Чтобы работать с персональными данными легально, нужно не просто начать — нужно сразу собрать полный пакет документов и выполнить обязательные действия. Первый вопрос: ваша организация — оператор ПДн? Да, если вы обрабатываете данные сотрудников, клиентов, контрагентов. Дальше — чёткая последовательность шагов, а не хаотичная доработка по требованию проверяющих.
С чего начать
Назначьте ответственного за организацию обработки (ст. 22.1). Юрлицо обязано сделать это приказом. Один человек — тот, кто будет контролировать всё остальное. Без него остальные шаги повиснут в воздухе.
Определите, сколько и каких именно сведений вы обрабатываете. Составьте реестр — перечень всех категорий ПДн: ФИО, паспортные данные, СНИЛС, адреса, телефоны, электронная почта. Для каждой позиции укажите цель. Это база для всех остальных документов.
Чек-лист обязательного
| Документ или действие | Что это |
|---|---|
| Уведомление в РКН | Подаётся по ст. 22 через портал pd.rkn.gov.ru (УКЭП или бумага). Почти все операторы подают с 01.09.2022 — массовые исключения отменены. |
| Политика обработки | Публикуется на сайте, если сбор идёт через интернет (ст. 18.1 ч. 2). |
| Положение или ЛНА | Внутренний документ, регламентирующий работу с ПДн. |
| Ответственный за обработку | Приказ о назначении (ст. 22.1). |
| Меры защиты | Организационные (политика, ЛНА, контроль, оценка вреда, ознакомление работников — ст. 18.1) и технические (ст. 19). |
| Согласия | Оформляются по ст. 9, когда это является законным основанием. |
| Реестр обрабатываемых ПД | Полный перечень категорий, целей, сроков, оснований. |
Что публично, что внутри
Чёткое разделение. Политика обработки — внешний документ. Её обязаны опубликовать на сайте, если вы собираете ПД через интернет (ст. 18.1 ч. 2). Клиент должен видеть, на каких условиях вы берёте его данные. Подробнее о том, как составить этот документ, — в материале политика обработки.
Положение и другие локальные нормативные акты — внутренние. Их не выкладывают в открытый доступ. Они нужны сотрудникам и проверяющим. Уведомление — отдельный документ, его направляют в РКН. Он не публикуется на сайте и не является внутренним ЛНА. Пошаговая инструкция по заполнению — в руководстве подать уведомление в РКН.
Цена пропуска
Пропуск любого из этих шагов — это не просто недоработка, а прямой риск административного штрафа.
- Не подали уведомление в РКН — ст. 13.11 ч. 10 КоАП: для юрлиц от 100 000 до 300 000 ₽.
- Нет опубликованной политики на сайте — ст. 13.11 ч. 3 КоАП: юрлица от 30 000 до 60 000 ₽.
Организационные меры защиты — это не абстрактное понятие. Ст. 18.1 требует не только принять политику и ЛНА, но и вести внутренний контроль, оценивать вред, знакомить работников. Назначая ответственного, вы не перекладываете на него всю ответственность — но создаёте точку управления. Как правильно ввести эту должность, написано в статье ответственный за обработку.
Практическое правило: начните с реестра — какие данные, для чего, сколько храните. От него отталкиваются все документы: политика, ЛНА, согласия, уведомление. Нет реестра — нет системы.
Соберите пакет по чек-листу. Проверьте, что уведомление подано, политика опубликована, ответственный назначен. Эти действия закроют 80 % типичных нарушений, за которые штрафуют малый бизнес.
Вопросы про соответствие организации
Нужно ли подавать уведомление в РКН, если я обрабатываю только данные сотрудников?
Да. Массовые исключения отменены с 01.09.2022 — почти все операторы обязаны подавать уведомление по ст. 22 152-ФЗ, включая тех, кто обрабатывает данные только своих работников.
Где публиковать политику обработки персональных данных?
На сайте организации, если сбор ПДн происходит через интернет (ст. 18.1 ч. 2). Это обязательное требование для всех, кто получает данные через формы заказа, обратной связи или регистрации.
Кто может быть ответственным за обработку ПДн в ООО?
Любой сотрудник, назначенный приказом руководителя (ст. 22.1). Это может быть юрист, кадровик, системный администратор — главное, чтобы у него была реальная возможность контролировать процесс.
Какие документы по 152-ФЗ обязательно должны быть у организации?
Уведомление в РКН, опубликованная политика (если есть сайт), внутреннее положение/ЛНА, приказ о назначении ответственного, согласия на обработку и реестр всех обрабатываемых категорий ПДн.
Похожие материалы
Источники
- 152-ФЗ, ст. 18.1, 19, 22, 22.1 (обязанности оператора) — consultant.ru
- КоАП РФ, ст. 13.11 ч. 3 и ч. 10 (штрафы) — consultant.ru
Состав обязанностей оператора (ст. 18.1, 22, 22.1) и штрафы (ст. 13.11 ч. 3, ч. 10 КоАП) сверены с текстом норм.