Приведите документы по персональным данным в порядок — до проверки контролирующими органами

Персональными данными является любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. К ним относятся фамилия, имя, отчество, дата и место рождения, адрес, сведения о семейном, социальном, имущественном положении, образовании, профессии, доходах и иная информация, позволяющая идентифицировать конкретного человека.

Нет, не во всех. Обработка ПДн допускается без согласия субъекта, если она необходима для исполнения договора, стороной которого является субъект, или для исполнения требований законодательства — например, в рамках трудовых отношений для ведения кадрового учёта, налогообложения или пенсионного обеспечения. Согласие требуется, если обработка выходит за рамки исполнения договора или требований закона.

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие на обработку ПДн должно оформляться отдельным документом и не может быть включено в текст договора или иных документов, которые подписывает субъект.

Да. Если передача ПДн третьим лицам — например, подрядной организации — не обусловлена требованиями законодательства или исполнением договора, необходимо получать отдельное письменное согласие субъекта на такую передачу. Включать этот пункт в основное согласие на обработку ПДн нельзя.

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлёкшей нарушение прав субъектов, оператор обязан в течение 24 часов уведомить об этом уполномоченный орган — Роскомнадзор. В уведомлении указываются причины инцидента, предполагаемый вред и принятые меры по устранению последствий.

Нарушение законодательства в области персональных данных влечёт административную ответственность. Штрафы зависят от состава правонарушения — например, обработка данных без письменного согласия, невыполнение обязанности по предоставлению информации субъекту или невыполнение требования об уничтожении данных. Для юридических лиц штрафы могут достигать 15 000 000 ₽. Конкретные размеры смотрите в таблице штрафов выше.

Оператор персональных данных — это любое лицо (государственный орган, компания или индивидуальный предприниматель), которое самостоятельно или совместно с другими определяет цели обработки персональных данных, состав этих данных и совершаемые с ними действия: сбор, хранение, использование и т. д.

Вы являетесь оператором, если соответствуете трём критериям:
— Вы обрабатываете данные: совершаете любые действия с информацией, относящейся к физическим лицам — клиентам, сотрудникам, посетителям сайта.
— Вы определяете цели: сами решаете, зачем вам эти данные.
— Вы определяете состав данных: решаете, какие именно сведения вам нужны.

Важно: статус оператора возникает не из-за регистрации в реестре, а в силу самого факта осуществления деятельности по обработке данных.

Нет, не обязателен. Вы можете привлечь внешнего специалиста или юридическую компанию. Главное — чтобы у вас был назначен ответственный за организацию обработки ПДн (это может быть сотрудник без юридического образования, прошедший обучение) и чтобы документы соответствовали требованиям закона.

Начните с чек-листа. Он покажет, где у вас зоны риска. Дальше — аудит, который выявит все данные и процессы. В рамках пакета «Полный» мы проводим полный аудит и составляем карту данных.

Да, требования одинаковые для всех операторов — и для микробизнеса, и для крупных компаний. Разница только в размере штрафов. Для микробизнеса есть пакет «Базовый» за 7 000 ₽, который закрывает базу за 3 дня. Этого достаточно, чтобы снять основные риски.