Персональные данные: юридическое сопровождение по 152-ФЗ
Помогаем привести в порядок обработку персональных данных —
на сайте, в цифровом продукте и внутри организации.
Проверяем документы и фактические процессы, определяем
необходимые изменения и готовим юридическое оформление
с учетом вашей деятельности.
Можно обратиться с отдельной задачей — подготовить уведомление
Роскомнадзора или политику для приложения — либо заказать
комплексную работу: от аудита до документов и рекомендаций
по их внедрению.
На выходе — необходимые документы, рекомендации для сайта
или цифрового продукта и понятный порядок дальнейшей работы
с персональными данными внутри организации.
Когда обработка данных требует юридического внимания
Сайт собирает заявки, регистрации или подписки
Нужно проверить формы, согласия, политику и подключенные
сервисы. Важно понять, куда поступают данные пользователей
и как они используются после отправки заявки.
Уведомление Роскомнадзора не подавали или сведения устарели
Нужно определить необходимость уведомления и корректно
описать обработку данных. Если изменились цели, используемые
системы или деятельность организации — проверить
актуальность ранее поданных сведений.
Документы есть, но работа организации изменилась
Появились новые услуги, сайты, категории клиентов или способы
обработки. Требуется выяснить, что можно сохранить,
а какие документы и процедуры необходимо обновить.
Данные сотрудников и клиентов используются в разных системах
Кадровые документы, CRM, почта, облачные хранилища
и подрядчики образуют общую систему обработки.
Нужно определить основания, порядок доступа, передачи
и хранения данных.
Запускается мобильное приложение или интернет-сервис
Нужны документы, которые учитывают функции продукта,
регистрацию пользователей, аналитику и сторонние интеграции.
Политика конфиденциальности должна соответствовать
фактической работе приложения.
Используются зарубежные сервисы или AI
Необходимо оценить, какие данные передаются внешнему сервису,
кому и на каких условиях. Для AI-проекта может потребоваться
отдельный анализ архитектуры обработки и решений
по обезличиванию.
Внедряется биометрический СКУД
Нужно определить правовой режим системы и оформить обработку
данных работников и посетителей: основания, согласия,
внутренние правила и порядок доступа на территорию.
Предстоит взаимодействие с Роскомнадзором
Получен запрос, назначен профилактический визит или требуется
подготовка к проверке. Нужно оценить документы и процессы,
подготовить пояснения и определить дальнейшие действия.
Какие задачи решаем
01
Документы и внутренние процедуры
Разрабатываем и обновляем политики, согласия, положения,
приказы и инструкции под деятельность организации.
Оформляем работу с данными сотрудников и клиентов,
распределение обязанностей, порядок хранения, уничтожения
и рассмотрения обращений.
02
Сайты, интернет-сервисы и мобильные приложения
Проверяем юридическое оформление сбора и использования данных.
Готовим политику конфиденциальности, необходимые согласия
и рекомендации по формам, cookie, аналитике и другим
интеграциям. Для мобильных приложений учитываем требования
площадок, на которых размещается продукт.
03
Уведомления Роскомнадзора
Готовим уведомления об обработке персональных данных
и изменения к ранее поданным сведениям. Помогаем описать
цели, категории данных, используемые системы и меры защиты
в соответствии с фактической работой организации.
Сопровождаем подачу в согласованном объеме.
04
Подрядчики, локализация и трансграничная передача
Анализируем обработку данных в CRM, облачных сервисах
и при работе с внешними исполнителями. Определяем роли
участников, проверяем договорные условия и готовим поручения
обработки. Оцениваем соблюдение требований к локализации,
оформляем документы и уведомление о трансграничной передаче.
05
AI-проекты и обезличивание
Анализируем, какие данные поступают в AI-продукт
и передаются внешним сервисам. Оцениваем решения
по обезличиванию, использование прокси-анонимайзера
и условия хранения запросов. Готовим юридические требования
к обработке и документы, согласованные с архитектурой продукта.
06
Биометрия и системы контроля доступа
Проводим юридический анализ использования биометрических
данных в СКУД. Определяем применимые требования,
готовим согласия и внутренние документы, оформляем порядок
работы с сотрудниками и посетителями.
