Для ООО и ИП нет единого установленного законом комплекта документов на все случаи. Нужны правила и подтверждения, соответствующие реальной работе: с клиентами, работниками, сайтом и подрядчиками. Политика, согласие, внутреннее положение и уведомление Роскомнадзора решают разные задачи и не заменяют друг друга.
От чего зависит состав комплекта
Перечень определяется целями обработки, категориями людей и данных, основаниями, местами хранения и получателями. У ИП с записью на услуги и у работодателя с кадровой системой разный объём обязанностей. Файлы для несуществующих процессов не делают комплект надёжнее.
Удобная основа — описание фактической работы: заявка поступает с сайта, сохраняется в почте и CRM, адрес передаётся курьеру, договор остаётся в архиве. По каждому процессу нужны понятные цель, основание, доступ и срок. Реестр процессов помогает согласовать документы, но его название не превращает отдельную таблицу в универсально обязательный файл.
Сведения должны совпадать в политике, уведомлении РКН и внутренних правилах. Если одна форма собирает паспорт, а политика обещает только имя и телефон, проблема не решается заменой реквизитов в шаблоне. Сначала выясняют, нужен ли паспорт для заявленной цели.
Что выполняет каждый документ
| Документ | Назначение |
|---|---|
| Политика обработки | Объясняет людям цели, состав данных, основания, сроки, права и меры защиты |
| Локальные правила | Определяют получение, доступ, хранение, исправление и уничтожение данных |
| Назначение ответственного | Закрепляет организацию обработки и контроль у юридического лица |
| Документы по основаниям | Подтверждают договор, применимую обязанность по закону, согласие или другое основание |
| Поручение обработки | Описывает работу исполнителя, обрабатывающего данные по заданию оператора |
| Подтверждения действий | Фиксируют полученные согласия, ознакомление, ответы, уничтожение и инциденты по факту |
Политика адресована человеку, чьи сведения использует бизнес. Внутренние правила — сотруднику, который с ними работает. Вместо общего обещания «доступ ограничивается» в них закрепляют реальные роли: кто видит клиентов, согласует выгрузку и отключает учётную запись при увольнении.
Для юридического лица статья 18.1 Закона № 152-ФЗ предусматривает политику и локальные акты. Связанные правила можно объединять, если необходимые вопросы раскрыты и документом удобно пользоваться. Однако одно положение не заменяет конкретное согласие человека, поручение подрядчику или акт о состоявшемся уничтожении.
Чем отличаются ООО и ИП
Юридическое лицо назначает ответственного за организацию обработки. В небольшом ООО обязанности могут быть возложены на подходящего сотрудника с необходимыми полномочиями. Назначение должно давать возможность организовать работу и контролировать её, а не ограничиваться подписью в приказе.
ИП без работников не нужно придумывать генерального директора, кадровый отдел и комиссию из трёх человек. Нормы, прямо адресованные юридическим лицам, не переносятся на него механически. Но общие требования к законности, конфиденциальности, защите данных и доступности политики сохраняются.
Найм работников добавляет обязанности работодателя. Передача учёта бухгалтеру требует определить его роль и оформить отношения. Комплект расширяется вслед за реальными действиями, а не ради одинакового числа приказов у предпринимателя и крупной компании.
Какие документы добавляются по ситуации
Сайт, реклама и публикации
Политика сайта должна учитывать формы, чаты, счётчики и интеграции. Согласие нужно там, где обработка основана на нём; не любая форма требует одинаковой галочки. Отдельный документ с названием «Cookie-политика» может быть удобен, но это не универсальное требование иметь именно такой файл.
Для рекламы отдельно проверяют предварительное согласие и возможность доказать его получение. Заявка на расчёт стоимости не означает подписку на акции. Для распространения данных, когда оно основано на согласии, действует отдельное согласие по статье 10.1. При публикации фотографии также учитывают право на изображение по статье 152.1 ГК РФ.
CRM, облако и другие исполнители
Договор на программу не всегда содержит полноценное поручение обработки. Часть 3 статьи 6 требует определить данные, действия, цели, конфиденциальность, защиту и другие обязанности исполнителя, включая информирование об инцидентах. Фразы «соблюдаем 152-ФЗ» недостаточно.
Не каждый получатель — обработчик по поручению. Он может выступать самостоятельным оператором, определяющим собственные цели. Роль устанавливают по фактическим отношениям. Условие «за всё отвечает провайдер» не снимает с заказчика обязанности перед человеком.
Работники, бумага и системы
Работодатель устанавливает порядок обработки данных работников и знакомит их с применимыми документами. Доступ кадровика, бухгалтера и руководителя различается: общая папка с паспортами и зарплатами для всего штата не оправдывается удобством.
Бумажные носители требуют правил физического доступа, информационные системы — применимых мер защиты с учётом угроз. Нельзя автоматически назначить всем один уровень защищённости или копировать акт с выдуманными характеристиками. Антивирус не заменяет весь комплекс мер.
Что нельзя заменить покупкой шаблонов
Скачанный комплект не отключает доступ бывшему сотруднику и не создаёт резервные копии. Если документы обещают такие действия, они должны выполняться. Согласия сохраняют с подтверждениями, сотрудников знакомят с правилами, а сроки хранения связывают с целями и обязательными требованиями.
Нет общего требования распечатать все файлы исключительно ради бумаги. Значение имеют форма конкретного документа, надлежащее утверждение, подписание и доказуемое ознакомление. Скан чужой подписи или неутверждённый файл этого не обеспечивают.
Акты уничтожения, обучения и проверки оформляют по состоявшимся событиям. Незаполненную форму можно подготовить заранее, но нельзя подписывать её задним числом ради полноты папки. Даты и участники должны соответствовать фактам.
Уведомление и ответственность
Обязанность уведомить Роскомнадзор проверяют отдельно. Небольшой штат или обработка для договоров не являются общим освобождением. Исключение для исключительно неавтоматизированной обработки нельзя применять к ситуации, где данные одновременно ведутся в CRM или электронной таблице.
Штраф связан с конкретным нарушением, а не отсутствием «полного пакета». За невыполнение обязанности обеспечить доступ к политике часть 3 статьи 13.11 КоАП предусматривает для юрлица 30–60 тысяч рублей, для ИП — 10–20 тысяч. За неподачу обязательного уведомления по части 10 — 100–300 тысяч для юрлица; в этой части ИП отвечает как юрлицо.
Суммы не складываются автоматически: учитывают состав нарушения и обстоятельства. Специальные категории данных, биометрия, трансграничная передача и отраслевые требования требуют отдельной оценки. Рабочий комплект должен отражать именно вашу деятельность и помогать выполнять обязанности, а не просто увеличивать число документов.
