В приложении предусмотрены настройки, которые позволяют обеспечить соответствие требованиям Федерального закона от 27.06.2006 №152-ФЗ «О персональных данных». Согласно закону и подзаконным актам реализована регистрация следующих событий:

■ вход в приложение;

■ выход из приложения;

■ аутентификация;

■ отказ в аутентификации;

■ доступ к персональным данным;

■ отказ в доступе к персональным данным.

В приложении могут регистрироваться события доступа к персональным данным (ПДн) с указанием субъекта. Для этого необходимо настроить регистрацию событий доступа к персональным данным, например, к персональным данным списка Демо: Физические лица. Подробнее о настройке регистрации событий доступа см. раздел Настройка приложения.

Субъекты персональных данных могут регистрироваться в следующих списках приложения:

■ Демо: Физические лица.

Согласно закону необходимо получить письменное согласие субъекта на обработку персональных данных (например, на регистрацию данных субъекта в списках приложения).

В приложении предусмотрена регистрация согласий субъектов во избежание повторного истребования согласия, когда это не требуется, и с целью повторного истребования, когда срок действия согласия уже истек. Подробнее см. раздел Работа с согласиями на обработку персональных данных (ПДн).

В приложении можно получить сведения о действующих на определенный момент согласиях на обработку ПДн и о согласиях, срок действия которых уже закончился. Подробнее см. раздел Отчеты по срокам действия согласий.

Для каждого субъекта в любой момент времени можно распечатать Согласие на обработку ПДн. Подробнее см. раздел Печать согласий.

Если по каким-либо причинам субъект не дал согласие на обработку данных Пдн, то в приложении предусмотрено уничтожение ПДн (подробнее см. раздел Уничтожение персональных данных).

Настройка приложения

Регистрация почти всех событий (кроме событий доступа к персональным данным) в приложении выполняется по умолчанию.

Для регистрации событий доступа к персональным данным физических лиц администратору приложения необходимо перейти по ссылке Настройки регистрации событий доступа к персональным данным раздела Администрирование– Настройки пользователей и прав – Защита персональных данных.

Далее необходимо установить флажок Личные данные для регистрации доступа к личным данным, установить флажок Паспортные данные для регистрации доступа к паспортным данным. После этого приложение автоматически регистрирует события доступа к этим данным в списке событий. Подробнее о списке см. раздел Работа со списком событий.

Включите флажок, для того чтобы Уничтожать персональные данные.Причиной уничтожения``может быть истечение срока действия согласия субъекта или его отсутствие. Подробнее см. раздел Уничтожение персональных данных.

 

Работа со списком событий

Администратор открывает список событий, устанавливает отбор по периоду и по событию, получает список зарегистрированных в приложении событий. Полученный список можно вывести на печать.

События, связанные с защитой персональных данных, фиксируются в приложении автоматически. Зарегистрированные в приложении события можно увидеть в списке Защита персональных данных. Список открывается с помощью ссылки раздела Администрирование– Настройки пользователей и прав. Также можно открыть список с помощью команды Защита персональных данных раздела Интегрируемые подсистемы.

Каждое событие фиксируется в отдельной строке списка. В колонке Дата, время помимо даты и времени значком отображается вид события. Важные события (с точки зрения доступа к персональным данным) выделяются в списке цветом. Для просмотра детальной информации о событии можно воспользоваться двойным щелчком мыши или кнопкой  Просмотр текущего события в отдельном окне. Подробнее см. раздел документации Настройки приложения. Журнал регистрации.

С помощью кнопки  Установить интервал дат для просмотра можно управлять интервалом показа событий, также можно воспользоваться двойным щелчком по содержимому колонки Дата, время. Можно выбрать произвольный период (с помощью календаря). С помощью ссылки Показать стандартные периоды можно открыть окно выбора, используя кнопки, выбрать стандартный период (например, День), затем выбрать одно из значений, (например, Сегодня).