07
Аудит и взаимодействие с Роскомнадзором
Проводим правовой аудит документов и процессов,
при необходимости — с выездом и интервью с ответственными
сотрудниками. Готовим заключение и рекомендации.
Помогаем при запросах, профилактических визитах,
проверках и инцидентах с персональными данными.
Изучаем весь путь данных — от сбора до удаления
Чтобы определить необходимые документы и изменения,
сначала выясняем, как организация работает
с персональными данными.
01
Чьи данные и для чего используются
Работники, соискатели, клиенты, пользователи,
представители контрагентов и другие категории.
Проверяем цели, правовые основания и состав данных:
что необходимо для работы, а что собирается избыточно.
02
Как данные поступают в организацию
Формы на сайте, регистрация в приложении, договоры,
анкеты, почта и мессенджеры. Сопоставляем фактический
сбор с информацией для пользователей и порядком получения
согласий там, где они нужны.
03
Где данные хранятся и кто имеет доступ
CRM, учетные системы, облачные сервисы, рабочие компьютеры
и бумажные архивы. Изучаем распределение доступа
и сведения о размещении баз данных, необходимые
для правовой оценки локализации.
04
Кому и на каких условиях передаются
Бухгалтерия на аутсорсинге, разработчики, службы доставки,
сервисы рассылок и другие получатели. Проверяем основания
передачи, договоры и наличие зарубежных участников обработки.
05
Как данные используются, хранятся и удаляются
Реклама, кадровый учет, обслуживание клиентов
и другие процессы. Проверяем сроки хранения,
порядок уничтожения, действия при отзыве согласия,
увольнении сотрудника и обращении человека
по поводу его данных.
06
Соответствуют ли документы реальным процессам
Сопоставляем политику, согласия, внутренние акты,
договоры и сведения в уведомлении Роскомнадзора.
Выявляем расхождения и определяем,
что необходимо изменить.
Глубина проверки зависит от выбранной услуги.
По ее результатам определяем, какие документы подготовить,
что доработать на сайте и какие процедуры организовать
внутри компании.
От отдельной задачи до комплексной работы
Объем работы зависит от состояния документов,
деятельности организации и используемых сервисов.
До начала проекта согласовываем состав услуг,
результат, сроки и стоимость.
01
Юридические консультации
по персональным данным
за час
02
Можно обратиться с одним
конкретным вопросом
Подходит, если нужно подготовить уведомление,
разработать политику для приложения,
проверить документы или оформить конкретный
процесс обработки данных.
-
Уведомление Роскомнадзора
об обработке персональных данных
от 10 000 руб.
-
Документы по трансграничной передаче
и уведомление Роскомнадзора
от 30 000 руб.
Подготовку отдельных документов,
политики конфиденциальности для приложения
и другие задачи оцениваем после изучения проекта.
Для организаций, которым необходимо оформить
основные процессы обработки персональных данных
и подготовить документы для сайта и внутренней работы.
БАЗОВЫЙ
01
Основные документы, уведомление Роскомнадзора
и правовая проверка сайта.
В состав работы входят:
-
подготовка или проверка уведомления
об обработке персональных данных; - политика обработки персональных данных;
-
необходимые согласия для клиентов,
пользователей и работников, включая согласие
на рекламу, если она направляется; - проверка сайта и рекомендации по изменениям;
-
правовая проверка соблюдения требований
к локализации.
Ориентировочный срок
5 рабочих дней
УНИВЕРСАЛЬНЫЙ
02
Всё из базового пакета и расширенное оформление
внутренних процедур организации.
Дополнительно готовим документы и материалы
по вопросам:
-
обработки данных работников,
клиентов и контрагентов; - хранения и уничтожения данных;
-
обработки без использования
средств автоматизации; -
оценки вреда и организационных
мер защиты; -
назначения ответственного
и распределения обязанностей; -
внутреннего контроля,
учета обращений и ведения журналов; - обработки данных подрядчиками;
- инструктажа и ознакомления сотрудников.
В комплект входят около 25 документов и материалов,
а также пошаговая инструкция по их применению.
После внесения рекомендованных изменений проводим
повторную правовую проверку сайта.
