Комплект по персональным данным нужно строить от реальных целей и способов обработки. Нельзя получить универсально достаточный набор, заменив название организации в чужих шаблонах. Интегратор помогает описать систему и реализованные меры, а правовые основания обработки и обязанности оператора требуют самостоятельной проверки.
Составьте карту обработки
Для каждой цели перечислите категории субъектов, данные, источники, операции, получателей и места хранения. Включите выгрузки, копии, журналы и обращения в поддержку, если они содержат соответствующие сведения. Не ограничивайтесь основной базой приложения. Уточните, кто определяет цели и действия, а кто выполняет работу по поручению. Эти обстоятельства проверяет заказчик с юристом, а не выводит инженер только по расположению серверов. Карта помогает обнаружить, что документы описывают один процесс, тогда как новая интеграция фактически добавила другой состав данных и иной круг доступа.
Сверьте организационные документы со статьёй 18.1
Статья 18.1 Закона № 152-ФЗ предусматривает, в частности, назначение юридическим лицом ответственного за организацию обработки, политику и локальные акты, внутренний контроль и ознакомление работников. Состав актов должен отражать цели, категории и перечень данных, способы, сроки обработки и хранения, порядок уничтожения и процедуры предотвращения нарушений. Не объявляйте любое название шаблона прямым требованием закона. Важнее содержание и применимость. Публичная политика и внутренние технические материалы имеют разное назначение: публиковать секретные настройки вместе с политикой не следует. Конкретный комплект определяют после анализа обработки.
Подготовьте сведения о защите
Статья 19 связывает безопасность с определением угроз, организационными и техническими мерами, правилами доступа, регистрацией действий и контролем. Интегратор готовит описание границ, состава компонентов, потоков и настроек. Для выбора мер и определения уровня защищённости нужны применимые подзаконные требования; не выводите уровень по числу серверов или названию продукта. Различайте подтверждение настройки и заключение о соблюдении всех обязанностей. Протокол проверки доступа не доказывает законность цели обработки. В реестре документов укажите, какие материалы предоставляет оператор, какие готовит исполнитель и кто подтверждает их достаточность.
Свяжите документы с жизненным циклом данных
Опишите получение, использование, передачу, исправление, хранение и удаление сведений. Для каждой операции укажите владельца процедуры и техническую реализацию. Если политика обещает удаление, а приложение не позволяет выполнить его без потери чужих данных, это вопрос для совместного решения. Проверьте копии и архивы: удаление записи из рабочей базы не объясняет дальнейшее состояние всех экземпляров. Сроки и основания определяют по конкретной обработке и применимым требованиям. Не придумывайте одинаковую периодичность пересмотра всех документов как законную норму; назначьте организационный порядок и события, требующие внеплановой проверки.
Пример: подключение службы обращений
В учебном проекте к системе кадров подключается служба обращений. Вместе с текстом запроса могут передаваться сведения о сотруднике и вложения. Команда описывает новый поток, состав данных, круг поддержки и места сохранения. Юрист проверяет основание обработки, ответственный оператора обновляет применимые документы, инженер настраивает доступ и ограничения выгрузки. В испытания включают проверку разрешённых ролей и процедур удаления по согласованному сценарию. Если вложения сохраняются в отдельном хранилище, его не исключают из карты только потому, что оно относится к другому приложению.
Передайте проверяемый комплект, а не обещание
Сохраните редакции документов, подтверждения настроек и перечень открытых вопросов. Проверьте соответствие терминов между политикой, картой обработки и техническими схемами. Ответственные оператора должны понимать, что поддерживать при смене цели, состава данных или подрядчика. При новом соединении повторно рассматривайте затронутые основания и меры. Не утверждайте, что А1, хранилище документов или наличие модели угроз гарантирует соответствие 152-ФЗ. Документация организует доказательства и работу, но правовая оценка, фактическая реализация и регулярный контроль остаются самостоятельными задачами назначенных специалистов.
Проверка перед завершением
- ✓Учитывайте копии и внешние соединения.
- ✓Проверяйте содержание актов, а не названия.
- ✓Отделяйте настройку защиты от правового основания.
Частые вопросы
Есть ли один обязательный набор шаблонов для всех?+
Модель угроз заменяет политику обработки?+
Продукт · Цены · Все материалы