Политика обработки персональных данных, если нет сайта

Должна ли быть в организации Политика обработки ПД, если нет сайта?

В статье 18_1 Закона о персональных данных[1] указаны меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных этим Федеральным законом.

Согласно этой статье оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, однако операторы, являющиеся юридическими лицами, в обязательном порядке должны принимать, в частности, следующие меры:

• назначать ответственного за организацию обработки ПД;
• применять правовые, организационные и технические меры по обеспечению безопасности ПД;
• издавать локальные акты по вопросам обработки ПД;
• издавать документы, определяющие политику оператора в отношении обработки ПД;
• осуществлять внутренний контроль и/или аудит соответствия обработки ПД Федеральному закону № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПД, политике оператора в отношении обработки ПД, его локальным нормативным актам;
• ознакомить работников оператора, непосредственно осуществляющих обработку ПД, с положениями законодательства РФ о ПД, в том числе требованиями к защите ПД, документами, определяющими политику оператора в отношении обработки ПД, локальными актами по вопросам обработки ПД, и/или обучение указанных работников.

Следовательно, вывод однозначен: каждый работодатель обязан иметь документ, определяющий его политику в отношении обработки персональных данных своих работников (а также, при наличии, исполнителей, партнеров, клиентов, пациентов и других физических лиц).

Этот документ может быть:

• непосредственно «Политика в отношении обработки персональных данных …» (указываются категории физических лиц);
• ЛНА по вопросам обработки персональных данных (например, «Положение о персональных данных»), одним из разделов которого является «Политика …».

Структуру и содержание Политики в отношении обработки персональных данных вправе определять оператор — это пояснил Роскомнадзор в письме от 19.10.2021 № 08-71063.