Перечень обрабатываемых персональных данных — это не просто список для отчётности. На его основе строится уведомление в Роскомнадзор, внутренние локальные акты и меры защиты. Без чёткой картины того, какие сведения, для чего и на каком основании вы собираете, невозможно ни защитить данные, ни доказать законность их обработки.
Зачем нужен перечень
Он выполняет сразу несколько функций. Во-первых, это основа для уведомления в РКН (ст. 22 ч. 3): для каждой цели вы обязаны указать категории ПДн, категории субъектов, правовое основание, перечень действий и способы обработки. Во-вторых, перечень помогает внедрить меры защиты (ст. 18.1) — вы не можете защитить то, чего не знаете. В-третьих, он вскрывает избыточные поля, которые пора убрать.
Структура по целям
Перечень строится не вокруг отдельных полей, а вокруг целей обработки. Для каждой цели отдельно указывается:
- какие категории данных (общие, специальные по ст. 10, биометрические по ст. 11);
- чьи данные (субъекты: сотрудники, клиенты, контрагенты);
- правовое основание (договор или согласие);
- какие действия совершаются (сбор, запись, хранение и т.д.);
- как именно обрабатываете (автоматизированно, вручную, с передачей подрядчику).
Разные цели требуют разного набора данных. Нельзя смешивать всё в одной строке. Подробнее о классификации сведений — в материале категории персональных данных.
Как собрать на практике
Самый надёжный способ — пройти по всем бизнес-процессам, где вы касаетесь чужих данных. Вот контрольные точки для малого бизнеса:
| Процесс | Что проверить |
|---|---|
| Сайт / формы заказа | Какие поля, для какой цели, есть ли согласие или договор |
| Кадровый учёт | Данные сотрудников: приказы, личные карточки, СНИЛС, ИНН |
| Бухгалтерия | Реквизиты контрагентов, платежные поручения |
| Подрядчики | Какие данные вы передаёте (курьеры, колл-центр, IT-подрядчики) |
| Офис / пропускная система | Видеозапись, логи доступа, данные посетителей |
Для каждого пункта запишите: кто, что, зачем, на каком основании, сколько храните, с кем делитесь. Так вы получите готовую основу для всех документов 152-ФЗ. О том, как правильно сформулировать каждую цель, — в статье как сформулировать цель.
Связь с минимизацией
Часть 5 статьи 5 требует, чтобы объём данных не был избыточным относительно целей. Перечень — инструмент проверки. Когда вы видите все поля в одном списке, сразу заметны лишние: дата рождения в форме подписки, паспортные данные в анкете для доставки, СНИЛС в заявке на консультацию.
- Вычеркните то, что не нужно для цели.
- Пересмотрите формулировки целей — возможно, они слишком широкие.
- Уберите дублирование: одни и те же данные не должны обрабатываться по двум разным основаниям без необходимости.
Перечень — живой документ. Его нужно обновлять при каждом изменении: появился новый канал сбора, новый подрядчик, новый вид деятельности. Собранный перечень — это не архив, а инструмент управления рисками. Подробнее о том, как подать его в составе уведомления, — в руководстве уведомление в РКН.
Практическое правило: начните с одного листа — просто перечислите все поля, которые собираете. Потом напротив каждого напишите «зачем» и «на каком основании». Всё, что не проходит проверку по цели и основанию, — удаляйте из форм и документов.
Закрепите перечень в политике обработки, в положении об обработке ПДн и в уведомлении. Проверьте, что все цели согласованы между собой и что ни одно поле не остаётся без обоснования.
Вопросы про перечень данных
Что обязательно указывать в перечне обрабатываемых данных для уведомления в РКН?
Для каждой цели — категории ПД, категории субъектов, правовое основание, перечень действий с данными и способы обработки (ст. 22 ч. 3). Также важно различать общие, специальные и биометрические категории, так как для них разные режимы регулирования.
С каких процессов начинать сбор перечня ПДн в малом бизнесе?
С сайта/форм заказа, кадрового учёта, бухгалтерии, подрядчиков, офисных систем доступа. Это основные точки, где малый бизнес чаще всего собирает данные без системы.
Как перечень помогает выявить лишние поля?
Когда вы видите все поля в одном списке с привязкой к целям, легко заметить те, которые не нужны для конкретной операции. Ст. 5 ч. 5 запрещает избыточность, и перечень — главный инструмент проверки.
Нужно ли обновлять перечень при появлении нового подрядчика?
Да. Перечень — живой документ. При любом изменении — новый канал сбора, новый подрядчик, новый вид деятельности — нужно актуализировать перечень, так как он лежит в основе уведомления в РКН и внутренних мер защиты.
Похожие материалы
Источники
- 152-ФЗ, ст. 22 ч. 3 (сведения уведомления) и ст. 5 (минимизация) — consultant.ru
Структура перечня по целям (категории данных, субъектов, основание, действия) сверена с текстом ст. 22 ч. 3 152-ФЗ.