Что проверить в CRM и договорах с подрядчиками по 152-ФЗ?
Подскажем, что проверить в CRM и договорах с подрядчиками по 152-ФЗ. Покажем минимально необходимый набор и дополнительные меры, которые действительно снижают риск.
Короткий ответ
Определите роль поставщика CRM по каждой цели. Один поставщик может обрабатывать клиентские данные по поручению компании и одновременно быть самостоятельным оператором для собственных целей. Если обработка поручается другому лицу, документ должен содержать перечисленные частью 3 статьи 6 условия: перечни данных и операций, цели, конфиденциальность, соблюдение локализации, требования к защите, подтверждающие документы и порядок сообщения об инцидентах (ч. 3 ст. 6 Закона №152-ФЗ).
Сверьте условия с реальностью: доступами сотрудников, резервными копиями, удалением, субподрядчиками и местом обработки. Общей фразы «подрядчик соблюдает 152-ФЗ» недостаточно. Для иностранного сервиса дополнительно проверьте локализацию и трансграничную передачу по статье 12 и части 5 статьи 18 (ст. 12 и ч. 5 ст. 18 Закона №152-ФЗ).
Что ещё полезно знать
Уведомление Роскомнадзора и фактические процессы
- По общему правилу оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки (ч. 1 ст. 22 Закона № 152-ФЗ).
- После реформы 2022 года прежние широкие исключения отменены; в части 2 этой статьи остались узкие случаи, включая обработку исключительно без автоматизации и отдельные специальные режимы (ч. 2 ст. 22 Закона №152-ФЗ).
- Для каждой цели указываются категории данных и субъектов, основание, действия и способы обработки по части 3.1 статьи 22.
Полезные связанные страницы
- Документы по персональным данным для сайта и бизнеса - как определить состав документов после описания процессов.
- Согласия на рекламу и обработку персональных данных - как разделить две разные цели и действия пользователя.
- Согласие на трансграничную передачу персональных данных - когда основанием выбрано согласие и как оформить его для передачи конкретному иностранному получателю.
Частые вопросы по теме
Можно ли хранить заявки с сайта бессрочно?
Разберёмся, можно ли хранить заявки с сайта бессрочно. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
Как часто нужно повторять проверку по 152-ФЗ?
Разберём по шагам, как часто нужно повторять проверку по 152-ФЗ. Покажем безопасный порядок действий и подскажем, какие доказательства или уведомления подготовить заранее.
Как проверить, какие персональные данные фактически собирает сайт?
Разберём по шагам, как проверить, какие персональные данные фактически собирает сайт. Покажем безопасный порядок действий и подскажем, какие доказательства или уведомления подготовить заранее.
Что проверять в личном кабинете и закрытых разделах сайта?
Проверим вместе, что проверять в личном кабинете и закрытых разделах сайта. Отделим общее правило от исключений и подскажем, какие подтверждения стоит сохранить.
Может ли автоматический сканер подтвердить соответствие сайта требованиям 152-ФЗ?
Разберёмся, может ли автоматический сканер подтвердить соответствие сайта требованиям 152-ФЗ. Поясним, от чего зависит ответ, где чаще всего возникает риск и что лучше зафиксировать заранее.