Ориентировочный срок
10 рабочих дней
Точный перечень документов определяем с учетом
деятельности организации. Сроки отсчитываются
с получения необходимых сведений и материалов.
Количество сайтов, операторов и особенности обработки
учитываем при согласовании объема работы.
01
Аудит сайта
Углубленная правовая проверка обработки данных
в цифровом продукте: пользовательские сценарии,
формы, документы, аналитика и внешние интеграции.
По результатам готовим заключение и рекомендации.
от 50 000 руб.
02
Полный аудит персональных данных
Проверка документов и фактических процессов
организации, подготовка рекомендаций
и исправление документов в согласованном объеме.
При необходимости — выезд, изучение мест обработки
и хранения данных, интервью с ответственными сотрудниками.
от 95 000 руб.
03
Биометрия и внедрение СКУД
Анализируем работу системы и определяем требования
к использованию биометрических данных. Готовим согласия,
внутренние документы и рекомендации по пропускному
режиму, включая порядок прохода при отказе от биометрии.
от 55 000 руб.
04
AI-проекты и обезличивание
Анализируем обработку данных в AI-продукте,
передачу внешним сервисам и решения по обезличиванию.
Готовим юридические требования и документы
с учетом архитектуры продукта, локализации
и трансграничной передачи.
После изучения проекта
05
Взаимодействие с Роскомнадзором
Помогаем подготовиться к запросам,
профилактическим визитам и проверкам,
оформить пояснения и необходимые документы.
При инцидентах с персональными данными
сопровождаем юридическую часть реагирования.
По ситуации
Результат, который можно использовать в работе
Состав результата зависит от выбранной услуги.
В комплексном проекте он может включать
следующие материалы.
01
Документы под деятельность организации
Политики, согласия, внутренние акты
и договорные условия с учетом ваших сотрудников,
клиентов, услуг и используемых систем.
Документы передаем в редактируемом формате.
02
Заключение и перечень необходимых изменений
По результатам аудита объясняем выявленные
проблемы и предлагаем действия для их устранения.
Руководитель понимает, какие вопросы требуют
решения и кого необходимо подключить.
03
Рекомендации для сайта или приложения
Что разместить, какие формы и тексты изменить,
как оформить согласия и какие вопросы передать
разработчикам. Объем рекомендаций соответствует
проверенным функциям и сценариям продукта.
04
Подготовленные уведомления Роскомнадзора
Сведения, согласованные с деятельностью
организации и документами. Подача уведомлений
или консультация по порядку подачи входят
в работу в соответствии с выбранной услугой.
05
Пошаговая инструкция по внедрению
Какие документы утвердить, кого назначить
ответственным, с чем ознакомить сотрудников
и как применять подготовленные формы
в повседневной работе.
06
Разъяснения и проверка исправлений
Объясняем применение переданных материалов.
Если предусмотрено составом услуги,
после внедрения рекомендаций проводим
повторную правовую проверку.
Внедрение изменений на сайте и организация внутренних
процедур выполняются клиентом и его специалистами
на основе подготовленных документов и рекомендаций.
Четыре этапа — от задачи до применения документов
01
Знакомимся с задачей
Обсуждаем деятельность организации и необходимый
результат. Согласовываем состав работы, стоимость
и сроки. Для сбора информации направляем опросный
лист и запрашиваем документы, сведения о сайтах
и используемых системах.
02
Проводим правовой анализ
Изучаем документы и процессы в согласованном объеме.
Проверяем сайт, основания обработки и взаимодействие
с подрядчиками. Если проект предусматривает выездной
аудит, знакомимся с организацией работы на месте
и общаемся с ответственными сотрудниками.
03
Готовим решение и документы
Разрабатываем документы, уведомления и рекомендации.
Согласовываем с вами сведения и формулировки,
которые зависят от фактической работы организации.
По результатам аудита готовим заключение
с необходимыми изменениями.
04
Объясняем порядок применения
Передаем материалы и разъясняем, как их использовать.
Вы и ваши специалисты внедряете изменения на сайте
и внутри организации. Если это предусмотрено составом
услуги, после исправлений проводим повторную
правовую проверку.
Основную работу выполняем дистанционно.
