Конечно же аудит требуется проводить не только для того, чтобы подать уведомление в Роскомнадзор. Вот это скорее финишная прямая на пути легитимизации обработки персональных данных.
Аудит необходим абсолютно всем юридическим лицам, осуществляющим обработку персональных данных, чтобы:
-выявить все процессы обработки персональных данных ,
-определиться с правовым основанием обработки персональных данных, возможно, подготовить согласие на обработку персональных данных, если не окажется никаких иных законных оснований,
- определить для каждой цели обработки какие данные обрабатываются, исключить избыточность обработки,
- установить чьи это данные, как долго их необходимо обрабатывать и как поступить, когда срок обработки персональных данных истечет или цель обработки будет достигнута,
- рассмотреть сайт оператора с точки зрения входа персональных данных,
- определить где хранятся данные и кто имеет к ним доступ,
- и еще много других вопросов, это я лишь задала направление мысли 💭
- проанализировать имеющиеся документы оператора на предмет их актуальности и достаточности.

Глобально цель аудита - поиск слабых мест и их нейтрализация.
Если еще глобальные, то слабые места мы ищем, чтобы в конечном счете минимизировать риск утечки персональных данных.

В общем аудит -это не для ✅
Пожалуй, остается добавить только фрагмент с семинара про то, что со стороны нам виднее, внешний аудит куда более эффективен чем внутренний 🤔

Как часто проводить аудит❓
Законодатель не закрепил четких правил.
Но мой опыт подсказывает , чтобы действительно документы были актуальными, в сторону работы с персональными данными надо смотреть 1-2 раза в год.

Что по итогам аудита получает клиент❓

По итогам аудита клиент получает отчет и полный комплект документов, регламентирующих процессы обработки персональных данных.
Это рабочие документы, отражающие специфику обработки конкретной организации, и при должном их использовании (не просто положить в стол❗️) действительно можно снизить риски нарушений закона со стороны оператора.

Абсолютно за каждым нарушением в конечном счете стоит человек, который вовремя не подумал или которого не научили.

В общем, обещайте об этом хотя бы подумать, а еще лучше действовать.

Мы с Александрой заряжены причинять добро операторам 🔋

#аудит

Про важность аудита ❗️

В форме обратной связи на сайте не достаточно формулировки "Согласен на обработку персональных данных в соответствии с Политикой в отношении обработки персональных данных"!
Согласие должно быть конкретным и информированным. В таком виде ☝оно не отвечает требованиям конкретности и информированности.
Текст согласия на обработку необходимо разместить непосредственно под самой формой сбора, либо дать гиперссылку на текст такого согласия.
Подсмотреть, как может выглядеть согласие для формы обратной связи: https://www.yarsec.ru/infobez/zashchita-pdn/poleznye-materialy.
Не будьте жадинами, отправьте это сообщение всем тем, кто запутался😉
Рассказываю в подробностях ⬇

#согласие

А теперь практическое занятие😀 давайте подскажем оператору что нужно добавить под формой сбора?

Не усну, если не расскажу!😄 Что есть номер телефона?
Переходим к терминологии, закрепленной законодателем. "Абонентский номер" - телефонный номер, однозначно определяющий (идентифицирующий) оконечный элемент сети связи или подключенную к сети подвижной связи абонентскую станцию (абонентское устройство) с используемым в ней (в нем) идентификационным модулем.
То есть, без дополнительных сведений о физическом лице, абонентский номер - это не персональные данные.
Парадоксально, но это факт! Ведь большинство из нас воспринимает номер телефона как персональные данные и ставит в один ряд с теми же паспортными данными.
Вряд ли кто-то хочет увидеть свой номер телефона написанным на заборе...😐 хотя, формально ничего не нарушено.
Вряд ли вы активно раздаете свой номер телефона на улице.. или раздаете?) 😱Я вот берегу.
Правоприменительная практика сейчас такова, ее просто надо принять. Возможно, потом будет по-другому. Наша любимая фраза с коллегами "Всё течет, всё меняется..."
Подводя итог, если в форме сбора на сайте предлагается заполнить исключительно номер телефона (тут конечно хочется покопаться в вопросе зачем он одинокий? однако ж, личное дело каждого оператора), то согласие под такой формой сбора размещать не требуется.
И давайте, пожалуйста, не фантазировать на предмет а вдруг там есть еще какой-то сбор данных.
Сейчас я рассказываю о сайте, где есть только один вариант сбора персональных данных - это форма обратной связи, допустим "Заказать обратный звонок" и на этом всё (основано на реальных событиях, такие сайты есть).
На таком сайте не требуется согласие на обработку персональных данных, и политику в отношении обработки персональных данных можно не размещать.
Однако, разместить политику в отношении обработки персональных данных на сайте было бы неплохо, чтобы соблюсти иное требование - о необходимости опубликовать или иным образом обеспечить неограниченный доступ к такому документу (можно и иным способом).
Короче, отвертеться не получится, документ, определяющий политику в отношении обработки персональных данных, нужен абсолютно всем юридическим лицам и ИП (кто работает с персональными данными), вне зависимости от наличия сбора персональных данных на сайте. Таково требование закона!

