Какой минимум документов по персональным данным нужен малому бизнесу
Собственник магазина или мастерской часто думает, что 152-ФЗ касается только крупных компаний с большими базами клиентов. На деле оператором персональных данных становится любой бизнес, который собирает имя и телефон в CRM, ведёт кадровые документы сотрудников или передаёт заказ курьеру. Разбираем минимальный пакет документов, который нужно оформить в первую очередь.
Роскомнадзор проверяет оператора персональных данных независимо от оборота компании. Сеть магазинов и мастерская на три человека несут одну и ту же обязанность. Обе должны оформить минимальный пакет документов по 152-ФЗ «О персональных данных».
Собственник небольшого бизнеса часто решает, что закон касается только банков, операторов связи и маркетплейсов, которые ведут крупные базы клиентов. На деле оператором персональных данных становится любой, кто записывает имя и телефон клиента в блокнот, CRM или программу лояльности. Оператором становится и тот, кто ведёт кадровые документы сотрудников или передаёт заказ курьеру. Дальше разберём, что обязательно оформить и в каком порядке.
Кто в малом бизнесе становится оператором персональных данных
Бизнес становится оператором персональных данных в момент, когда начинает собирать и обрабатывать данные конкретного человека. Это имя, телефон, адрес, e-mail или дата рождения для скидки в честь праздника. Источник данных значения не имеет. Это может быть бумажная анкета, форма на сайте, переписка в мессенджере или кассовая программа, которая печатает номер телефона на чеке.
Вот типичные примеры из малого бизнеса:
- парикмахерская ведёт запись клиентов по телефону в CRM;
- интернет-магазин передаёт адрес и телефон покупателя курьерской службе;
- мастерская хранит трудовые договоры и копии паспортов сотрудников;
- кофейня собирает номера телефонов для программы лояльности.
В каждом случае у бизнеса появляются обязанности оператора. Нужно собрать согласие, объяснить человеку, зачем нужны данные, и защитить их от утечки.
Какие документы обязательны минимально
Политика обработки персональных данных
Документ описывает, какие данные собирает бизнес, для чего они нужны, кто их обрабатывает и как долго хранит. Если у бизнеса есть сайт, форма заявки или страница в соцсети со сбором контактов, политику публикуют в открытом доступе. Обычно это отдельная страница или ссылка в подвале сайта.
Согласия клиентов и сотрудников
Согласие оформляют письменно или отметкой на сайте при сборе контактов для рассылки, программы лояльности или доставки. Сотрудник подписывает согласие отдельно от трудового договора. Работодателю нужен и этот документ, и локальный акт о защите персональных данных работников.
Уведомление Роскомнадзора
Часть 2 статьи 22 152-ФЗ освобождает от уведомления операторов, которые обрабатывают данные только в рамках трудовых отношений или только для заключения и исполнения договора с клиентом без передачи третьим лицам. Льгота перестаёт действовать, как только бизнес подключает CRM-сервис, рассылку или курьерскую службу. Данные в этот момент уходят третьей стороне. Тогда нужно направить уведомление и встать в реестр операторов персональных данных.
Нужно ли уведомлять РКН? — пройти тест
Приказ о назначении ответственного за защиту персональных данных
Руководитель назначает сотрудника, который отвечает за организацию обработки персональных данных внутри компании. Обязанность действует и тогда, когда в штате всего пять человек. Приказ фиксирует, кто отвечает за эту работу. В приказе описывают контроль доступа к данным, реакцию на запросы клиентов и взаимодействие с Роскомнадзором при проверке.
Договор поручения с подрядчиками
Если бизнес передаёт данные клиентов курьерской службе, бухгалтерии на аутсорсе или облачной CRM, с каждым подрядчиком нужен договор поручения на обработку персональных данных. Договор описывает, что подрядчик обязан делать с данными. Он же прямо запрещает подрядчику передавать данные дальше без согласия оператора.
С чего начать, если документов пока нет
Начните со списка. Выпишите, какие данные бизнес собирает, у кого именно и для чего. Сверьте список с подрядчиками, которым эти данные уходят. Это сервисы рассылок, CRM, курьеры, бухгалтерия на аутсорсе.
После этого оформите политику и согласия, издайте приказ об ответственном и проверьте, нужно ли уведомление в Роскомнадзор.
Проверка компании в реестре операторов РКН
Если сомневаетесь, что учли всё, начните с быстрой проверки текущего состояния дел.
Чек-лист готовности к проверке Роскомнадзора
Частые вопросы
Нужна ли политика обработки персональных данных, если у бизнеса нет сайта?
Да. Политику оформляют независимо от наличия сайта. Она нужна как внутренний документ, и её предъявляют по запросу клиента или при проверке. Если сайт есть, политику дополнительно публикуют в открытом доступе.
Обязательно ли уведомлять Роскомнадзор, если в штате три человека?
Размер штата не влияет на обязанность. Уведомление нужно, если обработка не подпадает под исключения части 2 статьи 22 152-ФЗ. Например, обязанность возникает, если данные клиентов передаются CRM-сервису или курьерской службе.
Что будет, если оформить документы позже, а не сразу?
Отсутствие документов Роскомнадзор фиксирует при проверке или по жалобе клиента. Оформить пакет заранее дешевле и проще, чем собирать его в сжатые сроки во время проверки.
Нужен ли отдельный ответственный за защиту персональных данных, если директор ведёт бизнес один?
Да, ответственного назначают приказом, даже если это тот же человек, что ведёт бизнес. Формальное назначение фиксирует обязанности и упрощает разговор с проверяющим при визите.