Роскомнадзор предоставил иллюстрации и разъяснил типичные недочеты при заполнении документа о работе с персональными данными.
Чтобы избежать упущения обязательных к заполнению полей, пожалуйста, заполняйте форму уведомления на сайте РКН.
Для оценки корректности и, возможно, дублирования определенных фрагментов:
Используйте пример от Роскомнадзора: Образец сообщения о том, как обрабатываются персональные данные
Читайте статью сайта Бухгалтерия.ру: Как оформить и передать в Роскомнадзор уведомление о начале обработки персональных данных
Документ составлен без использования фирменного бланка организации
Допустимым считается оформление бумажного уведомления на фирменном бланке компании или посредством нотариального заверения (на подписи главы организации либо назначенного сотрудника). В соответствии с нормами ведения документации, требуется регистрация бумаги и указание исходящего номера вместе с датой.
Ошибка 2. В поле «Наименование (фамилия, имя, отчество), адрес оператора»
В предоставленных сведениях отсутствует или указан не в полном объеме адрес организации (почтовый индекс, муниципальный район для организаций, расположенных в районах области, улица, номер дома, корпус).
В уведомлении указано наименование организации, которое не совпадает с данными, содержащимися в Едином государственном реестре юридических лиц.
Почтовый адрес – это адрес, указанный организацией (индивидуальным предпринимателем, физическим лицом) при регистрации в ЕГРЮЛ (ЕГРИП), а также адрес по месту прописки. Адрес местонахождения – это адрес, по которому реально ведется хозяйственная деятельность.
Поле «Филиалы»
Речь идет о филиалах, магазинах, корпусах, территориально обособленных отделах и других подразделениях, входящих в состав Оператора и относящихся к нему.
Поле «Правомерность обработки персональных данных»
Не требуется приводить конкретные пункты законодательства, даты их утверждения или номера нормативных документов, которые регламентируют осуществляемую деятельность в сфере обработки персональных данных.
Операторы нередко ограничиваются ссылкой на Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных» (далее – Закон). Однако Закон не предоставляет операторам правовых оснований для осуществления обработки персональных данных. Он определяет порядок регулирования отношений, возникающих в процессе обработки персональных данных.
Оператор при обработке персональных данных должен ссылаться на соответствующие нормативные правовые акты, регламентирующие данную деятельность, с указанием их полных реквизитов, включая дату, номер и наименование.
В перечень учтены организационно-распорядительные документы ООО ____ от ___ №, Положение об ______ от ____ № _____, разрешение на деятельность в сфере _____ от ____ № _____ и прочие аналогичные бумаги (см. образцы для заполнения).
Также необходимо перечислить внутренние нормативные акты организации, разработанные с соблюдением требований законодательства о защите персональных данных – например, Положение об обработке персональных данных ООО (ИП, физического лица) _____ от _____ № _____, а также распорядительные документы, инструкции и другие подобные материалы.
Поле «Цель обработки персональных данных»
Любое предприятие обязано вести бухгалтерский учет и кадровый документооборот, в процессе которых происходит обработка информации о сотрудниках, а также сведениях об их близких родственниках (в личных делах могут храниться копии свидетельств о рождении детей, актов заключения брака, справок из образовательных учреждений ребенка и т.п.).
Индивидуальные предприниматели предоставляют отчеты в налоговые органы, пенсионный фонд и другие ведомства, для которых может использоваться формулировка «предоставление отчетности в федеральные органы исполнительной власти».
Ошибка 3: Заполнено неверно поле «Категории персональных данных»
Составление списка категорий персональных данных требует полноты и всесторонности, использование сокращений запрещено.
Документы, такие как паспорт, водительское удостоверение, свидетельство о рождении, военный билет, документ об образовании и другие, принадлежащие физическому лицу, не относятся к категориям персональных данных. Они представляют собой материальные носители персональных данных.
Необходимо точно указывать, например, фамилию, имя, отчество, дату рождения, место рождения, адрес, семейное положение, социальный статус, материальное положение, уровень образования, род деятельности, доходы, расовую принадлежность, гражданство, политические взгляды, религиозные убеждения, философские взгляды, состояние здоровья, особенности личной жизни.
При заполнении соответствующего поля требуется сначала указать категории персональных данных, которые заносятся в форму кадрового учета Т2, а затем добавить другие категории, обрабатываемые организацией в процессе осуществления различных видов деятельности.
Если перечень категорий персональных данных, предложенных программой в поле «Категории персональных данных», исчерпан (например, при заполнении уведомления или информационного письма на онлайн-платформе), а необходимо указать дополнительные категории (такие как данные паспорта; идентификационный номер налогоплательщика; страховой номер индивидуального лицевого счета и т.п.), следует перейти к заполнению поля «Другие категории персональных данных» для их перечисления.
Ошибка 4: В поле «Перечень категорий лиц, чьи данные подвергаются обработке».
