Подготавливаем страницу…
Обязанности оператора персональных данных ведутся в одном учёте: согласия и редакции политик, обращения субъектов, допуски и ознакомление работников, инциденты, поручения обработки. Всего 12 обязанностей. Юристы 1ОПД определяют применимый состав и ведут сопровождение по договору.
Разбор занимает 30 минут по видеосвязи: берём одну форму с сайта компании и проходим её путь от отправки до документа, который выдаётся на запрос. Проверка сайта проводится без разговора: адрес сайта и рабочая почта, отчёт приходит на неё.
Обязанности адресованы оператору персональных данных независимо от того, есть ли в штате юрист и DPO. Часть разделов ведёт платформа, часть закрывают юристы 1ОПД по договору сопровождения. Оператором по 152-ФЗ остаётся клиент (ст. 24); 1ОПД обрабатывает персональные данные по поручению (ч. 3 ст. 6).
Состав разделов определяется профилем обработки: в договор входят те, которые относятся к процессам компании. Применимость каждой обязанности определяет юрист 1ОПД по результатам аудита. состав учёта в платформе → работа юристов 1ОПД →
Сведения для ответа записаны на момент приёма согласия: дата, источник, редакция политики и состав переданных данных. Поднимать почту, выгрузки форм и прошлые редакции политики для этого не требуется.
Поиск идёт по всей базе, не ограничиваясь одной формой. Электронная почта или телефон вводятся целиком: по части значения и по имени поиск не работает, персональные данные хранятся зашифрованными.
Дата и время приёма, сайт и форма, срок действия, отметка об отзыве. Рядом PDF согласия и PDF политики в редакциях, действовавших на момент приёма. Эти файлы предъявляются субъекту или Роскомнадзору; контрагенту по тендеру предоставляется выписка о наличии согласия, без персональных данных.
Отмеченные записи или весь найденный набор одним файлом XLSX. Отображение персональных данных требует отдельного действия. Выгрузка реестра, выпуск доказательства и отзыв согласия фиксируются в журнале кабинета с временем; у выгрузки виден автор, включая работников 1ОПД.
Время записи ставит сервер в момент события: из запроса оно не берётся и задним числом не правится. Ответ, собранный через три года, имеет тот же состав, что собранный сегодня. сроки ответа по типам требований →
Какие требования применимы к обработке, что указывается в ответе субъекту и в уведомлении Роскомнадзора, определяет и подписывает юрист 1ОПД. Платформа фиксирует факты и не толкует их. Ответственность перед субъектом и Роскомнадзором по закону остаётся на операторе, то есть на клиенте (ч. 4 ст. 6, ст. 24 152-ФЗ); ответственность 1ОПД определена договором сопровождения.
Приказы и трудовые документы работники подписывают в системе, принятой у оператора. В 1ОПД фиксируется факт ознакомления: работник, документ, редакция и дата.
Подключать все разделы одновременно не требуется. Обычно начинают с направления, по которому ближайший срок или уже поступило обращение.
Автоматическая проверка публичной части сайта: формы и чекбоксы согласия, политика обработки, cookies, сторонние сервисы. Занимает около минуты, отчёт приходит на указанную почту.
Проверить сайт →Юристы 1ОПД проходят по всем местам, где в компании оказываются персональные данные: сайт, CRM, рассылки, кадры, подрядчики. Результат: состав обработки целиком и перечень расхождений с требованиями 152-ФЗ.
Формы сайта подключаются к реестру. Каждое согласие поступает в учёт с датой, источником и действовавшей редакцией политики. Запись находится по электронной почте субъекта, когда он обратится с запросом.
Порядок приёма согласия →Перечень лиц, допущенных к обработке персональных данных, ведётся с приказом и датой последнего изменения. По инциденту заводится досье: обнаружение, принятые меры, кого и когда уведомили.
Работники знакомятся с документами под подпись. Разбираются ситуации, из которых возникают инциденты: письмо клиентам в открытой копии, выгрузка базы на личную почту, обращение субъекта в личные сообщения работнику.
Политика, формы согласий, приказы, перечень процессов обработки, модель угроз под деятельность компании, без шаблонов из интернета. Каждый документ готовит и подписывает юрист 1ОПД.
Состав пакета документов →Ассоциация ФинТех, ОРИМИ (Greenfield, Jardin), ВебМониторЭкс и другие: брендовые сайты, промо-акции, формы на сайтах клиентов.
Проверка смотрит то, что видно снаружи: формы и чекбоксы согласий, политику обработки, cookies, 75 сторонних сервисов, SSL и заголовки безопасности. Занимает около минуты, отчёт приходит на почту. Если нарушений по проверенным критериям не выявлено, сайт вносится в открытый реестр.
Сайт, прошедший проверку без нарушений по проверенным критериям, вносится в открытый реестр 1ОПД; компания получает бланк с номером записи и QR-кодом. Служба безопасности контрагента, тендерная комиссия или клиент открывают запись самостоятельно, обращение к оператору для этого не требуется.
На странице записи: домен, дата проверки, версия методики, вердикт и перечень проверенных критериев с границами проверки. Запись адресуется ссылкой, содержание бланка при этом не требуется пересылать.
Отсутствие записи в реестре не означает несоответствие. Запись относится к своей дате и только к публичной части сайта: внутренние документы и процессы мы не проверяли. Снимаем запись по первой просьбе, без объяснений: напишите на info@1opd.ru.
Берём одну форму с сайта компании и проходим её путь целиком: как согласие поступает в учёт с датой, источником и редакцией политики; как запись находится через полгода по обращению субъекта; какой документ отправляется контрагенту или прикладывается к ответу. Разбор идёт на материалах компании, презентация не проводится.