Аудит ПДн площадки с форумом и личными кабинетами

Ситуация

Онлайн-площадка использовала регистрацию пользователей, личные кабинеты и форум, где в открытом доступе могли размещаться никнеймы и фотографии.

Стояла задача определить, как должна быть организована обработка данных российских пользователей с учетом фактической работы сайта, иностранной инфраструктуры и публичного пользовательского контента.

Риски

Проверка показала, что одной актуализации политики недостаточно. Риски возникали сразу в нескольких точках:

локализация персональных данных российских пользователей
использование иностранной инфраструктуры и сервисов авторизации
получение и фиксация согласий на обработку данных
отдельное согласие на публикацию никнеймов и фотографий в открытом доступе
отсутствие актуальной политики и внутренних документов оператора
требования к защите информационных систем, в которых обрабатываются персональные данные

Для проекта это означало риск претензий Роскомнадзора не из-за одного документа, а из-за несоответствия всей фактической модели обработки данных требованиям российского законодательства.

Что сделали

разобрали путь персональных данных от регистрации пользователя до хранения и публикации информации на сайте
определили требования к российскому оператору, локализации инфраструктуры, регистрации пользователей, получению и фиксации согласий, публикации пользовательских данных и внутренним документам
отдельно определили требования к защите информационной системы и необходимым организационным мерам

Результат

Клиент получил целевую модель обработки персональных данных российского сегмента: кто должен выступать оператором, где должны обрабатываться данные, как организовать регистрацию и согласия, какие документы необходимы и какие требования предъявляются к защите данных.

Также был сформирован конкретный перечень изменений по инфраструктуре, пользовательским сценариям и внутренним процессам.

аудит персональных данныхонлайн-площадкаличные кабинетыфорумлокализация данных