В списке Защита персональных данных показаны не все события, а то количество, которое задано в поле Количество отбираемых событий. С помощью кнопок  Установить отбор по значению в текущей колонке и  Отключить отбор можно управлять отбором событий. Для этого выделите нужное событие в списке (например, Сеанс. Аутентификация), затем нажмите кнопку  Установить отбор по значению в текущей колонке. Также можно воспользоваться контекстным меню по правой кнопке мыши.

После отбора нужных событий с помощью командыЕще – Вывести список можно распечатать список Защита персональных данных.

Работа с согласиями на обработку персональных данных (ПДн)

Закон предписывает со всех субъектов, чьи персональные данные в приложении обрабатываются, получить согласие на такую обработку. При обращениях граждан в организациях обязательно ведется учет этих заявлений. Вместе с заявлением необходимо истребовать согласие на предоставление персональных данных. В то же время не следует требовать согласие повторно, если гражданин уже предоставлял его, и срок еще не истек.

В приложении хранятся полученные согласия на обработку персональных данных. Ведется учет согласий, выданных на определенный срок. Подробнее см. раздел Согласие на обработку персональных данных.

В списках субъектов персональных данных значком  отмечаются элементы, у которых не зарегистрировано согласие на обработку персональных данных.

Производится регистрация отказа от согласия (отзыв согласия) на обработку персональных данных. Подробнее см. раздел Отзыв согласия на обработку персональных данных.

Предусмотрена проверка наличия актуального действующего согласия по субъекту, а также получение списка субъектов, у которых срок действия согласия истекает в определенном периоде. Подробнее см. раздел Отчеты по срокам действия согласий.

В приложении предусмотрена печать формы согласия. Подробнее см. раздел Печать согласий.

Ввод Согласия на обработку ПДн возможен из тех списков, в которых имеются персональные данные, с помощью кнопки панели навигации:

■ Демо: Физические лица.

Также ввести Согласие или отзыв согласия можно в списке, подробнее см. раздел Список согласий.

Предусмотрена процедура уничтожения персональных данных субъектов в случаях, когда согласие субъекта истекло или не было получено. Подробнее см. раздел [Уничтожение персональных данных](#_скрытие_персональных_данных).

Согласие на обработку персональных данных

При получении согласия на обработку персональных данных вводится одноименный документ.

С помощью приложения можно проводить проверку персональных данных, например, при приеме на работу сотрудника:

■ Проверяется наличие зарегистрированных физических лиц;

■ Если физическое лицо было обнаружено, выполняется проверка наличия действующего согласия на обработку ПДн;

■ Если согласия на обработку ПДн не обнаружено, предлагается его ввести.

Предусмотрен также ввод согласия на обработку персональных данных из списков приложения, в которых хранятся персональные данные.

Для формирования документа Согласие на обработку ПДнна каждого субъекта персональных данных необходимо в выделенной строке списка или в одном из элементов списка воспользоваться кнопкой панели навигации. Также имеются аналогичные команды в меню Еще или в контекстном меню по правой кнопке мыши.

Датасогласия заполняется автоматически текущей датой.

В разделе Оператор персональных данных:

■  выберите Организацию из списка;

■ после этого автоматически заполняется Адрес (если он заполнен в карточке организации);

■ выберите из списка пользователейОтветственного за обработку персональных данных.

В разделе Субъект персональных данных персональные данные субъектов выбираются из списка Демо: Физические лица, при этом данные субъекта заполняются автоматически. Поэтому рекомендуется заносить все данные субъектов в список, а не только в окне согласия, т. к. этим облегчается последующая работа.

