Законодательные нормы

• Целевое назначение — информация может быть получена и использована только для конкретных задач, заранее обозначенных оператором. Сбор данных «на всякий случай» недопустим.
• Минимизация — объём обрабатываемой информации должен строго соответствовать поставленным задачам. Получение данных, не имеющих отношения к цели, считается нарушением.
• Ограниченность сроков хранения — личные данные не подлежат хранению дольше, чем это необходимо для достижения заявленных целей. По истечении срока сведения должны быть уничтожены или обезличены.

Обязанности

• Уведомлять Роскомнадзор о начале работы с данными (ст. 22 закона №152-ФЗ). Уведомление можно не предъявлять лишь в особых случаях: обработка данных в ГИС для защиты безопасности общественного порядка, обработка ПД без средств автоматизации, обработка ПД в целях обеспечения транспортной безопасности. klerk.ruastral.ru
• Информировать субъектов о целях, способах и условиях обработки. e-kontur.ru
• Защищать информацию от утечки и оперативно уведомлять о том, что она произошла. e-kontur.ru
• Хранить сведения на российских серверах. e-kontur.ru
• Оперативно реагировать на запросы субъектов об их ПД. e-kontur.ru
• Уничтожать или обезличивать сведения после завершения обработки. e-kontur.ru

Процедуры

• Определить, какие данные обрабатываются — нельзя собирать больше данных, чем требуется для конкретной цели.
• Выбрать и внедрить технические и организационные меры защиты — защитить данные от утечки, кражи, потери или несанкционированного доступа. Для этого необходимо использовать антивирусы, надёжные пароли, шифрование, резервное копирование.
• Назначить ответственное лицо — сотрудника, который будет отвечать за работу с персональными данными в организации. Сотрудников, которые получают доступ к персональным данным, важно обучить работе с ними, ознакомить с нормативными документами и подписать соглашение о неразглашении.

Ответственность