Для муниципальных и государственных учреждений действуют те же требования 152-ФЗ, что и для коммерческих компаний: нужно приказом руководителя назначить ответственного за организацию обработки персональных данных, определить перечень обрабатываемых данных и целей обработки, оформить локальные акты и получать согласия там, где это требуется, а не только у сотрудников.
Главное отличие в том, что учреждения обычно обрабатывают данные сразу нескольких категорий субъектов - сотрудников, посетителей, учеников, пациентов или заявителей, - и для каждой категории может действовать свой правовой режим и дополнительные ведомственные требования сверх 152-ФЗ. Например, у медицинских и образовательных организаций есть отраслевые нормы о врачебной тайне или о согласии родителей на обработку данных несовершеннолетних, которые накладываются поверх общего закона.
Освобождение от подачи уведомления в Роскомнадзор действует только для узкого случая - обработки данных исключительно в рамках трудовых отношений без использования средств автоматизации, то есть без компьютеров и баз данных. Если учреждение ведет учет в 1С, электронном журнале или CRM, это уже автоматизированная обработка, и уведомление подавать нужно так же, как коммерческой организации. Дальше - тот же набор документов, что и в бизнесе: журнал учета носителей, список сотрудников с доступом к данным и порядок ответа на запросы субъектов в срок до 10 рабочих дней.