Юрист по персональным данным в Екатеринбурге

Обработкой персональных данных занимается практически любая организация: у неё есть работники, клиенты, форма обратной связи, система учёта. Требования при этом одинаковы и для крупной компании, и для небольшого предприятия, а размеры ответственности за их нарушение выросли настолько, что игнорировать вопрос стало дороже, чем решить. Наши юридические услуги в этой области сводятся к практическому результату: комплект документов, соответствующий вашим реальным процессам, и готовность к проверке. Работаем с компаниями Екатеринбурга и Свердловской области, а также дистанционно с другими регионами.

Содержание

• Кто считается оператором
• Какие документы нужны
• Согласие и основания обработки
• Проверки и жалобы
• Помощь тем, чьи данные нарушены
• Типичные нарушения
• Стоимость и сроки
• Примеры из практики
• Почему стоит обратиться к нам

Кто считается оператором

Оператором является любое лицо, организующее обработку персональных данных, — независимо от размера и вида деятельности. Если вы принимаете на работу сотрудников, ведёте базу клиентов, собираете заявки через форму на странице, записываете обращения по телефону, вы уже оператор со всеми обязанностями. Распространённое заблуждение состоит в том, что требования касаются только крупных организаций и тех, кто работает с чувствительными сведениями. Это не так: объём обязанностей различается, но их наличие — нет.

Какие документы нужны

• политика в отношении обработки, размещённая в открытом доступе;
• приказ о назначении ответственного за организацию обработки;
• перечень обрабатываемых данных и целей обработки по каждому процессу;
• формы согласий, соответствующие реальным целям;
• правила рассмотрения обращений субъектов;
• порядок доступа работников к данным и их обязательства о неразглашении;
• документы о мерах защиты и о местах хранения;
• уведомление надзорного органа об обработке.

Ключевое требование — соответствие документов действительности. Комплект, скачанный из сети, при проверке приносит больше вреда, чем его отсутствие: расхождение между заявленным и фактическим порядком фиксируется как отдельное нарушение. Поэтому мы начинаем с описания реальных процессов, а документы составляем под них.

Согласие и основания обработки

Согласие — не единственное основание, и не всегда лучшее. Обработка допустима также для исполнения договора, для соблюдения обязанностей, установленных законом, и в ряде других случаев. Ошибка многих компаний — собирать согласие там, где обработка и без него правомерна, и не собирать там, где оно необходимо.

Отдельные требования установлены для распространения данных и для передачи их третьим лицам, в том числе подрядчикам: с ними нужно оформлять поручение на обработку с указанием перечня действий и требований к защите. Этот пункт упускают почти всегда, а он проверяется.

Проверки и жалобы

Поводом чаще всего становится жалоба — уволенного работника, недовольного клиента, получателя рассылки. Проверка начинается с запроса документов, и вот на этом этапе ещё многое можно исправить: срок на ответ даёт возможность привести комплект в порядок, если он неполон.

Что мы делаем

1. анализируем запрос и определяем, какие процессы попали в предмет проверки;
2. готовим ответ с приложением документов, не выходя за пределы запроса;
3. устраняем выявленные пробелы до окончания проверки;
4. сопровождаем взаимодействие и представляем интересы компании;
5. обжалуем предписания и постановления, если они необоснованны.

Помощь тем, чьи данные нарушены

Мы работаем и на другой стороне. Если ваши данные обрабатывают без согласия, передали третьим лицам, используют для рассылок или разгласили, вы вправе требовать прекращения обработки, уничтожения данных и компенсации морального вреда. Порядок такой: письменное требование оператору, затем жалоба в надзорный орган, затем суд. Отдельная частая ситуация — когда после отказа от услуг компания продолжает звонить и присылать сообщения: это самостоятельное нарушение, по которому добиваются и прекращения, и компенсации.

Типичные нарушения

• политика отсутствует или не соответствует фактическим процессам;
• уведомление надзорного органа не направлено;
• согласие сформулировано общо, без указания конкретных целей;
• согласие получено в форме, не позволяющей от него отказаться;
• с подрядчиками не оформлено поручение на обработку;
• данные хранятся дольше, чем необходимо для заявленных целей;
• обращения субъектов не рассматриваются в установленный срок;
• отсутствуют обязательства работников о неразглашении.

Стоимость и сроки

Примеры из практики

Проверка по жалобе уволенного. В компанию из Екатеринбурга поступил запрос после жалобы бывшего работника. Комплект документов был неполным. За отведённый на ответ срок мы привели документы в соответствие с процессами и подготовили ответ — проверка окончена без предписания.

Шаблон из сети. Организация использовала скачанную политику, где были заявлены процессы, которых у неё нет, и не описаны фактические. Расхождение зафиксировали как нарушение. Мы составили документы под реальные процессы, повторных претензий не возникало.

Подрядчики без поручения. Компания передавала данные клиентов сервису рассылок и службе доставки без оформления поручения на обработку. Документы оформлены, требования к защите закреплены, риск устранён.

Защита субъекта. Клиенту продолжали звонить после письменного отказа от рассылки. Требование оператору результата не дало, после жалобы обработка прекращена, взыскана компенсация морального вреда.

Почему стоит обратиться к нам

Мы не выдаём типовые комплекты: сначала описываем ваши процессы, потом составляем документы под них, потому что при проверке сверяют именно соответствие. Работаем с компаниями Екатеринбурга и Свердловской области, а также дистанционно — эта задача не требует личных встреч. И помогаем обеим сторонам: и операторам, приводящим обработку в порядок, и людям, чьи данные использовали без оснований.

Опишите, какие данные вы собираете и как — первая оценка бесплатна, по её итогам вы получите перечень того, чего не хватает, и стоимость приведения в порядок.