
применения информационных систем персональных данных;
-
объема и категорий обрабатываемых персональных данных.
При проверках Роскомнадзор оценивает не формальное наличие определённых документов, а соответствие ОРД фактической деятельности оператора. Отсутствие части документов либо их несоответствие практике рассматривается как нарушение требований законодательства.
Базовые приказы в составе ОРД
Основу организационно-распорядительной документации по персональным данным составляют приказы руководителя, которыми формализуется ответственность и порядок работы с персональными данными. Именно эти документы в первую очередь запрашиваются при проверках.
Как правило, в состав ОРД входят следующие базовые приказы:
-
приказ о назначении ответственного за организацию обработки персональных данных;
-
приказ о назначении ответственного за обеспечение безопасности персональных данных;
-
приказ об утверждении локальных актов по обработке и защите персональных данных;
-
приказы о допуске сотрудников к персональным данным;
-
приказы об ограничении и разграничении доступа к персональным данным.
Отсутствие базовых приказов либо формальное их оформление без реального распределения обязанностей рассматривается Роскомнадзором как признак отсутствия системы управления обработкой персональных данных.
Невозможно создать один шаблонный пакет приказов, который подойдёт всем компаниям, потому что каждый документ — это отражение реальной и уникальной структуры конкретной организации.
Локальные нормативные акты по обработке персональных данных
Ключевую часть ОРД составляют локальные нормативные акты, которые детально регламентируют порядок обработки и защиты персональных данных внутри организации. Именно эти документы проверяющие сопоставляют с фактическими процессами работы сотрудников.
Как правило, в состав ОРД входят:
- регламент доступа к персональным данным;
-
порядок хранения и уничтожения персональных данных;
-
порядок передачи персональных данных третьим лицам;
-
порядок реагирования на инциденты и нарушения безопасности персональных данных;
-
порядок внутреннего контроля соблюдения требований по персональным данным.
Эти документы должны быть адаптированы под конкретную деятельность оператора.
Использование универсальных шаблонов без учета реальных процессов обработки персональных данных чаще всего признается несоответствующим требованиям законодательства.
Документы по учету и контролю
В составе ОРД обязательно должны присутствовать документы, подтверждающие, что оператор не только установил правила, но и осуществляет учет и контроль обработки персональных данных. Именно отсутствие таких документов часто выявляется при проверках.
К документам по учету и контролю относятся:
-
журналы учета доступа сотрудников к персональным данным;
-
журналы учета обращений субъектов персональных данных;
-
журналы ознакомления сотрудников с локальными актами по персональным данным;
-
документы внутреннего контроля и проверки соблюдения требований;
-
акты выявления и устранения нарушений (при их наличии).
Структура и содержание этих учётных и контрольных документов не универсальны. Они напрямую зависят от специфики деятельности оператора, отраслевых требований и применяемых технических решений, поэтому их разработка требует индивидуального подхода.
Эти документы позволяют подтвердить фактическое выполнение требований 152-ФЗ. Их отсутствие свидетельствует о формальном подходе к организации обработки персональных данных.
Документы по персональным данным работников
Отдельный блок ОРД составляют документы, регулирующие обработку персональных данных работников.
В состав ОРД по персональным данным работников, как правило, входят:
-
локальные акты, регулирующие обработку персональных данных работников;
-
положения о защите персональных данных работников;
-
формы согласий работников на обработку персональных данных (в случаях, когда согласие требуется);
-
регламенты доступа к кадровым персональным данным;
-
документы, устанавливающие сроки хранения кадровых персональных данных;
-
порядок передачи персональных данных работников третьим лицам (бухгалтерия, аутсорсинг).
Наличие кадровых процессов автоматически влечёт обязанность оператора обеспечить их правомерность и документальное оформление.
Нарушения в кадровой части выявляются при проверках особенно часто, поскольку кадровые данные обрабатываются постоянно и затрагивают широкий круг сотрудников.
