На Дне открытых дверей Роскомнадзора 14 августа 2026 года организация процессов обработки персональных данных была выделена в самостоятельную практическую тему. Последовательность принципиальна: сначала оператор определяет цель, правовое основание, необходимый состав данных и срок обработки, а затем отражает эти решения в документах и уведомлении ведомства.
Такой подход меняет предмет проверки. Наличие политики, согласий и приказов само по себе не показывает, что обработка организована правильно. Значение имеет соответствие между документами и тем, как сведения фактически поступают, используются, передаются, хранятся и уничтожаются.
Коротко: что означает процессный подход
| Уровень | Что необходимо определить | Как проявляется расхождение |
|---|---|---|
| Цель | Конкретный результат обработки | Данные собираются «для деятельности организации» без ясных границ |
| Основание | Норма закона, договор, согласие или иное основание | Согласие используется формально либо не соответствует цели |
| Состав данных | Минимально необходимый перечень | Подразделение или система сохраняет сведения «на будущее» |
| Действия и участники | Кто и что делает с данными | Реальный получатель или подрядчик не учтён в документах |
| Срок | Условие окончания обработки | Записи сохраняются после достижения цели без отдельного основания |
| Доказательства | Чем подтверждается соблюдение решений | Документ принят, но его выполнение нельзя проследить |
Почему процесс первичен по отношению к документам
Федеральный закон № 152-ФЗ связывает допустимость обработки с конкретными целями и правовыми основаниями. Содержание и объём данных должны соответствовать заявленным целям, а хранение — продолжаться не дольше, чем этого требует обработка, если иной срок не предусмотрен законом или договором.
Политика и локальные акты фиксируют принятые оператором правила. Но они не создают фактическую картину задним числом. Если неизвестно, какие подразделения получают сведения, куда передаётся заявка, какие копии возникают и когда они удаляются, невозможно достоверно описать обработку одним юридическим текстом.
Проверяется не количество документов, а согласованность связки «цель → основание → данные → действие → система → участник → срок → доказательство».
Это не означает, что для каждой операции требуется отдельный локальный акт. Структура документов зависит от масштаба оператора. Однако объединение разных процессов допустимо только тогда, когда не стираются различия в целях, основаниях, категориях субъектов и сроках.
Как определить границы процесса
Границы нельзя установить только по названию информационной системы. CRM может одновременно использоваться для исполнения договоров, обработки обращений и маркетинговых коммуникаций. При этом одна цель может включать сайт, электронную почту, бумажные документы, телефонию и работу подрядчика.
При оценке процесса рассматривают как минимум четыре измерения.
Деловая цель
Формулировка должна позволять понять, какой результат достигается и когда он достигнут. Чем шире и неопределённее цель, тем сложнее обосновать состав данных, круг получателей и срок хранения.
Путь данных
Важно установить не только точку получения, но и последующие перемещения: ручную выгрузку, пересылку, интеграцию, резервную копию, бумажный экземпляр и доступ привлечённых лиц. На этом уровне часто обнаруживается практика, не отражённая в политике или уведомлении.
Участники
Роли подразделений и внешних организаций различаются. Необходимо отделять лиц, действующих по поручению оператора, самостоятельных операторов и получателей, которым данные предоставляются на другом основании. Формальная ссылка на договор с подрядчиком не отвечает на вопрос, какие действия он выполняет фактически.
Окончание обработки
Срок может быть задан датой, периодом или наступлением события. Для оценки важна не только формулировка, но и механизм её исполнения во всех местах хранения, включая архивы и резервные копии.
Где возникают типовые расхождения
Наиболее существенные риски появляются на стыках между подразделениями и системами:
- форма сайта обновлена, а карта обработки и уведомление остались прежними;
- отдел продаж использует сведения после исполнения обращения для новой цели;
- подрядчик получает больший объём данных, чем следует из поручения;
- срок указан в документе, но технического правила удаления нет;
- согласие охватывает несколько самостоятельных целей без возможности их разграничить;
- бумажные копии учитываются отдельно от цифровой системы или не учитываются вовсе;
- подразделение собирает дополнительные поля, которые не нужны для заявленного результата.
Такие расхождения нельзя устранить простой заменой формулировок. Сначала устанавливается фактическая причина: бизнес-требование, настройка системы, неформальная практика или отсутствие ответственного действия. Только после этого определяется, что нужно изменить — процесс, техническую настройку, договор, документ или уведомление.
Что подтверждает фактическую организацию обработки
Доказательная база не сводится к утверждённым положениям. В зависимости от процесса значение могут иметь распределение доступа, настройки систем, договоры и поручения, журналы событий, подтверждения уничтожения, версии форм, обращения субъектов и результаты внутреннего контроля.
Универсального комплекта для любой организации нет. Набор подтверждений зависит от целей, категорий данных, способов обработки и принятых мер. Поэтому опубликованный в интернете перечень документов не заменяет анализ конкретной деятельности оператора.
Как оценивать согласованность без формального чек-листа
Внутренняя оценка должна отвечать не только на вопрос «есть ли документ», но и на три более сложных вопроса:
- Соответствует ли принятое решение требованиям и заявленной цели.
- Реализовано ли это решение в подразделениях, системах и отношениях с подрядчиками.
- Можно ли подтвердить его выполнение актуальными доказательствами.
Результатом становится карта расхождений и рисков с приоритетами. Она показывает, где фактическая практика расходится с правовым основанием, документами или уведомлением. Конкретный порядок корректирующих действий определяется после оценки причин и влияния на связанные процессы.
Что важно учесть оператору
Процессный подход не увеличивает число документов ради формальности. Он позволяет избежать обратной ситуации, когда объёмный комплект локальных актов описывает модель, которой в организации нет.
Для оператора ключевым становится сопоставление требований, решений, фактических действий и доказательств. Именно эта связка показывает, насколько управление персональными данными встроено в работу организации, а не существует отдельно от неё.
Частые вопросы
Почему нельзя начинать работу только с подготовки политики и согласий?
Документы должны описывать реальные цели, основания, состав данных, действия, сроки и участников обработки. Если эти параметры предварительно не определены, документы могут не соответствовать фактической практике.
Что считается процессом обработки персональных данных?
Это связанная последовательность действий с данными для конкретной цели: от получения и использования до передачи, хранения, блокирования или уничтожения. Границы процесса зависят от реальной деятельности оператора.
Достаточно ли перечня информационных систем?
Нет. Одна система может обслуживать несколько целей, а один процесс может проходить через несколько систем, бумажные документы и подрядчиков. Необходимо анализировать и техническую, и организационную часть.
Нужен ли отдельный документ под названием «карта процессов»?
Закон не устанавливает универсальное название такого документа. Важно, чтобы оператор мог последовательно подтвердить цели, основания, состав данных, участников, сроки и реализуемые меры.
Когда карту обработки нужно пересматривать?
При изменении целей, состава данных, систем, подрядчиков, способов обработки, сроков или иных фактических условий. Периодичность внутреннего контроля оператор определяет с учётом масштаба и рисков обработки.
Официальные источники
Итоги Дня открытых дверей Роскомнадзора 14 августа 2026 года — организация процессов обработки и вопросы операторов.
Запись Дня открытых дверей — официальная видеозапись докладов и сессии вопросов и ответов.
Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» — принципы обработки и обязанности оператора.
Материал подготовлен на основании официальных источников и актуален на 3 сентября 2026 года.