Обновите свой список документов по персональным данным: что должно и чего не должно быть в вашей компании

О вебинаре:

Роскомнадзор успешно обходит мораторий на проверки, штрафы за обработку без согласия от субъекта персональных данных выросли, в довершение ко всему нас пугают обещанием оборотных штрафов за утечки. Все эти события спровоцировали всплеск предложений услуг по разработке пакета документов для регулирования работы с персональными данными и прохождения проверок РКН. Стоимость таких услуг высокая, пакет документов зачастую непомерно раздут и не соответствует деятельности компании, а риск штрафа все равно остается.

На вебинаре вы узнаете, какие документы по персональным данным должны быть всегда и в любой компании, а какие – в зависимости от ряда факторов. 

  

Расскажем, как определить адекватный перечень документов по персональным данным именно для вашей компании.

 Почему тема актуальна? 

 Контроль: Регулирующие органы все пристальнее смотрят на то, как компании работают с персональными данными. Штрафы растут, а законы ужесточаются. При этом основной нормативный акт – 152-ФЗ – написан сложно, понять, как именно действовать в той или иной ситуации – непросто.

 Риски: Можно иметь большой пакет документов, но если в них не будет обязательных, либо не будет определенной информации, то все равно есть риск штрафа. Кроме того, избыточные документы – это излишне потраченные деньги и зачатую запутанные процессы, что также может привести к штрафам.

 Задачи развития: Разобраться, какие документы по персональным данным обязательны, какие – желательны, и что необходимо именно вашей компании.

На вебинаре расскажем

  Какие документы напрямую указаны в нормативных актах и какую роль они играют  

  Какие документы напрямую не указаны, но их можно вывести из формулировок закона

  Когда и как несколько документов можно свести в один без риска штрафных санкций

  Откуда берутся перечни в 20 и более документов и что в них полезного, а от чего можно отказаться

 

По итогам вебинара вы узнаете:

   Понимание, какие документы по персональным данным обязательны в каждой компании  

   Какие документы могут быть или желательны при определенных факторах

Краткое содержание вебинара:

00:00:00 Обзор документов для работы с персональными данными
• Обсуждение перечня документов, необходимых для работы с персональными данными в компании.

• Упоминается, что в интернете можно найти множество разных перечней документов, но не все они необходимы.

00:05:01 Важность правильного документационного фона
• Упоминается, что сто пятьдесят второй федеральный закон написан не очень хорошо и запутанно, и за это время сфера персональных данных сильно изменилась.

• Упоминаются повышенные штрафы за отсутствие согласия на обработку персональных данных и за утечки.

00:08:43 Опыт работы с персональными данными
• Упоминается, что автор вебинара имеет опыт работы с персональными данными и европейскими нормативными документами.

• Упоминается, что компания "Бридж Групп" успешно работает с различными клиентами, включая небольшие и крупные организации.

00:10:25 Непонимание природы персональных данных
• Упоминается, что непонимание природы персональных данных и принципов работы с ними является проблемой для многих кадровых специалистов.

00:11:41 Работа с персональными данными
• В видео обсуждается работа с персональными данными в обычных компаниях.

• Упоминается, что с одной стороны, есть требования к минимизации персональных данных, но с другой стороны, есть привычка работать определенным образом и собирать больше данных.

• Законодательство в этой области не идеально составлено, и часто возникают сложности при работе с персональными данными.

00:19:10 Документы, связанные с персональными данными
• В видео обсуждаются документы, которые должны быть в компании, связанные с персональными данными.

• Упоминаются политика или политики, которые определяют, как компания обрабатывает персональные данные, и локальные акты, которые устанавливают процедуры предотвращения нарушений законодательства.

• Количество и объем документов зависит от количества персональных данных, которые компания обрабатывает.

00:22:11 Публикация политик и документов
• В видео подчеркивается, что компания должна опубликовать или иным образом обеспечить доступ к документу, определяющему политику в отношении обработки персональных данных.

• Упоминается, что политика может быть двух видов: более короткая версия, которая описывает обработку на сайте, и более подробная версия, которая описывает все аспекты работы с персональными данными.

00:24:48 Политика обработки персональных данных
• Роскомнадзор проводит проверки сайтов на соответствие политике обработки персональных данных.

• Статистика проверок: из 107 сайтов, проверенных в Дальневосточном федеральном округе, только 4 соответствуют требованиям.

• Политика обработки персональных данных должна содержать информацию о перечне обрабатываемых данных, использовании метрических программ и внешних форм сбора данных.

00:31:01 Реестр процессов
• Если у компании много процессов с персональными данными, то необходимо создать реестр процессов.

• Этот документ должен быть часто обновляемым, так как процессы могут меняться.

• Реестр процессов помогает контролировать все процессы с персональными данными и снижает риск утечек.

00:34:40 Внутренний контроль и аудит
• Компания должна проводить внутренний контроль и аудит соответствия обработки персональных данных законодательству.

• Если компания большая и обрабатывает большое количество персональных данных, то рекомендуется проводить внутренний аудит и показывать его результаты при проверке Роскомнадзора.

00:37:56 Требования к оценке вреда
• В статье 19.152 ФЗ говорится о том, что оператор должен определять угрозы безопасности и оценивать эффективность принимаемых мер.

• Учет машинных носителей и фиксация фактов несанкционированного доступа также являются важными аспектами безопасности.

00:43:14 Работа с персональными данными работников
• Для работы с персональными данными работников требуется отдельный локальный нормативный акт, который описывает все процессы и правила доступа.

• Обучение сотрудников также является важным аспектом, так как оно помогает им понимать и соблюдать правила работы с персональными данными.

00:47:22 Назначение ответственного за организацию обработки персональных данных
• Ответственный за организацию обработки персональных данных является лицом, которое контролирует и ведет реестр процессов, отслеживает точки касания и проблемы.

• Приказ о назначении ответственного за организацию обработки персональных данных является обязательным документом для юридических лиц.

00:50:45 Инфобезопасность и обработка персональных данных
• Если у вас много процессов и много документов, связанных с обработкой персональных данных, можно создать отдельные документы для каждого процесса.

• Если у вас есть реестр информационных систем персональных данных, модель угроз безопасности и перечень технических мер по обеспечению безопасности, это обязательные документы.

• Ответственный за работу с персональными данными может быть как физическое лицо, так и юридическое.

00:53:35 Документы, связанные с обработкой персональных данных
• Приказ об утверждении локальных нормативных актов, форм документов и персональных данных.

• Приказ об утверждении локальных нормативных актов, форм документов и персональных данных может быть утвержден грифом "Утверждено".

• Если вы хотите обрабатывать данные родственников вашего сотрудника с другой целью, вам нужно получить их согласие.

00:56:21 Дополнительные документы и рекомендации
• Форма журнала учета инструктажей по правилам обработки персональных данных не обязательна.

• Перечень обрабатываемых персональных данных бессмысленен без привязки к конкретным целям и субъектам.

• Правила обработки персональных данных без использования средств автоматизации могут быть включены в общий документ, описывающий правила обработки персональных данных в компании.

• План внутренних проверок соответствия обработки персональных данных законодательству может быть разработан внешней компанией, если она исполняет обязанности ответственного за обработку персональных данных.