Если согласие вводится не на основании данных приложения, можно этот раздел заполнить вручную:

■ В поле Субъект сначала выберите список, затем выберите субъекта персональных данных из списка;

■ Сведения о субъекте персональных данных (ФИО и Паспортные данные) заполняются автоматически, если они заполнены в самом списке;

■ Напишите Адрес субъекта;

■ Поле Согласие получено заполняется автоматически текущей датой;

■ Проставьте Срок действиясогласия. Если срок действия не заполнен, то согласие на обработку персональных данных будет выдано бессрочно;

Важно! В карточке Демо: Физические лица по ссылке Сроки хранения персональных данных необходимо проставить срок хранения данных. Если срок хранения не заполнен, то в комментариях необходимо указать причину (например, если Субъект не дал Согласия``на обработку ПНд).

■ В поле Комментарий можно написать дополнительную информацию;

■ В поле Ответственный приложение автоматически проставляет текущего пользователя.

При выборе субъекта приложение проводит поиск зарегистрированных согласий на обработку ПДн. Если уже имеется действующее согласие этого субъекта в той же организации, выводится предупреждение.

В этот момент можно:

■ отказаться от регистрации документа, сообщив субъекту, что согласие уже не требуется;

■ предложить субъекту оформить согласие на более длительный срок.

С помощью ссылки, имеющейся в предупреждении, можно просмотреть согласие, зарегистрированное ранее.

Если необходимо ввести новоеСогласие на обработку персональных данных (данные субъекта изменились и т.д.), то сначала нужно отозвать ранее полученное согласие. Подробнее см. раздел Отзыв согласия на обработку персональных данных.

Нажмите кнопку Провести и закрыть, для того чтобы зарегистрировать в приложении согласие на обработку ПДн.

Второе такое же согласие на обработку персональных данных провести (т. е. зарегистрировать) невозможно. Приложение выводит сообщение об ошибке.

Отзыв согласия на обработку персональных данных

Субъект персональных данных в любой момент может отозвать свое согласие на обработку персональных данных. Для документирования этого события в приложении имеется документ Отзыв согласия на обработку ПДн.

Для ввода отзыва согласия в документе Согласие на обработку персональных данных имеется кнопка Создать на основании – Отзыв согласия на обработку ПДн.

В этом случае все необходимые сведения автоматически копируются из согласия на обработку персональных данных.

Приложение выводит предупреждение о наличии согласия на обработку персональных данных. Нажав на ссылку, можно перейти к просмотру согласия.

Заполните поле Ответственный за обработку ПДн, выберите из списка нужного пользователя.

В поле Комментарий можно написать дополнительные сведения.

Нажмите кнопку Провести и закрыть. После этого отзыв будет учтен приложением, и можно будет вводить новое согласие на обработку персональных данных.

Также ввести отзыв согласия на обработку персональных данных можно в списке Согласия на обработку ПДн с помощью кнопки Создать.

Отозванные согласия попадают в список Уничтоженных персональных данных.

Список согласий

В приложении ведется список Согласия на обработку ПДн, в котором хранятся согласия на обработку ПДн и отзывы согласий. Открыть список можно по команде в разделе Интегрируемые подсистемы.

С помощью кнопки Создать можно ввести:

■ Согласие на обработку персональных данных (подробнее см. раздел Согласие на обработку персональных данных);

■ Отзыв согласия на обработку персональных данных (подробнее см. раздел Отзыв согласия на обработку персональных данных).

С помощью команд меню Еще можно:

■ Установить период – отобрать согласия за определенный период;

■ Провести согласие или отзыв согласия;

■ Отменить проведение согласия или отзыва согласия.

В любой момент можно распечатать выделенные согласия с помощью кнопки Печать. Подробнее см. раздел Печать согласий.

С помощью кнопки Отчеты можно посмотреть движения выделенных согласий – данные о проведении документов и другие сведения. Подробнее см. раздел документации Отчет о движениях документа.

Печать согласий

Работник – оператор персональных данных (например, кадровик), выбирает из списка тех субъектов персональных данных, от которых нужно получить согласие, выводит печатные формы согласия. При этом в форме будут заполнены все данные, как организации, так и субъектов персональных данных.

В списке можно выделить несколько элементов, по каждому формируется согласие на обработку ПДн. Нажмите кнопку Печать, выберите нужную форму печати.

