Организация обработки персональных данных

Что включает организация обработки персональных данных

Организация обработки персональных данных — это выстраивание единой системы, которая связывает фактические процессы компании, правовые основания обработки, внутренние документы и ежедневные действия сотрудников.

Для этого необходимо определить, какие персональные данные получает и использует компания, для каких целей они нужны, где хранятся, кто имеет к ним доступ, кому они передаются и в какой момент обработка должна быть прекращена.

Такая работа охватывает не только внутреннюю документацию, но и кадровые процессы, взаимодействие с клиентами и подрядчиками, сайт, CRM, рассылки, обращения субъектов персональных данных и используемые информационные системы.

Что необходимо организовать

Состав системы зависит от деятельности компании и используемых процессов. Как правило, необходимо определить:

• категории субъектов персональных данных;
• перечень обрабатываемых персональных данных;
• цели и правовые основания обработки;
• источники получения персональных данных;
• порядок предоставления доступа сотрудникам;
• места и способы хранения информации;
• сроки обработки и хранения данных;
• порядок передачи данных третьим лицам и подрядчикам;
• порядок работы с сайтом, CRM, рассылками и другими сервисами;
• порядок рассмотрения обращений субъектов персональных данных;
• действия при изменении или отзыве согласия;
• порядок прекращения обработки и удаления данных;
• ответственных сотрудников и распределение обязанностей;
• необходимый комплект внутренних и внешних документов.

Какие процессы компании учитываем

При организации обработки персональных данных необходимо учитывать все основные каналы, через которые компания получает или использует информацию о физических лицах.

• кадровую работу и данные работников;
• подбор кандидатов и работу с резюме;
• клиентские базы;
• CRM и иные информационные системы;
• формы заявок и обратной связи на сайте;
• личные кабинеты и регистрацию пользователей;
• рассылки и маркетинговые коммуникации;
• cookie и сервисы аналитики;
• видеонаблюдение;
• договорные отношения с физическими лицами;
• взаимодействие с подрядчиками и уполномоченными лицами;
• обращения субъектов персональных данных.

Что входит в услугу

Конкретный объем работы определяется после изучения деятельности компании и может включать:

• инвентаризацию процессов обработки персональных данных;
• определение категорий субъектов и состава обрабатываемых данных;
• определение целей обработки;
• проверку и определение правовых оснований обработки;
• анализ существующих документов и процедур;
• формирование необходимого комплекта документов;
• разработку политик, положений, согласий и уведомлений;
• определение порядка доступа сотрудников к персональным данным;
• разработку порядка хранения, передачи и удаления данных;
• проработку взаимодействия с подрядчиками и уполномоченными лицами;
• организацию порядка работы с обращениями субъектов персональных данных;
• анализ процессов на сайте и в CRM;
• подготовку рекомендаций по формам, чекбоксам и уведомлениям;
• распределение ответственности между сотрудниками;
• подготовку внутренних инструкций и порядка действий;
• рекомендации по внедрению подготовленной системы в работу компании;
• консультации сотрудников, участвующих в обработке персональных данных.

Как проходит работа

1. Изучаем процессы компании

   Определяем, какие подразделения работают с персональными данными, какие данные используются, откуда они поступают, где хранятся и кому передаются.

2. Определяем правовую модель обработки

   Для каждого процесса определяем цели, правовые основания, категории субъектов, сроки обработки и другие условия работы с данными.

3. Формируем документы и процедуры

   Разрабатываем необходимый комплект документов и определяем внутренний порядок доступа, хранения, передачи, изменения и удаления персональных данных.

4. Связываем документы с бизнес-процессами

   Проверяем работу сайта, CRM, кадровых процессов, подрядчиков и других систем и приводим фактическую модель работы в соответствие с подготовленными документами.

5. Внедряем порядок работы

   Определяем ответственность сотрудников, передаем рекомендации по применению документов и формируем понятный порядок действий для текущей работы с персональными данными.

Что получает компания

• Понятную структуру обработки данных. Определено, какие данные используются, для каких целей и на каких основаниях.
• Согласованный комплект документов. Политики, согласия, внутренние документы и процедуры соответствуют фактическим процессам компании.
• Распределение ответственности. Сотрудники понимают, кто и в каких пределах работает с персональными данными.
• Порядок действий. Определены правила доступа, хранения, передачи, удаления данных и работы с обращениями субъектов.
• Связь юридических требований с IT и бизнес-процессами. Сайт, CRM, формы, рассылки и взаимодействие с подрядчиками учитываются как часть общей системы.

Частые вопросы