Документы по обработке персональных данных клиентов и контрагентов
Если оператор обрабатывает персональные данные клиентов, заказчиков или контрагентов, соответствующие документы также входят в состав ОРД. Эти документы подтверждают законность сбора и использования персональных данных вне кадровых процессов.
Как правило, в состав ОРД включаются:
-
формы согласий клиентов и контрагентов на обработку персональных данных;
-
положения о порядке обработки персональных данных клиентов;
-
документы, регламентирующие передачу персональных данных третьим лицам;
-
договоры поручения обработки персональных данных с подрядчиками;
-
соглашения о конфиденциальности и защите персональных данных.
Проверяющие сопоставляют содержание этих документов с фактическими процессами работы с клиентами, условиями договоров и используемыми сервисами. Несоответствие документов реальной практике рассматривается как нарушение требований 152-ФЗ.
Документы, связанные с информационными системами ПДн
При использовании информационных систем персональных данных (ИСПДн) в состав ОРД включаются документы, подтверждающие организацию и безопасность обработки персональных данных с применением средств автоматизации.
Как правило, оформляются:
-
перечень используемых информационных систем персональных данных;
-
описание ИСПДн и обрабатываемых в них персональных данных;
-
документы по разграничению прав доступа пользователей;
-
регламенты администрирования и эксплуатации ИСПДн;
-
меры по обеспечению безопасности персональных данных;
-
порядок резервного копирования и восстановления данных;
-
документы по учету и реагированию на инциденты безопасности.
Отсутствие этих документов либо их формальный характер при фактическом использовании ИСПДн рассматривается как существенное нарушение требований законодательства о персональных данных.
Наличие полного и рабочего комплекта документации по ИСПДн является обязательным условием для подтверждения законности автоматизированной обработки персональных данных при любой проверке и обязательно должен быть включён в полный пакет организационно-распорядительной документации по защите персональных данных.
Типичные ошибки при формировании ОРД
При проверках Роскомнадзора чаще всего выявляются одни и те же ошибки при формировании организационно-распорядительной документации по персональным данным.
Наиболее распространённые ошибки:
-
использование универсальных шаблонов без адаптации под деятельность оператора;
-
отсутствие части обязательных документов;
-
противоречия между различными локальными актами;
-
несоответствие документов фактическим процессам обработки персональных данных;
-
устаревшие документы, не отражающие изменения деятельности или законодательства;
-
отсутствие подтверждений ознакомления сотрудников с документами.
Такие ошибки приводят к тому, что даже формально существующая ОРД признаётся несоответствующей требованиям 152-ФЗ.
Поэтому корректный комплект ОРД — это не набор заполненных шаблонов, а документы, целенаправленно разработанные под ваши внутренние процессы и точно описывающие реальную практику работы с персональными данными в вашей организации.
Как привести ОРД в соответствие требованиям
Приведение ОРД в соответствие требованиям законодательства требует комплексного подхода и учета специфики деятельности оператора.
Как правило, этот процесс включает:
-
анализ фактических процессов обработки персональных данных;
-
аудит существующей организационно-распорядительной документации;
-
выявление пробелов и несоответствий;
-
разработку и актуализацию документов под реальные процессы;
-
внедрение документов в практическую деятельность.
ОРД — это всегда индивидуальный комплект документов, точно отражающий реальную практику вашей компании, а не набор шаблонов.
Если вы не уверены, что ваш комплект ОРД полностью соответствует требованиям 152-ФЗ, необходимо провести профессиональный аудит. Это позволит выявить все правовые и организационные риски и своевременно устранить их до визита проверяющих.
На практике
На практике Роскомнадзор в первую очередь запрашивает базовые приказы, положения об обработке персональных данных и документы, подтверждающие фактическое выполнение требований 152-ФЗ. Именно по наличию и качеству ОРД делается вывод о том, выстроена ли у оператора система обработки персональных данных.
Отсутствие части документов или формальный характер ОРД почти всегда приводит к выявлению нарушений. Полноценный и актуальный комплект организационно-распорядительной документации позволяет минимизировать риски, упростить прохождение проверок и подтвердить соблюдение требований законодательства о персональных данных.
