Вы организация или ИП с сотрудниками или клиентами — вы уже оператор персональных данных. Вот что это означает на практике.
Обязанности оператора по 152-ФЗ одинаковы и для ООО, и для ИП. Размер компании не освобождает от требований — меняется только размер штрафа.
Что должно быть у каждого оператора:
1. Уведомление в РКН — подаётся через portal.rkn.gov.ru до начала обработки ПДн. Без уведомления — штраф до 300 000 ₽ для юрлица (ч. 1 ст. 13.11 КоАП РФ).
2. Политика обработки персональных данных — опубликована на сайте, доступна по прямой ссылке с каждой страницы, где есть форма сбора данных.
3. Согласие субъекта ПДн — отдельный чек-бокс на форме, не проставленный по умолчанию, со ссылкой на политику. Нельзя объединять с согласием на договор или рассылку.
4. Локализация данных — первичный сбор ПДн граждан РФ только на серверах в России (ч. 5 ст. 18 152-ФЗ). Google Forms, Typeform, Mailchimp с зарубежной инфраструктурой — не подходят.
5. Внутренние документы — приказ о назначении ответственного за ПДн, регламент обработки, журнал запросов субъектов.
6. Уведомление об утечке — при инциденте у вас 24 часа на уведомление РКН и 72 часа на уведомление пострадавших (ч. 3.1 ст. 21 152-ФЗ).
Для ИП база та же, но штрафы ниже: как правило, в 5–10 раз меньше, чем для юрлиц. Требования к документам — идентичные.
#152ФЗ #персональныеданные #РКН #чеклист #compliance