Кому нужна защита персональных данных
11 лет практики в защите бизнеса
50+
Руководство для медицинских клиник по работе с персональными данными
30
дней
Средняя скорость выстраивания системы защиты ПДн в вашем бизнесе
100
%
проектов успешно прошли проверки и запросы Роскомнадзора
Сергей Кормилицин
Юрист, основатель Юридического бутика Polegis, амбассадор Ассоциации компаний по защите персональных данных, спикер.
Популяризирует защиту персональных данных для бизнеса в РФ.
Специализируется на юридическом сопровождении медицинского, e-com и IT-бизнеса 15 лет.
Ключевые направления:
Создание систем защиты персональных данных и интеллектуальной собственности бизнеса.
Решение нестандартных задач медицинского, e-com и IT-бизнеса: от точечной настройки под отдельные процессы до сопровождения сделок.
Обучение команд правилам работы с персональными данными.
Образование:
Российский государственный университет правосудия имени В.М. Лебедева
Нам доверяют
Интернет-магазин фермерских продуктов
Интернет-магазин деликатесов
Аренда загородного пространства для кэмпов и тимбилдингов
Типография полного цикла
IT-платформа для организации корпоративных мероприятий и коммуникации сотрудников
Магазин по продаже внутриигровых товаров
Закупка и продажа оборудования из Китая
Платформа для реализации телеком оборудования
Инновационная стоматологическая клиника для взрослых и детей
Благотворительный фонд помощи детским домам и интернатам
Фирменное джелато собственного производства от Елены Набиуллиной
Сеть офтальмологических клиник
Клиника женского здоровья и молодости. Место, созданное врачом и женщиной
Аналитический центр ААИ ГСМ
Научные исследования в области горюче-смазочных материалов
Продуктовая линейка по защите персональных данных
Корпоративный стандарт
Стоимость:
по запросу
Полноценная система управления персональными данными для среднего и крупного бизнеса.
Выстраиваем постоянную систему управления, а не разовый проект. Работаем вместе с вашей IT-командой, чтобы безопасность была на всех уровнях.
Результат:
Выстроена комплексная система защиты данных.
Компания готова к проверкам РКН.
Минимизированы риски штрафов и блокировок.
Внедрено централизованное управление данными.
Подходит: компаниям с повышенными требованиями к безопасности и комплаенсу.
Базовый стандарт
Стоимость:
по запросу
Обязательный минимум по защите персональных данных во всей компании.
Выстроим необходимый минимум во всей компании за 30 дней. Это стабильное соответствие закону, но без выделенного специалиста по защите данных.
Результат:
Закрыты риски в ключевых бизнес-процессах.
Внедрена безопасная обработка персональных данных.
Компания готова к проверкам Роскомнадзора.
Минимизирован риск штрафов.
Подходит: растущему бизнесу и компаниям из регулируемых отраслей.
Безопасный сайт
Стоимость:
50 000 ₽
Приводим сайт в соответствие требованиям законодательства о персональных данных.
Разрабатываем документы под ваш сайт, а не используем шаблоны. Услуга закрывает риски именно онлайн-сбора и не затрагивает работу внутри компании (CRM, сотрудники).
Результат:
Закрыты основные риски онлайн-сбора данных.
Минимизирован риск жалоб и штрафов.
Сайт соответствует обязательным требованиям закона.
Усилено доверие клиентов.
Подходит: компаниям, которые собирают заявки через сайт.
Экспресс-диагностика
Стоимость:
20 000 ₽
Точка входа, чтобы понять текущее состояние.
Формат: онлайн-конференция. Даем письменное заключение, в котором описаны риски и штрафы, и что сделать, чтобы их устранить самостоятельно.
Результат:
Выявлены ключевые нарушения.
Определены критичные риски.
Подготовлен план устранения нарушений.
Экспресс-диагностика - это оценка текущего положения дел и маршрутная карта для самостоятельной работы.
Подходит: малому бизнесу или тем, кто хочет попробовать формат.
Наши кейсы
Защита персональных данных в стоматологической клинике
Знакомьтесь — стоматология InLine. Клиника расположена в Москве, на рынке 4 года. Оказывают весь спектр стоматологических услуг для взрослых и детей.
Ситуация ДО работы с Polegis
Ситуация типовая: документы есть, но они существуют отдельно от реальных бизнес-процессов.
На сайте:
- Опубликована типовая политика обработки персональных данных: не указаны все цели сбора, не прописаны субъекты (чьи данные собираются) и категории собираемых данных.
- Присутствуют формы сбора данных без согласия на обработку.
- Нет отдельного согласия на рекламную рассылку.
Внутренние процессы:
- Уведомление в РКН подано формально, без всех целей обработки. Это приравнивается к отсутствию уведомления.
- Отсутствует комплект организационно-распорядительной документации и локальных актов по защите персональных данных.
При проверке или запросе Роскомнадзора клиника не смогла бы оперативно подготовить ответ или выстроить защиту. Руководство знало о высоких штрафах и рисках на сайте, но полагалось на разработчиков в части подготовки документов для онлайн-контура.
