Положение об обработке и защите персональных данных
Положение — локальный акт, которым оператор устанавливает внутренний порядок: что собираем, где храним, кому передаём, как уничтожаем, кто имеет доступ и как защищаем информационные системы. Издание локальных актов — одна из обязательных мер по ст. 18.1 152-ФЗ.
Проверить бесплатно — 10–15 минутИз чего состоит
Общие положения, состав данных по процессам со сроками, порядок сбора, хранения, передачи и уничтожения, доступ работников по перечню должностей, обработка без средств автоматизации по постановлению № 687, защита в информационных системах по уровню защищённости, права субъектов, порядок действий при инцидентах, ответственность и лист ознакомления.
Уровень защищённости
Для типового малого бизнеса актуальны угрозы 3-го типа, обрабатываются иные категории данных; если субъектов, не являющихся сотрудниками, меньше 100 тысяч, — это уровень УЗ-4, больше — УЗ-3 (постановление Правительства РФ № 1119). Уровень фиксируется актом, а требования к нему — в положении.
Как утвердить
Положение утверждается приказом руководителя, работники с доступом к данным знакомятся с ним под подпись — лист ознакомления в конце документа. При изменении процессов, систем или закона положение пересматривают; удобно делать это раз в год вместе с политикой.
Что идёт вместе с положением
Приказ об ответственном с инструкцией, приказ об утверждении перечней данных, систем и должностей, обязательство о неразглашении, акт уровня защищённости, упрощённая модель угроз, журналы обращений и передачи, акт об уничтожении, регламент реагирования на инциденты. Всё это — в полном пакете.
Нужно ли положение, если есть политика?
Политика — публичный документ для субъектов, положение — внутренний порядок для работников. Обычно нужны оба.