Можно ли локальным актом ограничить права человека на персональные данные
Локальные документы организуют исполнение закона, но не дают возможности уменьшить права субъектов или присвоить оператору не предусмотренные законом полномочия.
Короткий ответ
Нет. Локальный акт об обработке персональных данных не может ограничить права человека или предоставить оператору полномочия и обязанности, которых нет в законодательстве. Это прямо предусмотрено для соответствующих документов в пункте 2 части 1 статьи 18.1 закона № 152-ФЗ.
Внутренние правила нужны, чтобы организовать законную обработку: определить данные и цели, сроки, хранение, уничтожение, предупреждение нарушений. Однако организация не вправе использовать этот документ как собственный закон, который уменьшает установленную защиту субъектов.
Например, можно назначить подразделение, принимающее обращения, и определить передачу запросов ответственному сотруднику. Но условие «оператор по своему усмотрению не отвечает на обращения о данных» не становится допустимым только из-за включения в политику. Нужно оценивать, соответствует ли отказ конкретным законным основаниям и процедуре.
Так же следует проверять формулировки о полномочиях оператора. Запись в положении «разрешено передавать любые данные любым партнёрам» сама не создаёт основание для передачи. Для соответствующей операции всё равно нужны правомерная цель, необходимый состав данных и основание по закону. Публикация документа на сайте не устраняет этот вопрос.
При проверке собственного акта удобно различать организацию работы и изменение прав. Положение о том, кто в компании готовит ответ человеку, организует процесс. Положение о том, что человек лишается предусмотренного законом права, меняет его положение и требует иной оценки.
Запрет не мешает распределять законные задачи между сотрудниками. Он означает, что внутреннее распределение не может служить источником новых внешних полномочий организации или основанием для отказа от обязанностей перед субъектом. Спорную формулировку нужно сопоставить с конкретной нормой, а затем исправить сам документ и соответствующий процесс.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Можно ли обойти требования к персональным данным, объявив клиентскую базу коммерческой тайной?
- Всех ли работников знакомят с политикой обработки и положением о данных персонала?
- Кто оформляет оценку вреда субъектам данных и можно ли подписать акт электронной подписью?
- Можно ли назначить главбуха ответственным за организацию обработки ПД?
- Нужна ли установленная форма приказа о назначении ответственного за данные
