Самопроверка оператора персональных данных

Страница помогает оператору ПДн проверить базовый минимум по 152-ФЗ и увидеть, какие ещё области требований существуют. Рамка взята из открытой методики контроля соблюдения законодательства о персональных данных Группы Сбер (источник): в ней проверка начинается с гигиенического минимума, и пока он не подтверждён, дальнейший контроль не проводится. Это чужая методика для крупной группы компаний; мы пересказываем её своими словами и не заявляем соответствия ей. Разбор с примерами: чек-лист оператора ПДн.

Самопроверка: гигиенический минимум оператора ПДн

Отметьте, что у вас уже есть и подтверждено документами. Ответы остаются в вашем браузере. Это упрощённая проверка по мотивам методики, а не оценка соответствия закону.

Карта требований: что ещё проверяют

Правовые основания. Согласие, договор, закон и другие основания; формы согласия, согласие на распространение, доказательства получения.
Источники ПДн. Данные получены не от субъекта, из открытых и общедоступных источников: когда это допустимо и что сообщить субъекту.
Поручение обработки. Договор или поручение: перечень данных, действий и целей, обязанности по защите, уведомление об утечках, ответственность.
Передача другим операторам. Правомерность передачи и её безопасность в модели «оператор — оператор».
Трансграничная передача. Отдельное уведомление Роскомнадзора, допустимые страны, данные из ЕС и других стран (GDPR и местное право).
Права субъектов. Доступ к данным, возражения, автоматизированные решения, отзыв согласия, требование прекратить обработку и сроки ответов.
ПДн работников. Особенности по Трудовому кодексу: цели, источники, передача третьим лицам, права работников.
Обеспечение безопасности. Модель угроз, уровни защищённости, перечень допущенных лиц, журналы, средства защиты, контроль, ГосСОПКА.
Оценка вреда. Порядок оценки вреда субъектам и соотнесения его с принимаемыми мерами.
Обработка без автоматизации. Бумажные носители: раздельное хранение, учёт мест хранения, журналы пропуска, типовые формы.
Уточнение, блокирование, прекращение, уничтожение. Сроки и порядок при неточных данных, неправомерной обработке, отзыве согласия; подтверждение уничтожения.
Распространение ПДн. Отдельное согласие, публикация условий в срок, запреты субъекта, прекращение по требованию.