Политика обеспечения безопасности персональных данных адвокатского кабинета

1. Назначение и область применения

Настоящая Политика определяет организационные и технические меры, применяемые адвокатским кабинетом адвоката Оксаны Петровской для обеспечения безопасности персональных данных при их обработке на сайте LegalFlow Expert, при получении обращений, подготовке консультаций, заключении и исполнении соглашений об оказании юридической помощи.

Политика применяется к персональным данным доверителей, заявителей, представителей организаций, контрагентов, подписчиков, посетителей сайта и иных лиц, сведения о которых поступают в адвокатский кабинет в связи с обращением за юридической помощью или коммуникацией через сайт.

Если сведения связаны с обращением за юридической помощью или ее оказанием, к ним дополнительно применяется режим адвокатской тайны. Такой режим имеет приоритет при выборе способов доступа, хранения, передачи и уничтожения материалов.

2. Нормативная основа

Политика разработана с учетом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Федерального закона от 31.05.2002 № 63-ФЗ «Об адвокатской деятельности и адвокатуре в Российской Федерации», Кодекса профессиональной этики адвоката, постановления Правительства РФ от 01.11.2012 № 1119, постановления Правительства РФ от 15.09.2008 № 687 и приказа ФСТЭК России от 18.02.2013 № 21.

Политика используется совместно с опубликованной на сайте политикой обработки персональных данных, соглашениями с доверителями, правилами хранения адвокатских производств и внутренними мерами контроля доступа к материалам.

3. Цели защиты персональных данных

Основные цели обеспечения безопасности персональных данных:

• предотвращение неправомерного или случайного доступа к персональным данным;
• исключение уничтожения, изменения, блокирования, копирования, предоставления или распространения персональных данных без правового основания;
• сохранение адвокатской тайны и конфиденциальности сведений, полученных от доверителей;
• обеспечение целостности и доступности данных, необходимых для оказания юридической помощи;
• своевременное выявление и реагирование на инциденты безопасности.

4. Категории данных и источники поступления

В адвокатском кабинете могут обрабатываться фамилия, имя, отчество, контактные данные, сведения о компании или статусе заявителя, содержание обращения, документы и материалы, предоставленные доверителем или его представителем, платежная и договорная информация, а также технические сведения о взаимодействии с сайтом.

Специальные категории персональных данных, сведения о судимости, процессуальные материалы, медицинские, финансовые и иные чувствительные сведения обрабатываются только если они необходимы для анализа правовой ситуации, защиты прав доверителя, подготовки позиции или исполнения требований закона.

Персональные данные поступают через формы сайта, электронную почту, мессенджеры, личные встречи, документы доверителей, открытые источники, государственные и судебные информационные системы, а также от представителей доверителей при наличии правового основания.

5. Принципы безопасности и конфиденциальности

• доступ к персональным данным предоставляется только при наличии служебной или профессиональной необходимости;
• объем обрабатываемых данных ограничивается целями обращения и оказания юридической помощи;
• материалы адвокатского производства хранятся отдельно от общедоступных и маркетинговых материалов;
• передача данных третьим лицам допускается только при наличии правового основания, поручения доверителя, согласия субъекта данных или обязанности, установленной законом;
• пароли, ключи доступа, токены, архивы документов и резервные копии не размещаются в открытом доступе;
• при публикации кейсов, статей и аналитики используются обезличивание, согласование с доверителем или сведения из законно открытых источников.

6. Организационные меры защиты

В адвокатском кабинете применяются следующие организационные меры:

• назначение адвоката ответственным за организацию обработки и защиты персональных данных;
• ведение перечня используемых сервисов, каналов коммуникации и мест хранения материалов;
• разграничение доступа к материалам по принципу минимально необходимого доступа;
• проверка подрядчиков и сервисов, которым может поручаться обработка данных;
• включение условий конфиденциальности и защиты персональных данных в договоры с подрядчиками;
• контроль актуальности документов по персональным данным и периодический пересмотр мер безопасности;
• обучение помощников, привлеченных специалистов и подрядчиков правилам конфиденциальности, если им предоставляется доступ к данным.

7. Технические меры защиты

С учетом масштаба обработки и характера данных применяются следующие технические меры:

• использование индивидуальных учетных записей и сложных паролей;
• применение многофакторной аутентификации там, где это поддерживается сервисом;
• ограничение административного доступа к сайту, хостингу, почте, CRM и хранилищам документов;
• использование защищенного соединения HTTPS для сайта и форм обратной связи;
• резервное копирование материалов, необходимых для непрерывности работы;
• обновление программного обеспечения и контроль уязвимостей используемых сервисов;
• антивирусная защита и блокировка устройств, на которых обрабатываются материалы доверителей;
• шифрование или парольная защита архивов при передаче чувствительных документов по электронным каналам.

8. Бумажные документы и неавтоматизированная обработка

Бумажные документы, содержащие персональные данные и сведения, составляющие адвокатскую тайну, хранятся в местах, исключающих свободный доступ посторонних лиц. Материалы по разным доверителям обособляются друг от друга.

Передача бумажных копий третьим лицам осуществляется только при наличии правового основания. Уничтожение бумажных документов производится способом, исключающим восстановление содержащихся в них персональных данных, если истек срок хранения или отпала необходимость в их обработке.

9. Передача данных и поручение обработки

Для обеспечения сайта, коммуникаций, хранения файлов, бухгалтерского и организационного сопровождения могут использоваться внешние сервисы и подрядчики. Передача им персональных данных допускается только в объеме, необходимом для конкретной цели.

Если подрядчик получает доступ к персональным данным, с ним должны быть согласованы обязанности по конфиденциальности, защите данных, ограничению целей обработки, возврату или уничтожению данных по завершении работ. Материалы, относящиеся к адвокатской тайне, передаются внешним лицам только при наличии профессиональной необходимости и допустимого правового основания.

10. Инциденты безопасности

При выявлении утраты документов, ошибочной отправки, подозрения на несанкционированный доступ, компрометации пароля или иной угрозы безопасности принимаются меры по локализации инцидента, ограничению доступа, восстановлению контроля над данными и оценке последствий.

Если инцидент может затрагивать права субъектов персональных данных, адвокатский кабинет принимает меры, предусмотренные законодательством о персональных данных, включая фиксацию обстоятельств, устранение причин и направление уведомлений в необходимых случаях.

11. Сроки хранения и уничтожение

Персональные данные хранятся не дольше, чем этого требуют цели обработки, условия соглашения с доверителем, правила ведения адвокатского производства, требования законодательства, сроки исковой давности и профессиональная необходимость защиты прав доверителя или адвоката.

По достижении целей обработки либо при утрате правового основания данные уничтожаются, обезличиваются или архивируются с ограничением доступа, если дальнейшее хранение допустимо законом и необходимо для защиты прав и законных интересов.

12. Контроль и актуализация

Адвокатский кабинет периодически проверяет актуальность настоящей Политики, перечня обрабатываемых данных, используемых сервисов и мер защиты. Изменения в Политику вносятся при изменении законодательства, состава сервисов, способов обработки данных или характера юридической практики.

Актуальная публичная редакция Политики размещается на сайте LegalFlow Expert.