#персональныеданные

Вторая ситуация, тоже не из области фантастики.
Есть сайт, где в форме сбора оператор запрашивает только номер телефона + установлен сервис веб-аналитики (например, Яндекс.Метрика).
В таком случае должно быть правовое основание для обработки персональных данных, полученных с помощью сервиса веб-аналитики, и должна быть размещена политика в отношении обработки персональных данных.
Посмотреть пример уведомления о факте использования сервиса веб-аналитики: https://www.yarsec.ru/upload/poleznye-dokumenty/Soglasie_metrika.pdf.

#согласие

Чтобы поставить точку в вопросе обработки номера телефона, хочу раскрыть этот вопрос с точки зрения каждого из вас, как субъекта персональных данных.
Наверное вам периодически приходят примерно такие сообщения 👆и возникает мысль: "Ах, редиски (у каждого тут своя терминология🤭), кто-то слил мои персональные данные, буду жаловаться".
Но теперь вы знаете, что такое использование номера телефона не противоречит Федеральному закону "О персональных данных".
Рассказываю, чтобы таких жалоб в Роскомнадзор стало меньше, а одной счастливой Любовью Николаевной - больше😂 (Подмигни, если согласна)

🔔15 июля, а это значит, что сегодня последний день для того, чтобы уведомить Роскомнадзор обо всех произошедших в июне изменениях! Буду периодически об этом напоминать.

Речь о том, что, если в информации, которую ранее предоставляли в реестр операторов персональных данных (уведомление
об обработке персональных данных, уведомление об изменении сведений), произошли изменения, об этом необходимо сообщить в соответствующий территориальный орган Роскомнадзора по месту регистрации оператора (часть 7 статьи 22 Федерального закона «О персональных данных»).

❗Посмотреть информацию в реестре операторов: https://pd.rkn.gov.ru/operators-registry/operators-list/

Заполнить уведомление об изменении сведений: https://pd.rkn.gov.ru/operators-registry/notification/updateform.

#реестроператоров

Персональные данные есть? А если найду? 🧐

Не раз сталкивалась с мнением «Я – индивидуальный предприниматель и никакие персональные данные не обрабатываю».
С некоторыми ИП приходилось проходить все стадии принятия неизбежного: отрицание, гнев, торг, депрессия и принятие.
В Роскомнадзоре на стадии гнева можно было услышать и про лопатой по голове, и куда отправиться со своим уведомлением 😬

Признавайтесь, узнали себя? 👀Давайте разбираться!

В целом не исключаю такую ситуацию, когда ИП действительно не обрабатывает персональные данные, потому что не нанимает работников и не собирает личные данные клиентов. Например, торгует на рынке и никакие данные покупателей не собирает.

А если у ИП есть работники и клиенты, то отрицать факт обработки персональных данных становится невозможно.
Даже от имени клиента – юридического лица всегда
коммуницирует физическое лицо. При этом его фамилия, имя, отчество, должность, место работы, контактные данные (как минимум) нам становятся известны.

✔Приняли, что раз стали ИП, теперь наречены оператором. И что дальше?

Следующий вопрос – надо ли ИП регистрироваться в реестре операторов Роскомнадзора?
Вести обработку персональных данных без уведомления Роскомнадзора можно лишь в исключительных случаях, перечисленных в части 2 статьи 22 Федерального закона «О
персональных данных». Например, обработка таких данных осуществляется исключительно без использования средств автоматизации.
Пум-пум-пум…Автоматизация…Есть она или нет? 😳🤔
Почувствовали легкий дискомфорт от количества нюансов, с которыми предстоит разобраться?

