Чек-лист самопроверки: соответствует ли ваш бизнес 152-ФЗ?

ч.1 ст.22 152-ФЗ: Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 этой статьи.

ч.3 ст.22 152-ФЗ: Уведомление должно содержать: наименование и адрес оператора; цель обработки; описание мер по ст.18.1 и 19; ФИО и контакты ответственного за организацию обработки; дату начала обработки; срок или условие её прекращения; сведения о трансграничной передаче; сведения о месте нахождения базы данных.

ч.1 ст.22.1 152-ФЗ: Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.

ч.4 ст.22.1 152-ФЗ: Ответственное лицо обязано: осуществлять внутренний контроль за соблюдением оператором и работниками законодательства о персональных данных; доводить до работников положения законодательства и локальных актов; организовывать приём и обработку обращений субъектов персональных данных.

ч.5 ст.5 152-ФЗ: Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

ч.4 ст.9 152-ФЗ: Согласие в письменной форме должно включать: ФИО, адрес субъекта персональных данных, реквизиты документа, удостоверяющего личность; наименование и адрес оператора; цель обработки; перечень персональных данных, на обработку которых даётся согласие; срок действия согласия и способ его отзыва; подпись субъекта персональных данных.

ч.2, 2.1 ст.10 152-ФЗ: Обработка специальных категорий персональных данных (о здоровье, расе, национальности, взглядах, убеждениях, интимной жизни) допускается только при наличии оснований из ч.2 и 2.1 ст.10: письменное согласие субъекта; данные разрешены им для распространения по ст.10.1; реализация международных договоров о реадмиссии; перепись населения; соцпомощь, трудовое или пенсионное законодательство; защита жизни и здоровья — и другие случаи из этой части.

ч.3 ст.10 152-ФЗ: Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

ч.1 ст.10.1 152-ФЗ: Согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

приказ РКН №18: Приказ Роскомнадзора №18 от 24.02.2021 устанавливает обязательные сведения в согласии на распространение: данные субъекта; наименование и адрес оператора; цель обработки; категории и перечень персональных данных, разрешённых для распространения; условия и запреты, которые вправе установить субъект; срок действия согласия и условия его прекращения.

ч.1 ст.11 152-ФЗ: Биометрические персональные данные, которые используются оператором для установления личности субъекта, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

ч.3 ст.12 152-ФЗ: Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять трансграничную передачу персональных данных. Уведомление направляется отдельно от уведомления об обработке персональных данных по ст.22.

ч.5 ст.18 152-ФЗ: При сборе персональных данных, в том числе посредством сети «Интернет», запись, систематизация, накопление, хранение, уточнение, извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории РФ, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 закона.

п.1 ч.1 ст.18.1 152-ФЗ: Оператор, являющийся юридическим лицом, обязан назначить ответственного за организацию обработки персональных данных — это одна из мер, необходимых и достаточных для выполнения требований закона (ч.1 ст.18.1).

п.1 ч.1 ст.18.1 152-ФЗ: Оператор обязан издать документы, определяющие политику в отношении обработки персональных данных, и локальные акты, устанавливающие для каждой цели обработки категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения персональных данных.

п.2 ч.1 ст.18.1 152-ФЗ: Оператор обязан применять правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со статьёй 19 закона.

п.3 ч.1 ст.18.1 152-ФЗ: Оператор обязан осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных закону, принятым в соответствии с ним нормативным актам, требованиям к защите данных, своей политике и локальным актам.

п.4 ч.1 ст.18.1 152-ФЗ: Оператор обязан провести оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения закона, и соотнести этот вред с принимаемыми мерами.

п.5 ч.1 ст.18.1 152-ФЗ: Оператор обязан ознакомить работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, требованиями к защите данных, документами о политике оператора и локальными актами, и (или) обучить этих работников.

ч.2 ст.18.1 152-ФЗ: Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите персональных данных.

ч.1 ст.19 152-ФЗ: Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

п.6 Положения №687: Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте обработки ими персональных данных, категориях обрабатываемых данных, а также об особенностях и правилах осуществления такой обработки.

п.13 Положения №687: Обработка персональных данных без использования средств автоматизации должна вестись так, чтобы по каждой категории данных можно было определить места хранения материальных носителей и установить перечень лиц, осуществляющих обработку либо имеющих к ним доступ.

п.14 Положения №687: Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

п.15 Положения №687: При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним. Перечень необходимых мер и лиц, ответственных за их реализацию, устанавливается оператором.

п.8 ст.86 ТК РФ: Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.

ст.87 ТК РФ: Порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований Трудового кодекса и иных федеральных законов.