Необходимость выезда и его условия согласовываем отдельно.
Персональные данные в реальных проектах
Обезличивание данных для AI-стартапа
Команда разрабатывала сервис с использованием внешней
нейросети. Требовалось определить юридическую модель
работы с загружаемыми данными и учесть ее
в архитектуре продукта.
В рамках проекта рассматривались обезличивание,
работа прокси-анонимайзера, условия хранения запросов
и режим zero-retention. Юридический анализ охватывал
движение данных и взаимодействие участников сервиса.
Благодарственные письма клиентов
Клиенты отмечают нашу работу в благодарственных
письмах. Ниже — выбранные письма по направлению
персональных данных.
01
Благодарственное письмо —
Казанский хлебозавод № 3
Посмотреть письмо →
02
Благодарственное письмо клиента
Посмотреть письмо →
Учитываем, как данные связаны
с работой организации
01
Персональные данные и договоры
Обработка данных связана с оказанием услуг,
продажами, трудовыми отношениями и работой
подрядчиков. Рассматриваем эти вопросы вместе,
чтобы договоры, согласия и внутренние правила
соответствовали друг другу.
02
Юридическое оформление и цифровой продукт
Для сайта, приложения или AI-сервиса важно
понимать, что происходит с данными при
использовании продукта. Учитываем
пользовательские сценарии, интеграции
и роли участников. Вопросы, требующие
технических решений, обсуждаем
с командой клиента.
03
Документы и их применение
При подготовке внутренних правил учитываем,
кто будет выполнять предусмотренные действия.
Объясняем порядок применения документов,
чтобы руководитель и сотрудники
понимали свои задачи.
Работаем с бизнесом и НКО, в том числе с IT-проектами,
образовательными организациями, компаниями
в сфере услуг и продаж.
Что важно знать перед началом работы
Можно заказать только уведомление или один документ?
Роскомнадзора, политики для приложения,
поручения обработки или другого документа.
Сначала уточняем задачу и необходимые сведения,
затем согласовываем объем и стоимость.
Достаточно ли политики и согласия под формой на сайте?
с данными. Нужно учитывать, куда поступает заявка,
кто получает доступ, какие сервисы используются
и как долго хранятся сведения. В зависимости
от деятельности могут потребоваться уведомление
Роскомнадзора, внутренние документы
и договорные условия.
Нужно ли получать согласие на любую обработку данных?
на необходимости исполнения договора
или выполнения обязанности, установленной законом.
Для каждой цели определяем подходящее основание;
если требуется согласие, проверяем его содержание
и способ получения.
Нужно ли уведомлять Роскомнадзор, если сайт небольшой или сотрудников нет?
не освобождают от уведомления. Нужно учитывать
фактическую обработку данных и предусмотренные
законом исключения. Проверяем необходимость
уведомления с учетом всей деятельности,
включая заявки, договоры и используемые системы.
Что делать, если у компании несколько сайтов?
оператором, какие данные собираются и куда поступают.
Часть документов может быть общей, если процессы
совпадают, но формы, сервисы и пользовательские
сценарии необходимо учитывать отдельно.
Количество сайтов включаем
в согласованный объем работы.
В чем разница между пакетами и полным аудитом?
и проверку основных вопросов в установленном объеме.
Полный аудит предполагает более глубокое изучение
действующей организации: документов, систем,
доступа, хранения и передачи данных.
При необходимости он включает выезд
и интервью с сотрудниками.
Как оформить работу с CRM, облачным сервисом или подрядчиком?
участник и какую роль выполняет. Затем проверяем
условия сервиса или договора, основания передачи
и требования к обработке. Поручение обработки
готовим там, где отношения сторон
предполагают такую модель.
Входит ли техническая доработка сайта в услугу?
и рекомендации. Изменения в коде, настройках форм,
аналитике и инфраструктуре выполняют ваши
технические специалисты. Если предусмотрена
повторная проверка, после внедрения оцениваем
исправления в согласованном объеме.
Что потребуется от нашей организации?
и сведения о сайтах, системах, подрядчиках
и фактической обработке данных.
При необходимости подключаем ответственных
сотрудников и разработчиков. Полнота информации
влияет на содержание документов и сроки работы.