Вы используете средства автоматизации, если у вас:
✔безналичная форма оплаты труда (в реестрах на перечисление заработной платы указаны персональные данные);
✔бухгалтерская и иная отчетность сдается в
электронном виде;
✔есть сайт и Вы получаете через него заявки клиентов (в том числе онлайн торговля);
✔на сайте установлены сервисы веб-аналитики;
✔осуществляется обработка персональных данных в
Excel и Word;
✔переписка с поставщиками (явно же не почтовыми голубями🕊);
✔ получаете данные клиентов через мессенджер/социальные сети.
Конечно, это не все случаи. Но они очень показательные (основаны на официальных ответах Роскомнадзора, судебной практике и опыте)!

Кивнули хотя бы на один из пунктов, автоматизация есть, а значит и уведомление об обработке персональных данных в Роскомнадзор должно быть 🤝

И пару слов о самозанятых.
При осуществлении предпринимательской деятельности самозанятым могут быть получены персональные данные, например, его покупателей или заказчиков –физических лиц. В отношении таких данных он должен направить в Роскомнадзор
уведомление. Обоснование будет аналогичным, как и для ИП.

Появилась идея 💡
Есть у меня подруга – начинающий предприниматель, если она будет согласна (поставь 🔥 ),на примере разберем, что еще нужно ИП, чтобы обработка персональных данных была законной. Пройдем этот путь вместе!

#персональныеданные
#реестроператоров

Среда - маленькая пятница, поэтому позволю себе немного о личном.
За последние 3,5 месяца сколько раз я отвечала на вопрос о смене работы 🙈скажу я вам, это утомительно.
Поэтому если вдруг кому-то из вас я еще не рассказывала…
⁉️Почему ушла из Роскомнадзора, ведь так долго работала?
Драмы не будет, расходимся 🤣 я ни с кем не ругалась, меня никто не обижал, никто не увольнял! Как такое вообще в голову приходит?!

Все просто…мне захотелось посмотреть, а что есть там , за стенами родного Роскомнадзора? Да и вообще, было бы странно работать там до пенсии, согласитесь (до нее мне еще далековато…)
И вообще, не разделяю мнение о том , что менять надо только плохую работу. Хорошую тоже можно сменить, на другую хорошую, что собственно я и сделала ☺️
Пусть у каждого будет работа мечты, чтоб так улыбаться 🙏🏻

Есть у меня должок…
Я обещала поделиться запросом субъекта (каждого из вас) оператору (любому, кто юзает обрабатывает сведения о вас).

Ответ на такой запрос оператор обязан предоставить в течение 10 рабочих дней с момента обращения или получения оператором запроса.
Если оператору требуется больше времени на ответ, срок может быть продлен не более чем на 5 рабочих дней, о чем вам должно поступить мотивированное уведомление, с указанием причин продления срока.
Запрос должен быть подписан вашей собственноручной или электронной подписью.

Когда такой запрос потребуется?
✔ нет четкого понимания зачем и почему оператор обрабатывает сведения о вас,
✔ есть сомнения в актуальности обрабатываемых оператором данных, но в целом вы не против в продолжении отношений с оператором, хотите актуализировать информацию,
✔ есть намерение прекратить эту вакханалию и потребовать удалить персональные данные («ааааа, затрогали уже со своей рекламой🤬»- так же у вас? Иначе бы вопрос об отзыве согласия не возник).

Почему не рекомендую направлять сразу отзыв согласия на обработку персональных данных?
У оператора не возникает обязанности вам что-то отвечать на отзыв согласия. Оператор сам с собой решит, что продолжит обработку, потому что на то есть законные основания, а вы об этом не узнаете до поры до времени (так можно). Раз в законе нет обязанности отвечать, то и вероятность получить ответ от оператора - 50/50, примерно как встретить 🦒 на улице.

Поэтому сначала всё узнаем, потом сжигаем мосты (требуем удалить!)🔥, если действительно в этом есть необходимость.

