Юрист поможет определить, являетесь ли вы оператором персональных данных, нужно ли подавать уведомление в Роскомнадзор и какие документы требуются для законной обработки данных клиентов, сотрудников или пользователей сайта.
Разбираем ситуации с регистрацией в реестре операторов, политикой обработки персональных данных, согласиями, хранением, передачей третьим лицам, локализацией баз в РФ и рисками ответственности.
После первичного разбора вы получите понятный порядок действий: нужно ли уведомление, какие документы проверить, что исправить до проверки или жалобы субъекта персональных данных.
Если организация, ИП или физическое лицо собирает, хранит, использует, передает или уточняет данные людей, важно определить статус оператора, цели обработки, правовое основание, состав документов и необходимость уведомления Роскомнадзора.
Разбираем вопросы операторов персональных данных, сайтов, клиник, образовательных проектов, интернет-магазинов, работодателей, сервисов и физических лиц, которые обрабатывают данные других людей.
Помогаем определить обязанность по уведомлению, подготовить сведения и проверить корректность данных для реестра операторов.
Проверяем, какие документы нужны для законной обработки данных клиентов, сотрудников, пользователей сайта и иных субъектов.
Оцениваем возможные нарушения: незаконный сбор, лишние данные, отсутствие согласия, неправильное хранение, передача третьим лицам или отказ удалить сведения.
Юридическая диагностика показывает, является ли лицо оператором, какие данные обрабатываются, нужно ли уведомление в Роскомнадзор и какие документы необходимо подготовить или исправить.
В зависимости от ситуации готовится уведомление в Роскомнадзор, политика обработки персональных данных, согласие, внутренние документы оператора, ответ субъекту или правовая позиция при проверке.
Нужно, если оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные или изменить ранее поданные сведения.
Требуются для прозрачного информирования субъектов и подтверждения правового основания обработки в нужных случаях.
Нужны для организации обработки внутри компании, распределения доступа и работы с запросами субъектов или претензиями.
В вопросах персональных данных риски часто возникают до проверки: при запуске сайта, сборе заявок, найме сотрудников, передаче базы подрядчику или получении жалобы от человека.
Важно проверить, есть ли политика, согласие, правовое основание обработки и необходимость уведомления Роскомнадзора. Чем раньше выявлены ошибки, тем проще подготовить документы.
Ответ субъекту должен учитывать сроки, основания обработки и состав сведений. Неверный ответ может усилить спор и привести к жалобе.
Позиция строится от фактической обработки: кто собирает данные, какие сведения используются, для каких целей, кому передаются и какие документы это подтверждают.
Юрист уточнит, какие персональные данные вы обрабатываете, как они собираются и какие документы уже есть. После этого можно определить ближайшие действия.
Указываете, кто собирает данные, через сайт или офлайн, какие сведения используются, есть ли сотрудники, клиенты, пациенты, пользователи или база контактов.
Проверяется статус оператора, необходимость уведомления Роскомнадзора, наличие политики, согласий, внутренних документов и оснований обработки.
Получаете порядок действий: что подать, что опубликовать, какие документы подготовить и какие формулировки проверить.
После разбора понятно, можно ли подготовить документы самостоятельно или лучше оформить уведомление, политику и правовую позицию с юристом.
Одна и та же обработка данных может требовать разных действий: уведомления в Роскомнадзор, отдельного согласия, политики на сайте, внутреннего приказа, договора с обработчиком или ответа субъекту.
На первичной консультации юрист проверит факты и документы, после чего подскажет, какой порядок действий подходит именно вашей ситуации.
Ответы на вопросы, с которыми чаще всего обращаются организации, ИП, владельцы сайтов, работодатели и физические лица, обрабатывающие персональные данные.
Оператором может быть лицо, которое самостоятельно или совместно с другими определяет цели обработки персональных данных, состав данных и действия с ними. Это может быть организация, ИП, государственный орган, муниципальный орган или в отдельных случаях физическое лицо. Оценка зависит от фактической роли в обработке данных.
Необходимость уведомления зависит от характера обработки, целей, категорий данных и оснований, предусмотренных законом. Перед подачей нужно проверить, какие данные обрабатываются, кто является субъектами, используются ли автоматизированные системы и есть ли исключения. При наличии обязанности уведомление подается до начала соответствующей обработки.
Номер телефона может относиться к персональным данным, если он связан с конкретным человеком или позволяет его прямо либо косвенно определить. Важно учитывать, как номер собирается, хранится, используется и связан ли он с ФИО, аккаунтом, заявкой, договором или иной информацией.
Обычно проверяют наличие политики обработки персональных данных, понятного согласия на обработку, указания целей обработки, информации об операторе и корректной формы сбора данных. Также нужно учитывать передачу данных в CRM, сервисы аналитики, мессенджеры, почтовые сервисы и иным подрядчикам.
Хранение должно быть связано с целью обработки, законом, договором или иным основанием. Если цель достигнута или основание отпало, данные нужно удалить, обезличить или прекратить обработку, если нет обязательных сроков хранения. Для кадровых, медицинских и бухгалтерских документов могут действовать специальные правила.
Нужно проверить, какие данные обрабатываются, на каком основании, достигнута ли цель обработки и есть ли обязанность хранить сведения по закону или договору. После этого готовится ответ субъекту и при наличии оснований принимается решение об уточнении, блокировании, удалении или прекращении обработки.
При сборе персональных данных граждан РФ нужно учитывать требование о локализации баз данных на территории РФ для определенных действий с данными. Конкретная обязанность оценивается по процессу сбора, систематизации, накопления, хранения, уточнения и использования данных.
Ответственность зависит от вида нарушения: отсутствие необходимых документов, незаконная обработка, нарушение порядка согласия, неправомерная передача данных, несоблюдение требований к хранению или ответам субъектам. Перспектива и размер риска оцениваются по документам, обстоятельствам и актуальной практике.