1. Персональные данные ваших сотрудников используются только для целей оформления и в процессе трудовых отношений?
На практике в абсолютном большинстве случаев персональные данные работников используются компанией и для иных целей, кроме оформления трудовых отношений, не требующего получения согласия.
Поэтому подумайте: храните ли вы копию паспорта и свидетельства о заключении брака в личном деле работника? Заполняют ли работники при приеме на работу анкету о своих хобби, личном автотранспорте, вредных привычках? Как долго вы храните данные о кандидатах, не прошедших собеседование? Вы точно не планируете размещать фото, Ф.И.О. и контактные данные работников на вашем корпоративном сайте? А может быть, вы регулярно согласовываете кандидатуры и показатели эффективности работников с головным офисом вашей компании в иностранной юрисдикции?
2. Ведете ли вы бизнес онлайн?
Положительный ответ означает, что изменения, вступающие в силу в ноябре 2021 года, непременно вас коснутся. Личные кабинеты, истории просмотров и покупок, идентификация через социальные сети, как правило, тесно связаны с персональными данными разной степени очевидности. Во всем этом лучше разобраться до того, как начнут применяться меры административной ответственности, которые уже полгода как введены в действие.
Не спешите радоваться, если ваш бизнес сосредоточен только офлайн и вы не имеете никакого отношения к IT. Вспомните, давно ли делали рекламную / информационную рассылку или обзвон по базе своих клиентов, чтобы напомнить им о своей компании? Если ничто человеческое вам не чуждо, перепроверить законность своих действий вам придется с учетом нового закона.
3. Храните ли вы персональные данные работников, клиентов, деловых партнеров, пользователей сайта / приложения в облачном хранилище? Пользуетесь ли сервисами «Google Документы» и «Google Таблицы»? А может быть, используете для этого облачную CRM-систему?
Здесь следует помнить, что трансграничная передача, которой и является помещение персональных данных в облачное хранилище, не допускается без согласия субъекта персональных данных, полученного в надлежащей форме.