Достаточно ли кадрового положения, если данные клиентов обрабатываются вне сайта
Нет, если кадровое положение не охватывает клиентские процессы. Отдельный акт на каждую цель источник рекомендует, но не называет безусловным требованием закона.
Короткий ответ
Нет, если положение касается только работников и не описывает обработку клиентов и контрагентов. Отсутствие форм на информационном сайте не отменяет операций, которые компания выполняет с данными вне интернета.
Разбор от 15 апреля 2024 года предлагает смотреть на содержание документов. У организации могут быть телефонные заявки, договоры, переписка и клиентская база, даже если сайт показывает только описание услуг. Эти процессы нельзя оставить без правил только потому, что на странице нет регистрации.
Пункт 2 части 1 статьи 18.1 закона № 152-ФЗ требует описывать цели, состав данных, категории субъектов, способы и сроки обработки, хранение и уничтожение, а также предотвращение и устранение нарушений. Кадровое положение может не отвечать на вопросы о доступе к клиентской базе или работе внешнего исполнителя.
При этом один документ способен охватить несколько процессов, если в нём достаточно ясно раскрыты их условия. Источник рекомендует отдельные положения для разных задач, но эта рекомендация не равнозначна прямой обязанности создать файл на каждую цель.
Например, общее положение может содержать самостоятельные содержательные разделы о работниках и клиентах. Но простое добавление слова «клиенты» в название не решает проблему, если сроки, основания и операции по-прежнему описывают только трудовые отношения.
Практически стоит составить перечень реальной обработки и сопоставить его с документами. Для каждого процесса должно быть понятно, какие сведения нужны, кто ими пользуется и как заканчивается их использование. Вывод о сайте также следует проверить по фактам: наличие аналитики или других инструментов может означать отдельную обработку, даже без видимых анкет.
Если нужно применить ответ к Вашей ситуации или документам, Подготовить кадровые документы и локальные акты: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Всех ли работников знакомят с политикой обработки и положением о данных персонала?
- Можно ли одному сотруднику поручить организацию обработки данных работников и клиентов?
- Почему B2B-компания без клиентов-физлиц всё равно обрабатывает персональные данные?
- Как определить оператора персональных данных по каждой цели в группе компаний?
- Как оформить оценку вреда, если у оператора нет случаев, перечисленных в Требованиях?
