Документы по защите персональных данных: перечень и состав комплекта

Покажем, какие документы нужны оператору персональных данных, зачем нужен каждый и как они связаны между собой. Подготовим комплект под вашу систему, а не шаблон на все случаи.

      • Политика и согласия
      • Приказы и положения
      • Акт и модель угроз
      • Инструкции
      Получить консультацию Определить уровень защищённости
      • ПереченьКакие документы нужны именно вам
      • СоставОрганизационные и технические документы
      • ОформлениеГотовим под ваши процессы, не по шаблону
      • ПоддержкаОбновляем, когда меняется система

    • Какие документы по защите персональных данных нужны

      Единого перечня на все случаи нет. Состав зависит от ваших данных, места их хранения и уровня защищённости системы. Типичный комплект выглядит так.

      Комплект документов по защите персональных данных: шесть основных документов вокруг информационной системы
      Шесть основных документов связаны с вашей информационной системой. Полный перечень и сроки зависят от её состава.
      Документ Для чего нужен Когда нужен
      Политика в отношении обработки персональных данных Рассказывает, как и зачем вы обрабатываете данные; публикуется на сайте, если данные собирают через него Каждому оператору
      Согласия субъектов Подтверждают право обрабатывать данные там, где закон требует согласия Когда нет другого основания для обработки
      Приказ о назначении ответственного Определяет, кто отвечает за организацию обработки и защиту данных Каждому оператору
      Положение об обработке и защите данных Описывает порядок работы с данными в организации Каждому оператору
      Перечень данных и систем Фиксирует, что именно вы защищаете и где это хранится Каждому оператору
      Перечень лиц с допуском к данным Определяет, кто и к каким данным имеет доступ Каждому оператору
      Акт определения уровня защищённости Показывает, какие меры нужны информационной системе Для каждой информационной системы
      Модель угроз Описывает, от чего вы защищаетесь и какие угрозы актуальны Для систем с персональными данными
      Инструкции для сотрудников и администратора Объясняют, что можно и нельзя и как действовать при инциденте Тем, кто работает с данными
      Журналы учёта (обращений, носителей, инцидентов) Подтверждают, что порядок на самом деле выполняется При ведении учёта
      Уведомление в Роскомнадзор Сообщает регулятору, что вы работаете с персональными данными Когда закон обязывает уведомлять; проверяем при обследовании

    • Нормативные документы, на которые мы опираемся

      Нормативные документы — это законы и акты регуляторов. Внутренние документы организации пишутся уже на их основе. На практике нам нужны пять источников.

      Источник Что из него берём
      Закон № 152-ФЗ «О персональных данных» Обязанности оператора и права субъектов
      Постановление Правительства № 1119 Правила определения уровня защищённости
      Приказ ФСТЭК № 21 Перечень мер защиты и их содержание
      Методика ФСТЭК 2021 года Порядок оценки угроз для модели угроз
      Приказ ФСБ № 378 Условия применения криптографических средств

      Пересказывать нормы мы не будем: редакции меняются. Берём действующие на день начала проекта.

    • Организационные и технические документы

      Состав комплекта делится на две части, и обе нужны.

      Организационные

      • политика оператора и порядок её публикации;
      • внутреннее положение о работе с данными;
      • приказы об ответственных и о допуске к данным;
      • перечни: что обрабатывается, где и кем;
      • согласия субъектов;
      • инструкции для сотрудников.

      Технические

      • акт с уровнем защищённости системы;
      • модель угроз;
      • описание системы защиты и применяемых средств;
      • инструкция администратору по работе со средствами защиты;
      • журналы учёта и контроля.

    • Положение о защите персональных данных: что в него входит

      Положение — внутренний документ организации. В нём записано, как именно у вас защищают данные и кто за что отвечает. Политика рассчитана на тех, чьи данные вы обрабатываете, и публикуется на сайте. Положение нужно самой организации и её сотрудникам, поэтому в нём больше конкретики.

      Обычно в положении описаны:

      • какие данные и в каких системах обрабатываются, для чего и на каком основании;
      • кто отвечает за защиту и как оформляется допуск сотрудников;
      • как данные хранят, передают и уничтожают;
      • какие организационные и технические меры применяются;
      • что делать при инциденте и какая ответственность предусмотрена для сотрудников.

      Мы пишем положение под ваши процессы и систему, согласуем с ответственным и обновляем, когда они меняются.

