Что такое персональные данные организации?

Строго по закону персональных данных у организации нет: 152-ФЗ защищает сведения только о физических лицах, статья 3 прямо называет субъектом персональных данных человека, а не юрлицо. Фразой "персональные данные организации" обычно называют данные людей, связанных с этой организацией - сотрудников, клиентов, посетителей сайта, - которые компания собирает и обрабатывает как оператор.

На практике у любой компании таких данных два потока. Первый - кадровые: паспортные данные, ИНН, СНИЛС, адрес и зарплата сотрудников, их хранит отдел кадров и бухгалтерия отдельно от остального бизнеса, обычно с более строгим доступом. Второй - клиентские: имя, телефон, email, адрес доставки, которые приходят через формы на сайте, звонки или CRM. Закон регулирует оба потока одинаково, но правила доступа и хранения на практике у них разные.

Из статуса оператора персональных данных вытекают конкретные обязанности для организации: назначить ответственного за обработку данных внутри компании, опубликовать политику обработки, получать согласие перед сбором и уведомить Роскомнадзор о начале обработки, если под неё не попадает одно из исключений статьи 22. Формулировка в договоре с подрядчиком чаще всего означает именно это: подрядчик будет иметь доступ к данным ваших клиентов или сотрудников, и договор должен фиксировать, на каких условиях.

Если такая фраза встретилась в договоре на разработку сайта, стоит уточнить у подрядчика два момента: какие именно данные он увидит в процессе работы, например тестовую базу клиентов при переносе сайта, и куда эти данные денутся после сдачи проекта. Для медицинских и других чувствительных сфер список обязанностей оператора шире - здесь лучше свериться с юристом заранее, а не постфактум.