Не требуется указывать все возможные группы субъектов, чьи данные обрабатываются; допустимо использование обобщенных формулировок типа «и прочее», «и тому подобное», «дополнительная информация»; также можно упоминать другие организации.
Информация, представленная в поле «вытекает», определяется содержанием «Цели обработки персональных данных». В этом поле требуется указывать категории субъектов персональных данных и характер связей с ними. Под видами связей подразумеваются трудовые, гражданско-правовые, договорные отношения, а также взаимодействие, связанное с исполнением закона или иного нормативно-правового акта, регулирующего обработку персональных данных в соответствии с деятельностью юридического лица (индивидуального предпринимателя).
Физические лица, выступающие в роли заказчиков, пассажиров, налогоплательщиков, сотрудников образовательного учреждения (колледжа или техникума), учащихся, их родителей, государственных гражданских служащих, обслуживающего персонала; лица, связанные с учреждением (предприятием) трудовыми отношениями; физические лица, обратившиеся в страховую организацию для защиты имущества; пенсионеры, клиенты банков, находящиеся на обслуживании; законные представители физических и юридических лиц; пациенты, состоящие на диспансерном учете по соответствующим диагнозам, медицинские работники; граждане, имеющие право на социальную поддержку, пособия, надбавки к пенсии, ежемесячные денежные выплаты, компенсации и другие виды выплат; лица, состоящие в трудовых, договорных и иных гражданско-правовых отношениях с юридическим лицом, законные представители физических и юридических лиц.
Когда в организации есть сотрудники, сотрудничающие по договору, к ним применимо определение «физические лица, связанные другими договорными обязательствами»
Данная категория используется, когда в документах, хранящихся в бухгалтерии, присутствуют справки о месте учебы детей, копии свидетельств о рождении и свидетельств о браке, а в отделе кадров – анкеты с информацией о супругах, родителях, детях и других родственниках работника, а также другие документы, содержащие их персональные данные.
Поле “Описание действий с персональными данными и перечень применяемых оператором методов обработки»
Из перечня действий, указанных в требованиях пункт 3 статьи 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
, следует указывать исключительно те мероприятия, которые организация проводит с личными данными напрямую.
Для большинства компаний перечисленные действия включают сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, передачу и уничтожение данных.
Ошибка 5. В поле, предназначенном для описания мер, установленных статьями 18.1 и 19 Федерального закона «О персональных данных»»
Необходимо внимательно изучить представленный образец и использовать только те термины, которые непосредственно связаны с деятельностью Оператора.
Раздел, посвященный средствам обеспечения безопасности, включает в себя технические меры, направленные на защиту персональных данных в процессе их обработки. Информация, представленная в разделе «правовые меры», может быть размещена как в поле «правовое основание обработки персональных данных», так и в данном разделе (либо там, либо тут, дублировать не нужно).
Следует определить четкие организационные и технические решения, включая применение криптографических инструментов, для обеспечения безопасности персональных данных. Это позволит предотвратить несанкционированный или случайный доступ к ним, их уничтожение, изменение, блокирование, копирование, распространение, а также другие незаконные действия, совершаемые при обработке.
При применении электронной цифровой подписи (ЭЦП) требуется заполнить раздел «использование шифровальных (криптографических) средств». В этом разделе обязательно следует указать наименование, регистрационные номера и производителей используемых криптографических средств (ЭЦП), а также сведения об уровнях защиты (см. Методические указания по обеспечению безопасности персональных данных посредством криптографических инструментов при их обработке в автоматизированных системах, одобренные руководством 8-го Центра Федеральной службы безопасности Российской Федерации от 21 февраля 2008 года под номером 149/5-144 ).
В случае проведения классификации информационных систем, содержащих персональные данные, в уведомлении следует указать класс, к которому они отнесены (см. Приказы от 13 февраля 2008 года №55, №86, №20 “Об утверждении Порядка проведения классификации информационных систем, содержащих персональные данные” )
К техническим мерам можно отнести:
- определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применение технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
- оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- учет машинных носителей персональных данных;
- обнаружение фактов несанкционированного доступа к персональным данным и принятием мер;
- восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
- Осуществление надзора за реализуемыми мероприятиями с целью защиты персональных данных и поддержания требуемого уровня безопасности информационных систем, обрабатывающих такие данные.
Поле «Дата начала обработки персональных данных»
Это дата, зафиксированная в свидетельстве о присвоении ИНН.
В уведомлении присутствует ошибка: оно подписано лицом, не имеющим на то полномочий
Уполномоченным лицом является:
- единоличный исполнительный орган, действующий на основании устава (генеральный директор, директор, президент, управляющий);
- руководитель или начальник, действующий на основании положения;
- представитель юридического лица, действующий на основании доверенности, в которой содержится соответствующее полномочие. В этом случае к уведомлению необходимо приложить документ, подтверждающий полномочия лица на подписание документов.
Ошибка 7: Исполнитель не указан, отсутствует контактная информация об исполнителе
Данное поле предназначено для установления связи с автором документа.