    • Как мы готовим комплект

      1. ОбследованиеСмотрим, какие сведения у вас собирают, где они лежат и кто с ними работает.
      2. Уровень и угрозыОпределяем уровень защищённости и готовим модель угроз. Как определяется уровень.
      3. ДокументыПишем документы под ваши процессы и систему, а не подставляем название организации в шаблон.
      4. СогласованиеПоказываем черновики, уточняем детали вместе с вашим ответственным.
      5. Передача и поддержкаПередаём комплект и помогаем поддерживать его в актуальном состоянии, когда меняются система или требования.
      1. Обследованиеданные и системы
      2. Уровень и угрозытип угроз
      3. Документыпод ваши процессы
      4. Передачаи поддержка
      Четыре этапа от обследования до передачи. Состав и сроки зависят от вашей системы.

    • Шаблоны и образцы

      Образцы и шаблоны документов по защите персональных данных найти нетрудно, и как ориентир по структуре они полезны. Но документ должен описывать ваши процессы: кто собирает данные, где они хранятся, кто имеет доступ. Если подставить в шаблон название организации, в нём останутся чужие процессы, а при проверке придётся объяснять, почему написано одно, а делается другое.

      Если документы у вас уже есть, мы проверим их: сопоставим с тем, как устроена работа на самом деле, и доработаем там, где они расходятся.

    • Что чаще оказывается не так

      Политика не опубликована

      Организация собирает данные через сайт, а политики на нём нет или она устарела.

      Шаблон без привязки к системе

      Документы написаны по общему образцу, и в них нет ни ваших систем, ни ваших процессов.

      Нет согласий

      Данные собирают и хранят, а согласия там, где они нужны, не оформлены или оформлены не так.

      Сотрудники не знакомы с приказами

      Приказы и инструкции подписаны, но с ними никого не ознакомили.

      Документы не обновляли

      Систему изменили, а комплект остался прежним: перечни и акты описывают то, чего уже нет.

    • Стоимость

      Стоимость мы считаем индивидуально. Вот от чего она зависит:

      • числа информационных систем и подразделений;
      • категорий данных, в том числе особых, и числа людей, чьи данные вы обрабатываете;
      • уровня защищённости системы;
      • того, какие документы уже есть и насколько их нужно переделать;
      • нужны ли поддержка и актуализация после передачи комплекта.

      Оценку делаем по описанию задачи в заявке или после короткого знакомства с вашей системой. Точную сумму называем, когда понятен состав работ.

      • Нужен комплект документов под вашу систему?

      Опишите, какие данные обрабатываете и в каких системах. Инженер скажет, каких документов не хватает.

      Оставить заявку

    • Вопросы и ответы

      Какие документы по защите персональных данных обязательны?

      Набор зависит от оператора и его систем. Обычно это политика обработки, приказ о назначении ответственного, положение, перечни данных и систем, согласия там, где они требуются, а для информационных систем ещё акт уровня защищённости и модель угроз. Точный список определяем при обследовании.

      Сколько документов нужно подготовить?

      У небольшой организации комплект умещается в несколько документов, у компании с несколькими системами их заметно больше. Число зависит от систем, подразделений и категорий данных.

      Нужно ли публиковать политику на сайте?

      Если вы собираете персональные данные через сайт, политику в отношении обработки нужно опубликовать в открытом доступе. Это требование закона № 152-ФЗ.

      Можно ли использовать шаблоны?

      Как подсказку по структуре можно, как готовые документы нет: они должны описывать ваши процессы и системы. Шаблон с подставленным названием не выдерживает проверки.

      Как часто нужно обновлять документы?

      Когда меняется система, состав данных, подразделения или требования. Мы можем поддерживать комплект в актуальном состоянии и вносить изменения по заявкам.

      Чем организационные документы отличаются от технических?

      Организационные задают правила: кто отвечает, кто имеет доступ, как обращаться с данными. Технические описывают, как защищена сама система: уровень защищённости, угрозы, средства защиты.

      Можно ли заказать только документы?

      Можно. Но без технических мер защита остаётся формальной, поэтому сразу покажем, что нужно сделать технически. См. средства защиты.

    • Смотрите также

Спасибо за обращение!
Мы скоро с Вами свяжемся.

Получить консультацию

Отправьте описание задачи, в решении которой нуждается ваш бизнес. Мы предложим возможные варианты её решения и рассчитаем стоимость выполнения