Аудит персональных данных: что проверяем кроме политики на сайте
Аудит персональных данных: что проверяем кроме политики на сайте Политика обработки персональных данных — только один из документов. Она должна соответствовать тому, как организация фактически собирает, хранит, использует и передает данные. Что входит в аудит 1. Реестр Роскомнадзора Проверяем: • подано ли уведомление; • актуальны ли цели обработки и категории данных; • указаны ли сайт, CRM и другие информационные системы; • нужно ли внести изменения в реестр. 2. Реальные процессы обработки Определяем: • какие данные собирает организация; • у кого и для каких целей; • на каком основании; • где они хранятся; • кому передаются; • когда должны быть уничтожены. 3. Сайт и cookie Анализируем формы заявок, регистрации, оплаты и подписки, тексты согласий, чекбоксы, cookie и сервисы аналитики. 4. CRM, рассылки и подрядчики Проверяем передачу данных CRM-системам, хостингу, платежным сервисам, разработчикам сайта, бухгалтерам и другим подрядчикам. Необходимые условия должны быть закреплены в договорах. 5. Сотрудники и соискатели Оцениваем кадровые документы, доступ к личным делам, хранение резюме и передачу сведений банкам и другим получателям. 6. Видеонаблюдение и СКУД Проверяем основания использования, уведомление работников и посетителей, доступ к записям и сроки их хранения. 7. Доступ и уничтожение данных Устанавливаем, кто имеет доступ к информации, как он прекращается после увольнения, сколько хранятся данные и чем подтверждается их уничтожение. Почему шаблонной политики недостаточно Документ может не учитывать подключение новой CRM, рассылки, видеонаблюдение, передачу данных подрядчикам или изменения на сайте. Тогда политика существует отдельно, а реальные процессы — отдельно. Задача аудита — сопоставить документы с фактической обработкой персональных данных и выявить нарушения до жалобы, запроса или проверки Роскомнадзора.