Назначение и правовой статус. Обязательный локальный акт оператора персональных данных, устанавливающий принципы и меры по обеспечению безопасности обработки, основание - п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ. Политика закрепляет ответственность организации за организацию обработки и доступность информации о принятых мерах для субъектов ПДн и контролирующих органов. В тексте фиксируют цели обработки персональных данных и границы их применения. Отдельно закрепляют принципы обработки и меры по обеспечению безопасности.
Область действия и охват. Документ распространяется на все процессы, информационные системы персональных данных, работников и подрядчиков, участвующих в обработке, включая обработку по поручению. В тексте указывают границы применения - какие подразделения, классы данных и категории субъектов подпадают под действие политики. Задают порядок обработки в разрезе процессов и информационных систем. Указывают условия обработки и категории субъектов, на которых распространяется документ.
Роли и ответственные лица. Утверждает руководитель организации или уполномоченное им лицо, а за исполнение отвечает назначенный ответственный за организацию обработки персональных данных в соответствии со ст. 22.1 152-ФЗ. В политике фиксируют полномочия, обязанности и порядок взаимодействия между менеджментом, ИТ, службой безопасности и юридическим блоком. Фиксируют ответственность за организацию обработки персональных данных оператором и взаимодействие подразделений. Предусматривают канал и сроки ответа на запросы субъектов персональных данных.
Содержательные разделы и связанные документы. Политика описывает набор мер по обеспечению безопасности, порядок внутреннего контроля и аудита, а также порядок оценки вреда и соотношения вреда с мерами защиты (ссылка на требования п. 4 и п. 5 ч. 1 ст. 18.1 152-ФЗ). В тексте дают ссылки на регистры обработки, локальные акты, соглашения с обработчиками и методики оценки рисков / DPIA. Описывают выявление неправомерной обработки и реагирование на инциденты. Фиксируют сроки обработки и основания для пересмотра сроков хранения. При прекращении обработки предусматривают блокирование, удаление или обезличивание данных.
Внедрение, публикация и материалы проверки. Практические шаги: подготовить проект, утвердить приказом, назначить ответственного, опубликовать Политику в общедоступном месте или в сети, зафиксировать подтверждение доступа. Для проверок собирают: приказ об утверждении, экземпляр опубликованной политики, документ о назначении ответственного, отчёты аудита, протоколы оценки вреда и акты приведения мер в соответствие. Если есть согласие - учитывают срок действия согласия и порядок отзыва. Описывают получение и отзыв согласия субъекта персональных данных.
Триггеры для пересмотра и типичные ошибки. Пересмотр политики обязателен при изменении объёма или способов обработки, внедрении новых ИТ-систем, передаче ПДн обработчикам, при инцидентах безопасности или изменении нормативной базы. Частые ошибки - слишком общие формулировки, отсутствие публичного доступа, неполное покрытие подрядчиков и отсутствие доказательств назначения ответственного. Актуализацию привязывают к изменению правовых оснований обработки персональных данных и состава процессов. При инцидентах важны процедуры выявления неправомерной обработки и фиксации мер.
Позвонить