Персональные данные: соответствие требованиям и сопровождение

Типовой комплект описывает обработку, которая не совпадает с фактической: цели, категории данных, получатели и сроки хранения у каждой компании свои.

Расхождение между документами и практикой само является нарушением и обнаруживается при обращении субъекта или при проверке. Документы составляются с учетом процессов конкретной компании, состав комплекта согласуется до начала работы.

Согласие является одним из оснований обработки и требуется не в каждом случае. Получение и использование данных, необходимых для исполнения договора с клиентом или для выполнения обязанностей работодателя, допускается на других основаниях.

Согласие запрашивается там, где иного основания нет, и оформляется отдельно от других документов. Для каждой цели обработки основание определяется при аудите.

Оператор обязан подать уведомление до начала обработки. Сведения готовятся по фактической обработке: цели, категории данных и субъектов, меры обеспечения безопасности, наличие трансграничной передачи. Если уведомление подано ранее, а процессы изменились, сведения в реестре операторов уточняются.

Отдельно проверяется, не относится ли обработка к случаям, когда уведомление не требуется.

Сроки уведомления Роскомнадзора исчисляются часами, действия начинаются сразу: фиксация обстоятельств, определение объема затронутых данных, подготовка уведомлений, взаимодействие с контролирующим органом.

Одновременно документируются принятые меры: они учитываются при рассмотрении вопроса об ответственности. Сроки и адресаты уведомлений проверяются на дату инцидента.

Применяются почасовая ставка, фиксированное вознаграждение или смешанная модель; в отдельных случаях часть вознаграждения зависит от достигнутого результата. Стоимость определяется с учетом фактически затраченного времени, сложности задачи и общих сроков реализации проекта и согласуется до начала работы.