❗А кстати, если тот оператор - вы, мотайте на ус обязанность, и не нарушайте срок ее исполнения.
В противном случае штраф 40 000-80 000 руб. на юридическое лицо обеспечен (20 000-30 000 руб. для индивидуальных предпринимателей).

В следующий раз расскажу примеры из судебной практики, их таких много.

#защитисвоипд

Суббота, а значит фотографии выходного дня быть ) плодите лучше огурцы, или что больше нравится, но только не проблемы с персональными данными 😁
P.S. Если что знаете, кто решит такие проблемы 💪

Два младших субъекта персональных данных нашей семьи остались на даче проживать свои лучшие каникулы с бабушками. Нам с мужем предстоит выкрутить родительскую тревогу на минимум и собирать их персональные данные через камеру видеонаблюдения 🤣 вы же знали, что запись с камеры видеонаблюдения может относиться к персональным данным?

👍-Так точно
😱-Да лааадно? (шик-шак-шок)

Еще немного о семье 👨‍👩‍👧‍👦
Сведения о близких родственниках и членах семьи работника -это персональные данные этих самых субъектов: супруга(и), детей, родителей и т.д., а не работника.
К работнику будет относиться семейное положение, сведения о наличии детей.
Вроде это очевидно, но ошибка встречается не редко.

❗️Не забывайте выделять самостоятельную категорию субъектов- близкие родственники и члены семьи работника.

Их данные могут обрабатываться в следующих целях: ведение кадрового учета, предоставление социальных гарантий, для начисления налоговых вычетов, информирование в случае наступления чрезвычайной ситуации и т.п.

Собирайте только нужное, не спрашивайте лишнего на всякий случай, сверьтесь есть ли правое основание обработки персональных данных.

P.S. Фото с супругом, на которое не потребуется согласие на распространение фотоизображения и его персональных данных🤣

#персональныеданные
#152фз

Нормально делай, нормально будет!

У меня профессиональная деформация, читаю все согласия на обработку персональных данных и все политики, куда бы я не обращалась за услугами.. Это к вопросу о том, да кто их вообще читает? 😀 Опыт работы в Роскомнадзоре показывает, что пользователи услугами все чаще предварительно мониторят информацию, и документы по персональным данным - не исключение.

Вчера до бронирования стола в ресторане почитала положение об обработке персональных данных, которое размещено на сайте.

И еще один оператор в копилку тех, кто запутался с самого начала.
Что еще раз подтверждает, персональные данные - не самая простая тема и каждый должен заниматься своим делом.

В наименовании положения указано, что это документ некого индивидуального предпринимателя, а далее по тексту дано понятие "оператор" и приписка, что оператором является общество с ограниченной ответственностью "такое-то".

Вообще, из этого положения прям сквозит, что его списали где-то и даже не очень думали (а надо бы...).
Например, о какой "заявке на обследование о возможности подключения физического лица" может идти речь применимо к обработке персональных данных клиентов ресторана?
Ваши версии, господа?

Указано, что договор (публичная оферта) содержит персональные данные клиентов🙈

Цель обработки - оказание услуг связи в соответствии с заключенным договором, абонентское обслуживание...
Напоминаю, что я все еще на сайте ресторана. И вот стесняюсь спросить, какие услуги связи и какое абонентское обслуживание?🤔

Пока читала, несколько раз злилась и бросала это дело. Но снова возвращалась с мыслью "ребята, давайте наваливайте еще кринжа".
В общем, это сплошное недоразумение.

Можно было обнять монитор и плакать, но лучше я подскажу коллегам из коммерческого отдела кого надо срочно спасать🦸‍♀️

P.S. Конечно, разработкой документов по персональным данным может заниматься кто угодно в организации, вопрос - каким будет итог? и как скоро придет письмо счастья из Роскомнадзора?

#политикаконфиденциальности
#персональныеданные

В интернетах пишут, что в крупных компаниях набирает популярность роль Chief Happiness Officer (CHO), или "менеджер по счастью", который занимается непосредственно вопросами эмоционального благополучия сотрудников. Спасибо, теперь знаю, чем занималась несколько лет в своем отделе😂

Но а мы с вами давайте про другую, обязательную роль - ответственный за организацию обработки персональных данных (ИП и самозанятые расходимся, это не для вас).

Все чаще мне задают вопрос: почему именно кадровик или бухгалтер должен тянуть эту лямку? Есть у вас варианты?