В прошлом посте писала про профилактические визиты Роскомнадзора — они уже начались у т...
В прошлом посте писала про профилактические визиты Роскомнадзора — они уже начались у тех, кто зарегистрировался оператором персональных данных год назад. Частая ошибка — думать, что для визита достаточно политики обработки ПДн на сайте и приказа об ответственном. Список того, что реально должно быть готово, гораздо длиннее. Публично, на сайте: 🔴политика в отношении обработки персональных данных, в свободном доступе (ч. 2 ст. 18.1 152-ФЗ); 🔴 форма согласия на обработку ПДн отдельным документом, а не пунктом внутри договора или анкеты — требование действует с 1 сентября 2025 года (ст. 9 152-ФЗ в редакции закона № 156-ФЗ). Если согласие до сих пор зашито в договор оферты — это уже нарушение. Внутри: 🔴 положение об обработке и защите персональных данных — внутренний регламент, подробнее и шире, чем публичная политика на сайте; 🔴 приказ о назначении ответственного за организацию обработки ПДн (ст. 22.1 152-ФЗ); 🔴 перечень лиц, допущенных к обработке ПДн, по приказу; 🔴 перечень информационных систем персональных данных, если ведете CRM или МИС; 🔴 модель угроз безопасности персональных данных — обязательна, если данные обрабатываются в информационных системах (п. 1 ч. 2 ст. 19 152-ФЗ); 🔴 акт определения уровня защищенности информационной системы (постановление Правительства № 1119). По работе с субъектами данных: 🔵 отдельное письменное согласие на обработку специальных категорий персональных данных. Данные о здоровье пациента — специальная категория (ст. 10 152-ФЗ), обычная форма согласия клиента тут не годится, нужна отдельная, более развернутая; 🔵 форма для обращений субъекта — на ознакомление, уточнение или уничтожение его данных по запросу (ст. 14 152-ФЗ); 🔵 журнал учета таких обращений. На случай проверки или визита: 🔴 договор с подрядчиком на поручение обработки ПДн — если данные клиентов или пациентов видит подрядчик: бухгалтерия на аутсорсе, CRM-система, маркетинговое агентство, МИС (ч. 3 ст. 6 152-ФЗ); 🔴 уведомление о трансграничной передаче, если используете зарубежные сервисы. Отдельно: с июля 2025 действует требование локализовать данные в России. Если сайт или CRM физически хранит данные на зарубежном сервере — это нарушение само по себе, даже без передачи данных дальше. ➡️Разобраться в этих дебрях, а также провести категорирование КИИ, подготовить документы поможет наш юрист по персональным данным и информационной безопасности. Мы есть во всех мессенджерах + 7 961 681 3 444 🌐 Юрист для врача в Telegram | 🇷🇺 Мой канал в МАХ
Канал в каталоге Максиметера
5 151 подписчиков · Здоровье