Исчерпывающего пакета документов по обработке НКО персональных данных (ПДн) не существует. Каждая организация должна разработать свой набор документов, соответствующий ее особенностям и требованиям законодательства. Но есть несколько ключевых документов, которые обычно требуются.

Минимальный перечень необходимых документов формируется исходя из требований ст.ст. 18.1 и 19 ФЗ «О персональных данных», в которых закреплены обязанности операторов ПДн.

Назначить можно только штатного работника организации, либо же ее руководитель приказом возлагает эти обязанности на себя. Основные функции ответственного — разработка локальных актов по вопросам обработки ПДн, внутренний контроль за обработкой ПДн и взаимодействие с Роскомнадзором.

Включает принципы обработки ПДн, обязанности работников, процедуры сбора, хранения, использования и защиты ПДн, а также процедуры реагирования на инциденты, связанные с безопасностью данных.

Документ должен называться именно «‎Политика обработки персональных данных», а не «‎Политика конфиденциальности»‎ или «Политика информационной безопасности» и т. д.

Рекомендации по составлению политики размещены на официальном сайте Роскомнадзора.

Этот документ уточняет и конкретизирует положения Политики обработки ПДн: правила сбора, обработки, хранения и удаления ПДн, процедуры обеспечения безопасности, правила доступа к данным, ответственность сотрудников и другие аспекты работы с ПДн.

Согласие на обработку ПДн может быть дано субъектом в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Как правило, используется письменная форма.

Обязанность предоставить доказательство получения согласия или наличия оснований обработки ПДн возлагается на оператора Пдн.

Письменное согласие может быть подписано собственноручно или с использованием ЭЦП, а также оно может быть дано через личный кабинет на портале госуслуг. За несовершеннолетнего согласие на обработку его ПДн дают законные представители (родители, руководители специализированных воспитательных учреждений). Объединять в одном документе согласия на обработку несовершеннолетнего и его законного представителя нельзя, поскольку это разные субъекты ПДн, но первый в силу своей ограниченной дееспособности не вправе делать это самостоятельно.

Обнародование и дальнейшее использование изображения человека (фотографии, видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с его согласия. После смерти гражданина его изображение может использоваться только с согласия детей и пережившего супруга, а при их отсутствии — с согласия родителей (ст. 152.1 ГК).

Согласием на использование изображения является согласие на обработку ПДн, в котором в перечень обрабатываемых ПДн включены фото- и видеоизображения.

Согласие должно включать в себя:

Такое согласие не требуется, если:

 — изображение используется в государственных, общественных или иных публичных интересах,

 — изображение получено при съемке в местах, открытых для свободного посещения, на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и т. п.), кроме случаев, когда такое изображение является основным объектом использования,

 — человек позировал за плату.

Согласие на распространение ПДн оформляется отдельно от всех остальных согласий. Молчание или бездействие субъекта ПДн ни при каких обстоятельствах не может считаться согласием на распространение.

Требования к такому согласию установлены в Приказе Роскомнадзора от 24 февраля 2021 года № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения».

Согласие должно включать в себя:

Согласие на распространение ПДн нельзя объединять с согласием на обработку ПДн.