Минимальный пакет для небольшой компании - это политика обработки персональных данных, которая публикуется на сайте и доступна клиентам и сотрудникам, формы согласий на обработку данных для клиентов и отдельно для сотрудников, приказ о назначении ответственного за организацию обработки персональных данных, и уведомление, поданное в Роскомнадзор до начала обработки - с 1 сентября 2022 года его требуют почти от всех, кто работает с формами и клиентской базой.
К этому списку добавляются локальные акты внутри компании: положение об обработке и защите персональных данных, перечень обрабатываемых данных и целей их сбора, а для работодателя - согласия сотрудников на обработку их данных в личном деле и, отдельно, на передачу данных третьим лицам, если, например, зарплатный проект ведется через банк или бухгалтерию отдает подрядчик.
Все документы должны соответствовать реальной практике компании, а не быть скачанным шаблоном: если студия ведет запись через онлайн-форму и хранит фото до и после процедур, это должно быть прямо описано в политике и покрыто согласием, иначе документ формально есть, а реальную обработку не покрывает. Список для конкретного бизнеса лучше свести в один короткий чек-лист и сверять по нему раз в год, а не искать документы заново перед каждой проверкой.