Шаблоны допустимы лишь как отправная точка — для понимания структуры ОРД и перечня возможных документов. Если шаблонная документация не отражает реальные процессы обработки персональных данных, не согласуется с уведомлением, сайтом и фактической работой сотрудников, Роскомнадзор рассматривает её как формальную и приравнивает к отсутствию ОРД.
Что понимается под «шаблонами ОРД»
Под шаблонами организационно-распорядительной документации по персональным данным обычно понимаются типовые, универсальные комплекты документов, которые предлагаются для использования без учета конкретной деятельности оператора.
К таким шаблонам относятся:
-
типовые приказы и положения «для всех»;
-
готовые комплекты документов, распространяемые в сети Интернет;
-
«коробочные» решения, не учитывающие отрасль, масштаб и процессы обработки персональных данных;
-
документы с обобщёнными формулировками без привязки к реальной деятельности.
Основная особенность шаблонов заключается в том, что они описывают усреднённую модель обработки персональных данных, которая на практике редко совпадает с фактическими процессами конкретного оператора. Именно это расхождение и становится источником нарушений при проверках.
Разрешает ли закон использовать шаблоны ОРД
Федеральный закон № 152-ФЗ не содержит прямого запрета на использование шаблонов организационно-распорядительной документации. Закон не устанавливает требования к форме документов и не предписывает разрабатывать их «с нуля».
Однако 152-ФЗ устанавливает иное ключевое требование — оператор обязан:
-
обеспечить организацию обработки персональных данных;
-
принять необходимые и достаточные меры защиты;
-
подтвердить выполнение этих мер на практике.
Закон оценивает результат, а не происхождение документов.
Если шаблонная ОРД:
-
не отражает реальные процессы обработки персональных данных;
-
содержит положения, которые фактически не применяются;
-
противоречит уведомлению, сайту или фактической деятельности,
то такие документы не выполняют требований закона, даже если формально существуют. В этом случае использование шаблонов не считается соблюдением 152-ФЗ и квалифицируется как нарушение организационных мер защиты персональных данных.
Как Роскомнадзор относится к шаблонной ОРД
При проверках Роскомнадзор оценивает не внешний вид документов и не факт их наличия, а соответствие ОРД фактической деятельности оператора персональных данных. Шаблонная документация, как правило, выявляется сразу и рассматривается как формальная.
Проверяющие обращают внимание на:
-
совпадение формулировок с типовыми шаблонами из открытых источников;
-
наличие процессов, которые фактически у оператора отсутствуют;
-
отсутствие описания реально используемых информационных систем;
-
расхождения между ОРД, уведомлением и сайтом;
-
невозможность сотрудников объяснить, как применяются документы на практике.
Если документы существуют «на бумаге», но не используются в реальной работе, Роскомнадзор делает вывод об отсутствии организационных мер защиты персональных данных.
В актах проверок такая ситуация обычно формулируется как формальный характер документации, что приравнивается к её отсутствию.
Основные риски использования шаблонов
Использование шаблонной ОРД без адаптации связано с рядом системных рисков, которые практически всегда выявляются при проверках Роскомнадзора.
Ключевые риски:
-
несоответствие фактической деятельности — документы описывают процессы, которых у оператора нет, и не отражают реальные способы обработки персональных данных;
-
противоречия между документами — разные шаблоны содержат взаимоисключающие положения;
-
избыточные или отсутствующие процедуры — в ОРД появляются лишние требования либо отсутствуют обязательные регламенты;
-
расхождения с уведомлением и сайтом — цели, категории данных и способы обработки не совпадают;
-
невозможность применения на практике — сотрудники не понимают и не используют установленные правила.
При выявлении таких рисков Роскомнадзор квалифицирует ситуацию как отсутствие надлежащей организации обработки персональных данных.
Типичные ошибки при использовании шаблонов
На практике при проверках чаще всего фиксируются одни и те же ошибки, связанные именно с шаблонным подходом.
Наиболее распространённые ошибки:
-
копирование чужих бизнес-процессов без их фактического наличия;
-
неверное указание категорий персональных данных и субъектов;
-
включение неиспользуемых ИСПДн или отсутствие реально применяемых систем;
-
формальные согласия без привязки к целям обработки;
-
отсутствие учета кадровых или клиентских процессов;
-
несогласованность документов между собой.
Такие ошибки легко выявляются при сопоставлении ОРД с реальной деятельностью оператора и практически всегда приводят к предписаниям.
Когда шаблоны допустимы
Шаблоны могут использоваться только в ограниченных целях и при соблюдении определённых условий.
Допустимые случаи:
-
как ориентир для структуры ОРД и перечня возможных документов;
-
для первичного анализа состава обязательных документов;
-
как основа для дальнейшей глубокой переработки и адаптации.
Использование шаблонов «как есть» без анализа и доработки не считается надлежащим выполнением требований 152-ФЗ.
Почему «адаптация шаблона» — не формальность
Адаптация шаблонной документации — это не замена названия организации и дат. Она требует анализа фактических процессов обработки персональных данных и согласования всех элементов системы.
Корректная адаптация включает:
-
привязку документов к реальным целям и способам обработки;
-
согласование ОРД с уведомлением Роскомнадзора и сайтом;
-
учет используемых информационных систем и сервисов;
-
проверку применимости документов сотрудниками;
-
исключение лишних и добавление отсутствующих процедур.
Без этого шаблон остаётся формальным документом, не имеющим юридической ценности при проверке.
Чем отличается шаблон от корректной ОРД
Корректная ОРД отличается от шаблона следующими признаками:
-
индивидуальный состав документов под деятельность оператора;
-
логичная и непротиворечивая система регламентов;
-
согласованность всех актов между собой;
-
соответствие фактическим процессам;
-
реальное применение документов в работе.
Именно такие признаки Роскомнадзор использует для оценки достаточности организационных мер защиты персональных данных.
На практике
На практике Роскомнадзор выявляет шаблонную документацию уже на первом этапе проверки. Формальные формулировки, противоречия и несоответствия фактической деятельности фиксируются в актах проверок как отсутствие надлежащих организационных мер защиты персональных данных.
Использование «готовых комплектов» без адаптации почти всегда приводит к предписаниям и повторным проверкам. Шаблоны могут быть лишь вспомогательным инструментом, но не заменяют полноценную и адаптированную ОРД, необходимую для соблюдения требований 152-ФЗ.
