По поводу форм уведомлений - пока мнения разделились: одни специалисты считают, что надо уже сейчас подать уведомление согласно нормам Приказа Роскомнадзора от 30.05.2017 № 94, а другие советуют подождать новую утвержденную формы (проект уже есть). На мой взгляд, не стоит рисковать и лучше уведомить уже сейчас (если вы, конечно, решили уведомлять)))

Кроме того, в локальных актах для каждой цели обработки следует отдельно указать категории и перечень ПД, категории субъектов, способы, сроки обработки и хранения.
По-моему мы и так все это делали, но на всякий случай стоит проверить в своих локальных актах о ПД.

Думаю, следует составить уведомление или другой внутренний документ (например, дописать пункт в согласии, которое подписывает работник), где разъясняются юридические последствия отказа. Такой образец мы на вебинаре рассматривали...

Но пока ни в законе, ни в практике нет ни определений для этих критериев, ни официальных разъяснений. Полагаю, следует проанализировать образец согласия в компании, хотя бы примерно, можно ли о нем сказать, что оно выглядит конкретным, информированным и сознательным, предметным, и однозначным?)) Если написаны просто общие слова, то конечно, лучше переделать (образцы согласия тоже на вебинаре рассматривали).

Если вы, например, у предыдущих работодателей сведения о работнике запрашиваете, то стоит подготовить образец уведомления о получении ПД работников у третьего лица и их обработке. Если ни у кого ничего о работнике не спрашивает - тогда вас это не касается)

Поэтому на всякий случай проверьте - есть ли такая практика в организации, при наличии нужно отменить ее и проверить, есть ли в локальных актах пункты о таких отказах, при наличии исключить их из локальных актов.

Поэтому проверьте, собираются ли персональных данных работников на сайте организации и на каких страницах, на всех ли страницах размещена Политика, если не на всех - нужно поручить IT-службе разместить ее.

• в течение 24 часов о произошедшем инциденте,
• в течение 72 часов о результатах внутреннего расследования выявленного инцидента.

Надеюсь, никаких инцидентов в вашей компании не случится, но на всякий случай надо внести это в алгоритм по персональным данным, чтобы не забыть в случае чего...

• по запросу работника предоставить сведения, касающиеся обработки его персональных данных
• предоставить ответ на запрос Роскомнадзора
• по требованию работника прекратить обработку персональных данных

Значит, нужно скорректировать сроки в своих локальных актах и в алгоритмах работы с персональными данными (мы на вебинаре уже новый алгоритм и новую редакцию ЛНА представили))

Они должны соблюдать конфиденциальность персональных данных и принимать необходимые меры по их защите. Поэтому юристам организации нужно проверить, есть ли пункт, касающийся защиты персональных данных, в договорах с третьими лицами.