Роскомнадзор объяснил структуру «Политики работы с персональными данными»

Обработка персданных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персданных, несовместимая с целями их сбора.

Цели могут происходить в том числе из анализа правовых актов, регламентирующих деятельность оператора, целей фактически осуществляемой оператором деятельности, а также деятельности, которая предусмотрена учредительными документами оператора, и конкретных бизнес-процессов оператора в конкретных информационных системах персданных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных)

Правовым основанием обработки персданных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет их обработку.

В качестве правового основания могут быть указаны:

— федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;

— уставные документы оператора;

— договоры, заключаемые между оператором и субъектом персональных данных;

— согласие на обработку персданных (в случаях, прямо не предусмотренных законодательством, но соответствующих полномочиям оператора).

Закон «О персональных данных» не может служить правовым основанием обработки персональных данных оператором, поскольку он регулирует отношения, связанные с обработкой персданных, а также закрепляет требования, предъявляемые к операторам при обработке

Содержание и объем обрабатываемых персданных должны соответствовать заявленным целям обработки. Обрабатываемые данные не должны быть избыточными по отношению к заявленным целям их обработки.

К категориям субъектов персданных могут быть отнесены в том числе:

— работники оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников;

— клиенты и контрагенты оператора (физлица);

— представители/работники клиентов и контрагентов оператора (юрлиц).

В рамках каждой из категорий субъектов и применительно к конкретным целям рекомендуется перечислить все обрабатываемые оператором персданные, а также, если применимо, отдельно описать все случаи обработки специальных категорий таких данных и биометрических персданных

Рекомендуется указывать перечень действий, совершаемых оператором с персданными субъектов, а также используемые оператором способы и сроки обработки этих данных.

В случае необходимости взаимодействия с третьими лицами в рамках достижения целей обработки рекомендуется указывать условия передачи данных в адрес третьих лиц (например, наличие договора поручения на обработку персданных), в том числе находящихся за пределами России (трансграничная передача). При этом рекомендуется указать конкретное наименование и местонахождение третьих лиц, цели передачи сведений, объем передаваемых персданных, перечень действий по их обработке, способы и иные условия обработки, включая требования к защите обрабатываемых сведений.

Кроме того, оператор вправе передавать персданные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным законодательством.

Также рекомендуется указывать сведения о соблюдении требований конфиденциальности персданных, установленных ст. 7 Закона «О персональных данных», а также информацию о принятии оператором мер, предусмотренных ч. 2 ст. 18.1, ч. 1 ст. 19 данного закона.

Условием прекращения обработки персданных может являться достижение целей обработки, истечение срока действия согласия или отзыв согласия субъекта персданных на обработку, а также выявление неправомерной обработки.

Хранить персданные рекомендуется в форме, позволяющей определить субъекта этих данных не дольше, чем этого требуют цели обработки, кроме случаев, когда срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект данных.

Рекомендуется указывать сроки хранения этих сведений (конкретная дата (число, месяц, год) и основание (условие), наступление которого повлечет прекращение обработки).

При хранении персданных оператор обязан использовать базы данных, находящиеся на территории России, в соответствии с ч. 5 ст. 18 Закона «О персональных данных».

Рекомендуется указывать иные условия хранения данных, в том числе при обработке без использования средств автоматизации

В случае подтверждения факта неточности персданных или неправомерности их обработки они подлежат актуализации оператором, а обработка должна быть прекращена

При достижении целей обработки, а также в случае отзыва субъектом согласия на их обработку персданные подлежат уничтожению, если:

— иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект данных;

— оператор не вправе осуществлять обработку без согласия субъекта персданных на основаниях, предусмотренных Законом «О персональных данных» или иными федеральными законами;

— иное не предусмотрено иным соглашением между оператором и субъектом персданных.

Оператор обязан сообщить субъекту или его представителю информацию об осуществляемой им обработке данных такого субъекта по его запросу