Печать возможна:

■ в виде офисного документа в формате Office Open XML, для этого требуются приложения, установленные на компьютере;

■ в виде табличных документов формата MXL (для печати в этом формате не требуется специальных приложений).

Каждое согласие на обработку также можно распечатать с помощью кнопки Печать. Выберите нужную печатную форму. При печати в формате MXL при необходимости можно выдать на печать несколько копий, возможны также другие действия с помощью кнопок панели навигации или команд меню Еще. Подробнее см. раздел документации Печать.

Отчеты по срокам действия согласий

Варианты отчетов для контроля сроков действия согласий на обработку ПДн можно открыть с помощью ссылок в панели отчетов раздела Интегрируемые подсистемы.

В приложении предусмотрены следующие варианты отчетов для контроля сроков действия согласий:

■ Действующие согласия на обработку персональных данных – отображается список согласий с отбором по организации. Возможен также отбор по дате действия. Отражаются Субъект, Дата получения, Срок действия;

■ Согласия на обработку персональных данных, срок действия которых истекает – отражаются согласия, срок действия которых попадает в выбранный период. Можно отобрать согласия, срок действия которых истекает, например, в Следующем квартале. Производится отбор по организации. В отчете отражается Субъект персональных данных, документ, на основании которого прекращается срок действия, Организация, Дата получения и Срок действия.

При необходимости (например, если согласий накопилось очень много), можно настроить более жесткие условия отбора с помощью кнопки Настройки. Подробнее см. раздел Варианты отчетов.

Уничтожение персональных данных

С 01.03.2023 года для компаний и индивидуальных предпринимателей вступили в силу новые требования к уничтожению персональных данных, утвержденные Роскомнадзором. Данные требования направлены на защиту персональных данных субъектов и обеспечение соответствия организаций требованиям законодательства. В соответствии с новыми требованиями оператор персональных данных обязан уничтожить обрабатываемые им данные в случаях, перечисленных в законе. К таким случаям относятся:

■ незаконное получение персональных данных или отсутствие необходимости в этих данных (ч. 1 ст. 14, ч. 3 ст. 20 Федерального закона от 27.07.2006 № 152-ФЗ, далее – Закон № 152-ФЗ);

■ неправомерная обработка персональных данных (ч. 3 ст. 21 Закона № 152-ФЗ);

■ достижение цели обработки персональных данных (ч. 4 ст. 21 Закона № 152-ФЗ);

■ отзыв субъектом персональных данных согласия на их обработку (ч. 5 ст. 21 Закона № 152-ФЗ).

При незаконном получении персональных данных компания обязана незамедлительно прекратить такую неправомерную обработку и обеспечить обработку в соответствии с законом. Если компания не может гарантировать законность обработки персональных данных, то она должна уничтожить имеющиеся персональные данные. 

Под уничтожением персональных данных понимают действия, в результате которых становится невозможным восстановить содержание ранее полученных персональных данных (ст. 3 Федерального закона от 27.07.2006 №152-ФЗ).

Уничтожение персональных данных осуществляется на основании приказа или распоряжения руководства компании. Приказом формируется комиссия из числа работников компании, в состав которой входит оператор персональных данных или иное должностное лицо, ответственное за обработку персональных данных. Первоначально комиссия составляет список персональных сведений, подлежащих уничтожению. После этого комиссия приступает к фактическому процессу уничтожения данных.

Способ уничтожения персональных данных компания выбирает самостоятельно. Бумажные документы, содержащие личную информацию, должны быть уничтожены, например, с помощью специального оборудования для шрединга. Шредеры различных уровней безопасности помогут раздробить бумагу на небольшие кусочки, делая восстановление невозможным. 

При ликвидации электронных данных требуется специальный подход. Важно удалить информацию на всех электронных устройствах, таких как компьютеры, ноутбуки, смартфоны и прочее. В таком случае, восстановление ранее содержащихся сведений в информационной системе должно полностью исключаться.

