Какие документы нужны ИП для соблюдения требований закона о персональных данных

Здравствуйте!

С учетом закона № 152-ФЗ  «О персональных данных» Ваш перечень в целом правильный, чуть дополню для полноты с комментариями:

Политика конфиденциальности и о сборе куки — разместите на сайте, обновляйте ежегодно.
Политика обработки ПД — утвердите приказом, храните в доступе.
Согласие на обработку ПД (контрагенты) — включите в договоры или оформите отдельно.
Согласие на обработку и распространение ПД (покупатели) — добавьте на сайт и маркетплейсы.
Форма отзыва согласия — укажите на сайте и в переписке.
Приказ о назначении ответственного — оформите на себя как ИП.
Согласие на рекламу — добавьте опцию согласия/отказа на сайте.
Положение о порядке хранения ПД (опционально) — составьте для ясности хранения данных.

Здравствуйте, Ольга!

Во-первых вы долны уведомить РКН о намерении обработки ПДн.

В 30-ти дневный срок ведомство примет решение о включении вас в соответствующий реестр.

Уведомление подается по форме (есть на сайте РКН). Лучше и проще его подать в электронном виде.

Обязательные документы:

·        Политика конфиденциальности. В ней прописываются и куки-файлы. В ней все, что обрабатывает ПДн.

·        Правила работы с персональными данными. Они могут входить в политику конфиденциальности, но в качестве самостоятельной части.

·        Согласие на обработку персональных данных.

В вашем случае приказ о назначении ответственного не нужен.

Защита персональных данных (шифрование,  антивирусы, ограничение доступа и др.) включается в Правила работы с ПДн — это часть этого документа.

Вывод: нужны эти три документа, но грамотно составленные.

Дополнительные: согласие на обработку и распространение ПД в целях оказания услуг. Вы расширяете цели использования ПДн. Это на ваше усмотрение. 

Уважаемая Ольга, здравствуйте! 

 Продажа товаров в интернет – магазине,

Сайт значит у Вас. Давайте по существу.

В соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», индивидуальный предприниматель, осуществляющий обработку персональных данных ПД в рамках своей деятельности, обязан соблюдать ряд требований, вне зависимости от наличия или отсутствия у Вас в штате сотрудников.

www.consultant.ru/document/cons_doc_LAW_61801/

Алгоритм напишу, т.к. работаю в этой «области»

В Вашем случае, как оператора ПД, необходимо:

1. Разработать и разместить на сайте политику в отношении обработки персональных данных (ч. 2 ст. 18.1 Закона № 152-ФЗ), а также политику конфиденциальности и уведомление о сборе файлов cookie, если осуществляется сбор данных через интернет-магазин ( а скорее всего он ведется, у большинства магазинов такой сбор через Яндекс — метрику)
2. Получать согласие субъектов ПД на обработку их данных (ч. 1 ст. 9 Закона № 152-ФЗ). Согласие должно быть конкретным, информированным и однозначным. Для покупателей интернет-магазина и контрагентов согласие оформляется отдельно, с учетом целей обработки.

(Лучше эти документы разместить в подвале сайта, плюс везде, где есть формы обратной связи — размещать чек боксы) 
3. Обеспечить возможность отзыва согласия субъектом ПД, а также предоставить инструкцию по отзыву (ч. 2 ст. 9 Закона № 152-ФЗ) — все через политику конфиденциальности можно прописать.
4. Оформить согласие на получение рекламных сообщений (ч. 1 ст. 18 Закона РФ от 13.03.2006 № 38-ФЗ «О рекламе»)отдельно!
5. Уведомить Роскомнадзор о начале обработки ПД, если не подпадаете под исключения, указанные в ч. 2 ст. 22 Закона № 152-ФЗ. Тут речь о том, что если ведете не автоматизированную обработку ПД, но это маловероятно, большинство, почти все все делают в автоматическом режиме.
— Для ИП, осуществляющего обработку ПД самостоятельно, приказ по ответственному — не нужен.

Обращаю внимание, что положения о защите ПД, порядке хранения, уничтожения и иные локальные акты должны быть составлены с учетом специфики Вашей деятельности и не могут ограничивать права субъектов ПД (п. 5 ч. 1 ст. 6, ч. 7 ст. 18.1 Закона № 152-ФЗ). Использование типовых документов, скачанных из открытых источников, не рекомендую, так как они могут не соответствовать Вашей деятельности и требованиям законодательства. То есть сначала разрабатывается Политика и согласие, только потом заполняется уведомление в РКН. Так как если у Вас что-то поменяется, то придется опять уведомлять РКН о том, что произошли изменения....

С уважением,   Д.А.Разина