Как организовать обработку персональных данных в 2025 году: обязательные документы и процедуры

На этой стадии оператор выявляет источники обработки данных, разрабатывает и утверждает локальные акты, регулирующие их обработку, предотвращение нарушений закона при обработке и устранение последствий. Также оформляются документы об ознакомлении сотрудников с этими актами. В их число входят:

• политика обработки персональных данных (политика конфиденциальности) – основной информационный документ как для субъектов персональных данных, так и для надзорного органа;
• инструкции и регламенты (инструкция лица, ответственного организацию за обработки персональных данных; план мероприятий по приведению в соответствие с требованиями законодательства в области персональных данных; инструкция ответственного за обеспечение информационной безопасности, регламент по определению уровней защищенности в информационных системах);
• положения (об обработке и защите персональных данных, о комиссии по приведению деятельности организации в соответствие с требованиями законодательства в области персональных данных и пр.);
• перечни (должностей и третьих лиц, допущенных к обработке, применяемых средств защиты информации, помещений для обработки персональных данных, обрабатываемых персональных данных, информационных систем персональных данных);
• приказ о назначении ответственного за организацию обработки персональных данных;
• приказ о назначении Комиссии по защите персональных данных;

поручение на обработку персональных данных с контрагентами;

Уровень защищённости определяется в соответствии с количеством и категориями субъектов, а также с типом актуальных для информационной системы оператора.

Перечень локальных актов, подтверждающих выполнение этого требования:

• акты определения уровней защищенности персональных данных в информационных системах персональных данных;
• протокол определения ущерба субъекту персональных данных; модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• регламент по определению уровней защищенности персональных данных в информационных системах персональных данных.

В рассматриваемой стадии разрабатываются и утверждаются:

• локальные нормативно-правовые акты, регламентирующие порядок допуска сотрудников и третьих лиц к обработке персональных данных;
• требования к учету и хранению носителей, порядок осуществления трансграничной передачи персональных данных;
• сведения о средствах и способах резервного копирования и уничтожения персональных данных, а также проведение контрольных мероприятий и реагированию на инциденты информационной безопасности.

Кроме этого, организация должна издать следующие акты:

• Инструкция пользователя информационных систем персональных данных;
• Перечень работников, которым предоставляется доступ к информационной системе персональных данных;
• Положение об обеспечении безопасности персональных данных в информационных системах.

Уведомление подается в бумажном или электронном формате с подписью уполномоченного лица до начала обработки в Роскомнадзор. Уведомление должно содержать:

• наименование и адрес оператора;
• цель обработки;
• категории персональных данных;
• категории субъектов персональных данных;
• правовое основание обработки;
• описание способов обработки;
• перечень принятых мер по безопасности обработки;
• дата начала и срок (условие) прекращения обработки.

Обобщая описанные выше этапы, можно составить план действий по защите персональных данных:

1. Издайте документы, определяющие обработку персональных данных:

• разработайте, утвердите и разместите в открытом доступе (например, на сайте оператора) политику конфиденциальности оператора;
• издайте и утвердите локальные акты, касающиеся вопросов обработки персональных данных, а также документы, определяющие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, с обязательным ознакомлением работников.

2. Определите актуальные угрозы безопасности в рамках информационной системы персональных данных.

3. Оцените потенциальный вред, который может быть причинен субъектам персональных данных в случае нарушения законодательства.

4. Определите порядок уточнения (актуализации), блокирования, прекращения обработки и уничтожения персональных данных.

5. Контроль и безопасность:

• организуйте регулярный контроль за принимаемыми мерами по обеспечению безопасности персональных данных;
• установите режим безопасности в помещениях, где размещены сервера оператора;
• определите и реализуйте организационные и технические меры, необходимые для обеспечения установленного уровня защищенности персональных данных, включая требования информационной безопасности.

6. Проинформируйте субъектов персональных данных на сайте:

• скорректируйте и разместите под всеми формами сбора персональных данных на сайте документ, который будет служить основанием для обработки в соответствии с требованиями законодательства. На всех страницах сайта, где осуществляется сбор персональных данных также следует разместить политику конфиденциальности оператора; 
• разместите уведомление или дисклеймер о факте сбора cookie-файлов. В документ, определяющий политику по обработке персональных данных, необходимо включить информацию об используемых сервисах веб-аналитики.

7. Направьте в Роскомнадзор информацию о начале обработке персональных данных или о внесении изменений в Реестр операторов после разработки и опубликования документа, определяющего политику конфиденциальности.

8. Доступ к обработке и защита работников:

• разработайте и утвердите правила доступа работников к обработке персональных данных;
• ознакомьте работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации, включая требования к их защите, а также с документами и локальными актами по вопросам обработки персональных данных.

Обеспечение безопасности персональных данных — это не только законодательно установленное требование, но и важный аспект репутации и доверия к вашей организации. Безусловно, формальное наличие документов не свидетельствует о соблюдении требования законодательства, предъявляемым к оператору. Вести эффективную работу в этом направлении возможно только при наличии четко налаженных процедур, соответствующих требованиям законодательства.