По итогам аудита только в публичном поле (то, что видно через сайт и открытые источники) риски штрафов оценены в 850 000 — 2 300 000 рублей. При выездной проверке РКН сумма могла бы быть значительно выше.
Как мы работали
Провели аудит сайта:
- Разобрали все точки сбора персональных данных: формы записи, обратной связи, онлайн-консультаций.
- Выявили нарушения, которые являются триггерами для проверок Роскомнадзора.
- Зафиксировали юридические риски и связали их с потенциальными штрафами.
Скорректировали данные для подачи в РКН:
- Переработали цели обработки персональных данных под реальные процессы клиники.
- Устранили расхождения между фактической деятельностью и поданным уведомлением.
- Привели уведомление в состояние, при котором оно действительно защищает, а не создаёт дополнительные риски.
Подготовили четкий план работ:
- Разбили процесс на этапы с понятными результатами.
- Определили приоритетные зоны риска: сайт, документы, внутренние процессы.
Создали реестр процессов обработки персональных данных:
- Описали, какие данные, где и зачем собираются.
- Зафиксировали все категории субъектов (пациенты, сотрудники и др.).
- Связали каждый процесс с правовым основанием обработки.
Разработали и дополнили документы:
- Описали, какие данные, где и зачем собираются.
- Привели политику обработки ПДн в соответствие с реальной деятельностью.
- Подготовили согласия под конкретные цели (включая маркетинг).
- Разработали комплект локальных актов для внутренней защиты. Всего подготовили около 15 документов.
- Связали каждый процесс с правовым основанием обработки.
Сделали текст для Cookies:
- Учли требования законодательства и практику проверок.
- Убрали формальные и «пустые» формулировки.
- Сделали текст, который реально снижает риск претензий.
Передали документы с инструкцией по применению:
- Объяснили, какие документы и в каких случаях использовать.
- Дали алгоритмы действий при запросах и проверках.
- Убрали зависимость от внешнего юриста в ежедневной работе.
Результат
Сформирована базовая документация по персональным данным — стройная и логичная.
Система готова к проверке: в случае запроса достаточно открыть папку и показать документы.
Риски штрафов (в публичном поле — до 2,3 млн рублей, при выездной проверке — до 15 млн) локализованы за счёт легитимизации всех процессов.
ЖСК под риском штрафов: как навели порядок в персональных данных
Проблема
К нам обратился жилищно-строительный кооператив, который управляет многоквартирными домами. До начала работы с нами у кооператива не было никакой документации по персональным данным: ни политики, ни внутренних документов, которые должны быть в соответствии с законом.
Риск штрафов при первичном аудите был оценён в 2 500 000 рублей.
Почему это критично?
Жилищная сфера вместе с медициной, туризмом и онлайн-образованием относится к приоритетным направлениям, которые проверяет Роскомнадзор. Здесь всегда обрабатывается много данных граждан, и нарушения находят чаще всего. Сфера ЖКУ находится под особым вниманием регулятора.
В таких организациях всегда есть:
- Реестры жильцов.
- Паспортные данные.
- Информация о собственности.
Это прямой триггер для проверок.
Что мы сделали?
1. Провели аудит:
Мы начали с аудита деятельности заказчика. Определили, чьи данные обрабатываются и какие именно категории, а также установили правовые основания обработки.
Важный момент: в разработанных документах отсутствует согласие на обработку персональных данных. Мы определили другие основания: либо договор, либо законные основания. Деятельность ЖСК устроена так, что согласия здесь практически никогда не нужны.
ЖСК не нужно подписывать лишнюю «бумагу».
2. Зафиксировали все процессы обработки данных в одном реестре.
Теперь кооператив в любой момент может обосновать РКН, какие данные и на каком основании он обрабатывает. Прописали каждую категорию субъектов:
- Члены ЖСК.
- Жители дома, которые не вступали в кооператив, но получают жилищно-коммунальные услуги.
- Работники.
- Физлица, с которыми кооператив вступает в отношения.
Для каждой категории мы зафиксировали свои основания для обработки данных.
3. Разработали полный пакет документов.
Мы создали всю необходимую документацию:
- Политику в отношении обработки данных.
- Приказы и акт оценки вреда.
- Образцы на будущее (акт уничтожения персональных данных, ответ на запрос субъекта).
- Положение по организации обработки персональных данных.
- Журнал регистрации обращений.
- Отдельный комплект документов для работников.
Результат
У ЖСК появился полный комплект документов.
Все процессы обработки персональных данных структурированы и обоснованы.
Устранены ключевые риски, за которые чаще всего привлекает к ответственности Роскомнадзор.
Организация готова к проверке и может уверенно отвечать на запросы регулятора.
Риск штрафов до 2,5 млн рублей сведён к минимуму.
Если у вас ЖСК или управляющая компания и нет уверенности, что с персональными данными всё в порядке — пишите (https://t.me/sk_advokat), разберем вашу ситуацию и поможем.
Медиацентр Polegis
Делимся практикой, разбираем реальные кейсы и объясняем сложные вопросы защиты персональных данных простым языком.
Получите экспертную оценку
Проконсультируем по вопросам обработки персональных данных, проверок Роскомнадзора и выстраивания системы защиты данных в компании.
