Юрист по защите
персональных данных
по 152-ФЗ

152-ФЗ — это не про документы, а про процессы. Закон требует, чтобы вы:

• знали, какие персональные данные вы собираете и обрабатываете;
• понимали, зачем вы это делаете — и могли это обосновать;
• знали, кто именно внутри вашей компании имеет к этим данным доступ;
• могли доказать, что защищаете их технически и организационно;
• имели документы, которые подтверждают всё вышеперечисленное.

Если хотя бы одного звена в этой цепочке нет — вы нарушаете закон, даже если у вас «лежит политика».

Когда вы просто размещаете на сайте политику, найденную в открытом доступе, — вы создаете лишь иллюзию соответствия требованиям закона. Такие типовые шаблоны Роскомнадзор изучает за считаные минуты.

На практике надзор обращает внимание в первую очередь не на сайт. Первая стадия контроля — это запросы: от самого Роскомнадзора, либо от субъектов персональных данных (сотрудников, клиентов, партнёров):

• Как вы подтверждаете получение согласия на обработку?
• Кто назначен ответственным за ПДн?
• Где локальные нормативные акты, регулирующие обработку?
• Когда последний раз в документы вносились изменения?
• Есть ли приказ на проведение инструктажа сотрудников?

Если у вас нет ответов — значит, у вас нет системы защиты. Есть только “оформленные документы”, которые не работают и не покрывают риски.

Вот несколько маркеров:

• вы не знаете, кто у вас отвечает за обработку ПДн
• вы не уверены, подавали ли уведомление в Роскомнадзор
• вы не можете за 10 минут показать: политику, согласие, приказ, внутренние документы
• вы не проводили инструктаж сотрудников по работе с ПДн
• сторонние сервисы и контрагенты (например, рекламные платформы или CRM-провайдеры) имеют доступ к персональным данным, но договоры с ними не проверены на соответствие требованиям закона
• вы используете шаблоны из интернета и забыли о них

Если хотя бы 2 пункта — про вас, значит, система не работает.

Первым делом — разбирается в логике обработки данных в бизнесе. Где вы собираете информацию? Через сайт? CRM? Через внешние сервисы или по каналам, где участвуют третьи лица? Через анкеты для соискателей? Через внешние платформы?

Дальше — выстраивает архитектуру обработки. Это значит:

• определяет цели, основания и категории персональных данных,
• описывает процедуры сбора, хранения, передачи и уничтожения,
• устанавливает порядок доступа,
• разрабатывает документы, которые не просто “существуют”, а интегрированы в реальные процессы вашей компании.

Можно ли разобраться самому? Теоретически — да.
Если вы:
– хорошо знаете законодательство,
– умеете разбираться в рисках,
– способны не просто составить документ, но и адаптировать его под бизнес,
– знаете, когда нужно уведомлять Роскомнадзор, а когда — нет,
– отличаете локальный акт от политики, а согласие — от правового основания.

Но если вы не уверены в этих нюансах, то попытка «сделать самому» чаще всего приводит к двойной работе: сначала шаблон, затем проверка, и в итоге – срочный вызов юриста.

Работает система.
– Когда вы точно знаете, какие данные обрабатываете.
– Когда в документах нет воды, и они адаптированы под вашу сферу.
– Когда сотрудники знают, что именно запрещено делать с ПДн.
– Когда вы можете за 10 минут собрать комплект для Роскомнадзора — и вам не страшно.

Это не про формальности. Это про ответственность и зрелость.

1. Аудит

Начинаем с анализа:

• какие категории ПДн вы обрабатываете
• откуда поступают данные (сайт, email, CRM, Excel, бумажные носители)
• кто их обрабатывает внутри компании
• есть ли передача третьим лицам
• есть ли трансграничная передача
• хранятся ли данные дольше, чем нужно
• какие ИТ-системы участвуют в обработке

2. Документирование

После этого разрабатываются:

• Политика обработки персональных данных
• Согласие на обработку (один документ — не всегда достаточно)
• Локальные нормативные акты (положение, регламенты, журналы)
• Приказы и должностные инструкции
• Уведомление в Роскомнадзор
• Инструктажи и формы их подтверждения

Документы не просто “делаются”, они встраиваются в процессы: найм, маркетинг, продажи, техподдержку, IT и кадровый учет.

3. Реальное внедрение

• доступ к ПДн ограничен
• учет запросов ведется
• сотрудники подписаны под инструктажем
• сроки хранения соблюдаются
• процессы обновляются при изменении инфраструктуры

Аудит управленческого учета  –  это набор действий:

• проверка правильности и логики управленческого учета: как формируются статьи, на чем строится отчетность
• анализ структуры учета: насколько она соответствует целям бизнеса
• выявление ошибок, перекосов, дублирующихся или отсутствующих данных
• проверка соответствия между бухгалтерией и управленческими отчетами
• оценка применяемых форматов: от Excel до 1С и BI-платформ