Документы оператора, сайты, согласия и организация обработки персональных данных.
Назначение ответственного по статье 22.1 должно быть частью работающей системы: с полномочиями, доступом к сведениям, реестром процессов, взаимодействием подразделений, обработкой обращений и контролем изменений. Один приказ эту систему не создаёт.
Открыть материалВыберите ближайший по смыслу разбор — внутри будут документы, сроки и последовательность действий.
Статьи расположены от новых к более ранним.
Изображение, видеозапись, голос или иной физиологический признак становятся биометрическими персональными данными не из-за формата файла, а при использовании оператором для установления личности. После квалификации проверяются статья 11 Федерального закона № 152-ФЗ, основание обработки, архитектура системы и применимость Федерального закона № 572-ФЗ.
Читать →Работодатель определяет цель, основание, необходимый объём данных, круг доступа и срок хранения для каждого кадрового процесса. Видеонаблюдение, системы контроля и управления доступом и внешние HR-сервисы проверяются отдельно: согласие работника не заменяет законную цель и не оправдывает избыточную обработку.
Читать →Трансграничную передачу определяют по фактическому получателю, территории иностранного государства и маршруту данных, а не по иностранному бренду сервиса. До начала передачи оператор собирает предусмотренные законом сведения, проводит оценку и направляет отдельное уведомление Роскомнадзору.
Читать →Локализацию проверяют по фактическому маршруту данных: от точки сбора до баз, интеграций, резервных копий и получателей. Российский хостинг одной системы не подтверждает соответствие всего процесса, а иностранное происхождение сервиса само по себе не доказывает нарушение.
Читать →Размер санкции нельзя определять по общему слову «утечка». Сначала устанавливаются конкретный состав, субъект ответственности, категория и объём данных, повторность, причинная связь и наличие признаков уголовно наказуемого деяния.
Читать →Политика составляется после проверки функционала сайта и маршрутов данных. Она должна отражать фактические цели, категории субъектов и данных, основания, действия, получателей, сроки, права субъектов и применяемые меры оператора.
Читать →Не существует одной универсальной галочки для всех действий пользователя. Для каждой цели определяются правовое основание, состав данных, срок, способ информирования и доказательство волеизъявления; для рекламных сообщений дополнительно применяется закон о рекламе.
Читать →Не каждый сигнал подтверждает утечку, но каждый требует немедленной регистрации и проверки. При установленном инциденте техническое ограничение последствий идёт параллельно с юридической квалификацией и уведомлением Роскомнадзора.
Читать →Компания становится оператором, когда самостоятельно или совместно с другими лицами определяет цели обработки персональных данных, состав данных и действия с ними. Материал даёт общую карту обязанностей для сайта и внутренних процессов и направляет к подробным руководствам ядра.
Читать →Документы оператора, сайты, согласия и организация обработки персональных данных.
Материалы носят информационный характер. Вывод по конкретной ситуации зависит от документов, сроков и фактических обстоятельств.
Проводим правовой аудит обработки персональных данных на уровне оператора: внутренние процессы, сайт, работники, подрядчики, локальные акты, уведомления, обращения и инциденты. Готовим выводы, документы и план устранения выявленных несоответствий.
Публикую короткие разборы изменений в законах и частых ситуаций малого бизнеса. Без спама и продаж — только то, что реально касается ИП и небольших ООО.
Юрист посмотрит вводные и подскажет первый шаг. Отправка не создаёт договор и не является консультацией.
