Какие документы сайта обновить при подключении иностранной CRM или аналитики?

Подскажем, какие документы сайта обновить при подключении иностранной CRM или аналитики. Покажем минимально необходимый набор и дополнительные меры, которые действительно снижают риск.

Civius, юридическая компания Анна Воронцова, старший юрист

Короткий ответ

Сверьте политику обработки персональных данных, тексты у форм, согласия, внутреннее описание процесса и сведения, ранее поданные в Роскомнадзор. Цели, категории данных, получатели, сроки и фактические действия не должны противоречить друг другу; страны и иностранные получатели отражаются в тех документах и уведомлениях, где это требуется для конкретной передачи. До начала трансграничной передачи оператор направляет отдельное уведомление, а до его подачи получает предусмотренные законом сведения об иностранном получателе и защите данных (ч. 3-5 ст. 12 Закона №152-ФЗ).

Проверяйте процесс, а не название сервиса

Уточните, куда браузер отправляет данные первым запросом, где создается первичная запись, какие резервные копии существуют и откуда сотрудники получают доступ. При сборе данных граждан России через интернет первичная запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием базы в России, кроме предусмотренных законом случаев (ч. 5 ст. 18 Закона №152-ФЗ). Последующее копирование не исправляет иностранный первичный сбор.

Если меняются заявленные Роскомнадзору сведения, нужно проверить обязанность сообщить об изменении (ч. 7 ст. 22 Закона №152-ФЗ). Если поставщик обрабатывает данные по поручению компании, одновременно обновите условия такого поручения; во всех случаях приведите в соответствие внутреннее описание систем. Простое добавление названия CRM в политику не подтверждает, что техническая схема стала законной.

Если нужно применить ответ к Вашей ситуации или документам, Заказать подготовку комплекта документов: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.