Локальные акты и типовые формы оператора персональных данных

ПРИКАЗ № ____ от «____» ________ 20__ г.

Об организации обработки персональных данных в сервисе BSLEGAL

В целях исполнения Федерального закона от 27.07.2006 № 152-ФЗ ПРИКАЗЫВАЮ:

1. Утвердить Политику обработки персональных данных, опубликованную на сайте bslegalofficial.ru.
2. Назначить ответственным за организацию обработки персональных данных: ________________ / ФИО /, контакты: ________________.
3. Утвердить перечень лиц, допущенных к обработке (приложение — форма раздела 2).
4. Определить актуальный тип угроз и уровень защищённости ИСПДн по ПП РФ № 1119 (раздел 3).
5. Обеспечить ознакомление допущенных лиц с Политикой и настоящим приказом под роспись.
6. Проводить внутренний контроль соответствия обработки требованиям законодательства не реже 1 раза в 3 года.

Оператор / руководитель: ________________ / ________________

№	ФИО	Роль / обязанность	Категории ПДн	Дата допуска	Ознакомлен (подпись)
1
2
3

Доступ предоставляется только лицам, которым он необходим для исполнения обязанностей (ПП РФ № 1119).

Карточка ИСПДн сервиса BSLEGAL

• Наименование ИСПДн: платформа BSLEGAL (веб-приложение, БД, бэкенд)
• Место размещения БД: Российская Федерация
• Категории ПДн: иные (идентификационные, контактные, технические); спецкатегории намеренно не запрашиваются
• Субъекты: не сотрудники оператора (пользователи, клиенты, представители)
• Актуальный тип угроз: ☐ 1-й ☐ 2-й ☐ 3-й (заполнить по оценке вреда)
• Уровень защищённости: ☐ УЗ-1 ☐ УЗ-2 ☐ УЗ-3 ☐ УЗ-4
• Меры: TLS; разграничение доступа; резервное копирование; учёт действий; ограничение круга лиц
• Дата оценки: ________ · Следующий контроль (не реже 1 раза в 3 года): ________

Ответственный: ________________

1. ПДн на материальных носителях обособляются от иной информации.
2. Не допускается фиксация на одном носителе ПДн с несовместимыми целями обработки.
3. Для каждой категории ПДн — отдельный носитель либо раздельные разделы/поля форм.
4. Определяются места хранения носителей и перечень лиц с доступом.
5. Условия хранения исключают несанкционированный доступ.
6. Уточнение — обновлением носителя либо изготовлением нового с актуальными данными.
7. Уничтожение части данных — способом, исключающим восстановление (вымарывание / уничтожение носителя с предварительным копированием сохраняемых сведений).

Места хранения носителей: ________________

Ответственные: ________________

5.1. Цель процедуры

Обеспечить обработку данных в виде, при котором невозможно без дополнительной информации определить принадлежность данных конкретному субъекту (для статистики, аналитики, архивных и иных законных целей).

5.2. Допустимые методы (выбор оператора)

• Введение идентификаторов — замена ФИО, email, телефона на устойчивый код; таблица соответствия хранится отдельно.
• Изменение состава / семантики — обобщение возраста до диапазонов, города до региона и т.п.
• Перемешивание / разбиение — разделение атрибутов и перемешивание записей с сохранением статистической полезности.

5.3. Правила

1. Перед обезличиванием фиксируется цель и состав исходных ПДн.
2. Служебная информация для возможного деобезличивания (если создаётся) хранится отдельно, с доступом по перечню лиц.
3. Передача обезличенных данных третьим лицам — только если идентификация субъекта без служебной информации невозможна.
4. Деобезличивание — только при законном основании и протоколировании.
5. По завершении цели обезличенные данные уничтожаются либо продолжают храниться без возможности идентификации — по решению оператора.

5.4. Журнал операций обезличивания

Дата	Цель	Метод	Объём записей	Исполнитель	Примечание

АКТ № ____ об уничтожении персональных данных

г. ____________     «____» ________ 20__ г.

Комиссия / уполномоченное лицо в составе: ________________ рассмотрела вопрос об уничтожении персональных данных и установила:

• Основание уничтожения: ☐ истечение срока ☐ отзыв согласия ☐ требование субъекта ☐ иное: ______
• Категории субъектов: ________________
• Категории / состав ПДн: ________________
• Носители / ИСПДн: ________________
• Способ уничтожения: ☐ удаление из ИСПДн ☐ уничтожение материального носителя ☐ иное: ______
• Дата начала / окончания уничтожения: ______ / ______
• Подтверждение невозможности восстановления: ☐ да

Заключение: персональные данные уничтожены в полном объёме / в части: ________________

Подписи: ________________    ________________    ________________

Подтверждение уничтожения — в соответствии с ч. 7 ст. 21 152-ФЗ и требованиями уполномоченного органа.

1. Фиксация факта инцидента (дата, время, источник обнаружения).
2. Блокирование дальнейшего неправомерного доступа / передачи (по возможности).
3. В течение 24 часов — уведомление уполномоченного органа: факт, причины, предполагаемый вред, принятые меры, контакт уполномоченного лица оператора.
4. В течение 72 часов — результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной (при наличии).
5. При необходимости — информирование субъектов персональных данных.
6. Корректирующие меры и запись в журнале инцидентов.

Лицо для взаимодействия с уполномоченным органом: ________________

Контакты: bslegalofficial@gmail.com · +7 (938) 158-70-09

До начала обработки (или незамедлительно, если обработка уже ведётся) оператор направляет уведомление.

• ☐ Наименование / ФИО и адрес оператора
• ☐ Цель обработки (по каждой цели — категории ПДн, субъекты, основания, действия, способы)
• ☐ Меры по ст. 18.1 и 19 (в т.ч. сведения о СКЗИ при наличии)
• ☐ ФИО / наименование ответственного за организацию обработки, телефон, почта, email
• ☐ Дата начала обработки; срок или условие прекращения
• ☐ Наличие / отсутствие трансграничной передачи
• ☐ Место нахождения БД с ПДн граждан РФ
• ☐ Сведения об обеспечении безопасности по требованиям Правительства РФ
• ☐ После внесения в реестр — опубликовать номер записи в Политике ПДн

Заполненный черновик полей (режим физлица): /legal/rkn-notification-draft.html. Формы уведомлений — на портале уполномоченного органа. Изменения сведений — не позднее 15-го числа месяца, следующего за месяцем изменений.