Если информация хранится на электронных носителях (жесткие диски, SSD, флешки и т.д.), то в таких случаях она может быть уничтожена путем физического разрушения носителя, использования специального оборудования для стирания данных или даже физическое измельчения носителя.

Для целей возможного подтверждения факта уничтожения персональных данных в суде, в правоохранительных или в других контролирующих органах, необходимо фиксировать факт уничтожения персональных данных.

Для того чтобы в приложении была возможность уничтожать персональные данные, необходимо в панели раздела Администрирование– Настройки пользователей и прав – Защита персональных данныхвключить флажокУничтожать персональные данные.По умолчанию флажок выключен.

В приложении имеется список персональных данных с субъектами,у которых истек или истекает срок хранения и требуется провести их последующее уничтожение. Открыть список можно по команде в разделе Интегрируемые подсистемы.

С помощью флажка Показывать только с истекшим сроком хранения отобразятся те персональные данные, у которых срок хранения истек.

На основании данного списка можно составить Акт об уничтожении персональных данных. Также в поле Комментарий можно увидеть причину, по которой необходимо составить данный акт.

Акт об уничтожении персональных данных

Если персональные данные обрабатывались вручную, то требуется составить специальный акт об уничтожении ПДн, подтверждающий факт уничтожения данных.

Если же обработка персональных данных проводилась с использованием средств автоматизации, например, при помощи компьютеров, то наряду с актом об уничтожении персональных данных потребуется сделать выгрузку из журнала регистрации событий в информационной системе оператора персональных данных.

Акт об уничтожении персональных данных представляет собой документ, который фиксирует факт безвозвратного удаления персональных данных.

Для того чтобы создать Акт об уничтожении персональных данных,выберите из списка Уничтожение персональных данных один или несколько субъектов и нажмите на кнопку Создать акты. Откроется форма создания акта, где с помощью выпадающего списка нужно указать:

■ наименование организации или ФИО предпринимателя, от имени которого будут формироваться акты;

■ причину уничтожения персональных данных, например, По заявлению физического лица;

■ способ уничтожения персональных данных, например, Уничтожение носителя информации;

■ ответственного за обработку персональных данных.

При проведении акта произойдет полное уничтожение персональных данных.

Важно! Данная операция является необратимой, уничтоженные персональные данные не смогут быть восстановлены.

В раздел Категории персональных данных в соответствии с классификацией ФЗ-152 входят:

■ Фамилия, имя, отчество;

■ Дата и место рождения;

■ Сведения о постановке на налоговый учет (ИНН);

■ Сведения о регистрации в Пенсионном фонде (номер страхового свидетельства);

■ Фотография;

■ Паспортные данные;

■ Сведения о месте регистрации и месте проживания;

■ Контактная информация.

Печать акта и выгрузки

Нажмите кнопку Печать для того, чтобы вывести печатную форму Акта об уничтожении персональных данных и Выгрузку из журнала.

Выгрузка из журнала регистрации должна содержать:

■ ФИО лиц, чьи персональные данные были уничтожены;

■ перечень категорий уничтоженных персональных данных;

■ наименование информационной системы персональных данных, из которой были уничтожены персональные данные;

■ причину уничтожения персональных данных и дату их уничтожения.

Акт об уничтожении персональных данных и Выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных. Данный порядок уничтожения персональных данных будет действовать до 1 марта 2029 года.

Роли для настройки защиты персональных данных

В состав приложения входят следующие роли для настройки защиты персональных данных:

Роль	Краткое описание
Полные права	Дает право на просмотр списка Защита персональных данных и на проведение настроек регистрации событий доступа к персональным данным.
Чтение актов об уничтожении персональных данных	Дает право на просмотр актов об уничтожении персональных данных.
Добавление и изменение актов об уничтожении персональных данных	Дает право на ввод и редактирование актов об уничтожении персональных данных, а также запуск уничтожения персональных данных.