Когда я запускал первый SaaS для малого бизнеса, я был уверен, что 152-ФЗ — это что-то про банки и большие корпорации. Мы собирали email, телефоны и названия компаний, ставили галочку «согласен с политикой» и спали спокойно. Первый же разговор с юристом по персональным данным показал: мы нарушаем почти всё, начиная от целей сбора и заканчивая хранением резервных копий. С тех пор я прошёл несколько аудитов и перестроил процессы. Делюсь практическим чек-листом, который реально работает для IT-продукта.
Первое: честно ответьте, кто вы и какие данные трогаете. Оператором персональных данных становится почти любой продукт, если он хранит email, телефон, имя, IP-адрес, cookie или даже идентификатор устройства, который можно связать с человеком. Я советую сразу назначить ответственного за обработку, описать все потоки данных и завести реестр: какие данные, откуда, зачем, где лежат, кто имеет доступ и как долго хранятся. Без этой карты вы не сможете ни уведомить Роскомнадзор, ни доказать, что соблюдаете закон.
Второе: определите законное основание и не прячьте его в общую политику. Для регистрации и оказания услуг обычно хватает согласия и договора, но согласие должно быть конкретным, предметным, информированным и сознательным. Нельзя одной галочкой разрешить всё: аналитику, рассылки, передачу партнёрам и улучшение продукта. Я сделал отдельные чекбоксы для маркетинга и для необязательных cookie, а также кнопку отзыва согласия в личном кабинете. Это снижает риск претензий и повышает доверие пользователей.
Третье: приведите документы в порядок. Нужны политика обработки персональных данных, формы согласий, приказ о назначении ответственного, перечень сотрудников с доступом, журналы обработки и правила уничтожения. Отдельно проверьте уведомление в Роскомнадзор: его подают до начала обработки, если вы не попадаете в исключения. Если планируете передавать данные за границу, потребуется отдельное уведомление о трансграничной передаче. Я держу эти документы в одной папке и пересматриваю раз в квартал, потому что продукт и законы меняются быстро.
Четвёртое: закройте техническую и организационную безопасность. Это не только антивирус. Нужны разграничение прав, сложные пароли и двухфакторная аутентификация, шифрование при передаче и хранении, резервные копии, логи доступа, обучение сотрудников и регламент реакции на инциденты. С 2022 года действуют жёсткие сроки: об инциденте с персональными данными нужно сообщить в Роскомнадзор в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов. У меня был случай, когда у подрядчика утек тестовый дамп; спасло то, что мы заранее прописали план и не хранили лишние данные.
Пятое: не забывайте про локализацию и подрядчиков. Базы данных российских пользователей должны в первую очередь храниться на территории России, поэтому зарубежные облака, CRM и аналитика — зона особого внимания. С каждым обработчиком и подрядчиком заключайте договор с условиями о конфиденциальности, безопасности, запрете передачи третьим лицам и помощи при запросах субъектов. Также настройте простой путь для пользователя: запрос на доступ, исправление, удаление и отзыв согласия. По закону оператор должен ответить в установленный срок, а после отзыва согласия обычно прекратить обработку и уничтожить данные в течение 30 дней.
Мой финальный чек-лист выглядит так: назначить ответственного, нарисовать карту данных, определить цели и основания, обновить политику и согласия, подать уведомления, внедрить меры безопасности, проверить подрядчиков, обучить команду, отрепетировать инцидент и раз в квартал проводить ревизию. Это не разовая акция, а гигиена IT-продукта. Главное — не бояться 152-ФЗ, а превратить его в понятный процесс. А с какими самыми неожиданными граблями по персональным данным сталкивались вы и что помогло вам навести порядок?
Первое: честно ответьте, кто вы и какие данные трогаете. Оператором персональных данных становится почти любой продукт, если он хранит email, телефон, имя, IP-адрес, cookie или даже идентификатор устройства, который можно связать с человеком. Я советую сразу назначить ответственного за обработку, описать все потоки данных и завести реестр: какие данные, откуда, зачем, где лежат, кто имеет доступ и как долго хранятся. Без этой карты вы не сможете ни уведомить Роскомнадзор, ни доказать, что соблюдаете закон.
Второе: определите законное основание и не прячьте его в общую политику. Для регистрации и оказания услуг обычно хватает согласия и договора, но согласие должно быть конкретным, предметным, информированным и сознательным. Нельзя одной галочкой разрешить всё: аналитику, рассылки, передачу партнёрам и улучшение продукта. Я сделал отдельные чекбоксы для маркетинга и для необязательных cookie, а также кнопку отзыва согласия в личном кабинете. Это снижает риск претензий и повышает доверие пользователей.
Третье: приведите документы в порядок. Нужны политика обработки персональных данных, формы согласий, приказ о назначении ответственного, перечень сотрудников с доступом, журналы обработки и правила уничтожения. Отдельно проверьте уведомление в Роскомнадзор: его подают до начала обработки, если вы не попадаете в исключения. Если планируете передавать данные за границу, потребуется отдельное уведомление о трансграничной передаче. Я держу эти документы в одной папке и пересматриваю раз в квартал, потому что продукт и законы меняются быстро.
Четвёртое: закройте техническую и организационную безопасность. Это не только антивирус. Нужны разграничение прав, сложные пароли и двухфакторная аутентификация, шифрование при передаче и хранении, резервные копии, логи доступа, обучение сотрудников и регламент реакции на инциденты. С 2022 года действуют жёсткие сроки: об инциденте с персональными данными нужно сообщить в Роскомнадзор в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов. У меня был случай, когда у подрядчика утек тестовый дамп; спасло то, что мы заранее прописали план и не хранили лишние данные.
Пятое: не забывайте про локализацию и подрядчиков. Базы данных российских пользователей должны в первую очередь храниться на территории России, поэтому зарубежные облака, CRM и аналитика — зона особого внимания. С каждым обработчиком и подрядчиком заключайте договор с условиями о конфиденциальности, безопасности, запрете передачи третьим лицам и помощи при запросах субъектов. Также настройте простой путь для пользователя: запрос на доступ, исправление, удаление и отзыв согласия. По закону оператор должен ответить в установленный срок, а после отзыва согласия обычно прекратить обработку и уничтожить данные в течение 30 дней.
Мой финальный чек-лист выглядит так: назначить ответственного, нарисовать карту данных, определить цели и основания, обновить политику и согласия, подать уведомления, внедрить меры безопасности, проверить подрядчиков, обучить команду, отрепетировать инцидент и раз в квартал проводить ревизию. Это не разовая акция, а гигиена IT-продукта. Главное — не бояться 152-ФЗ, а превратить его в понятный процесс. А с какими самыми неожиданными граблями по персональным данным сталкивались вы и что помогло вам навести порядок?