Аудит персональных данных: зачем проводить в компании

Внутренний контроль и аудит персональных данных позволяют работодателю проверить, на каком основании, каким способом и в каком порядке предоставляют, обрабатывают, распространяют, хранят и защищают в компании личные данные работников и третьих лиц (п. 4 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ, далее – Закон № 152-ФЗ, Закон 152).

С помощью аудита работодатель уточняет, насколько принимаемые акты и действия соответствуют требованиям Закона 152 «О персональных данных», а также отражают политику компании по обработке персданных и способствуют их реальной защите. Благодаря такой внутренней проверке работодатели избегают ответственности, в том числе многомиллионных штрафов (ст. ст. 5.39, 13.11, 13.14, 19.7 КоАП РФ, 137, 272 УК РФ).

С одной стороны, аудит персданных дает возможность разобраться с реальным положением дел в компании по работе с персданными раньше инспектора Роскомнадзора. И главное – исправить нарушения. С другой стороны, благодаря нему, работодатель исполняет нормы закона о контроле и аудите (п. 4 ч. 1 ст. 18.1 Закона № 152-ФЗ).

Предмет аудита по Закону 152-ФЗ

В ходе внутренних проверок определяют (ст. 18.1, 19 Закона № 152-ФЗ «О персональных данных»):

• правовую готовность работодателя перед встречей с инспекторами Роскомнадзора (наличие необходимых правоустанавливающих, организационно-распорядительных документов);
• степень реализации технических мер защиты персональных данных (защищенность информационных систем работодателя).

Кроме того, аудит персданных включает в себя и третью часть – готовность к предстоящей встрече с сотрудниками Роскомнадзора с учетом его стандартизированного плана проверки, а также опыта и практики по ее прохождению.

Что такое персональные данные работника

Персональные данные работника – это те сведения, которые прямо или косвенно к нему относятся и к которым он может предоставить доступ другим лицам (в том числе и неограниченному кругу лиц) по своему решению в виде двух согласий: на их обработку и на их распространение (п. 1, п. 1.1., ч. 1 ст. 3 Закона № 152-ФЗ).

По закону к субъектам персданных могут быть отнесены:

• работники организации (и ИП), а также их родственники;
• кандидаты в приеме на работу;
• контрагенты по гражданско-правовым договорам;
• иные категории в зависимости от сферы деятельности компании (например, ее покупатели или посетители).

Использование персональных данных: документы

При работе с документами о персданных руководствуйтесь основными принципами:

• действия компании и уполномоченных лиц по обработке персданных должны быть определены правоустанавливающими и организационно-распорядительными документами (ст. 8 ТК РФ, ст. 18.1 Закона № 152-ФЗ);
• эти документы должны отражать требования действующего закона не только по структуре и содержанию, но и при проведении операций с ними, хранении и защите (ст. ст. 4, 5, 10.1, глава 4 Закона № 152-ФЗ);
• политика по обработке персданных данных в компании должна быть известна и общедоступна для работников (например, размещена на сайте, – ст. ст. 3, 18, 18.1 Закона № 152-ФЗ);
• запрашивать нужно только те сведения, как сотрудников, так и третьих лиц, которые вам действительно необходимы для работы, и только с их согласия, когда его по закону нужно получить (ст. 18 Закона № 152-ФЗ);
• обработка персданных возможна строго в сроки выданного разрешения, а по его окончании сведения с ними должны быть уничтожены (ст. 6 Закона № 152-ФЗ);
• база данных о персданных должна находиться на территории России, а трансграничная передача возможна только с согласия работника (ст. 12 Закона № 152-ФЗ).

Документы по работе с персданными могут быть адресованы всей компании, ее подразделениям и отдельным сотрудникам. Аудит персданных затрагивает все уровни корпоративного нормотворчества, а значит, проверить нужно многие из них, начиная с правоустанавливающих.

В первую очередь изучают учредительные документы – для установления права подписи (например, Устав ООО). Следом за учредительным проверяют иные, которые удостоверяют права и порядок труда: доверенности, положения, инструкции, регламенты и др. Они устанавливают правила работы с персданными «на местах», и кроме того – возможность уполномоченных сотрудников осуществлять весь цикл работы с ними, начиная с разработки и принятия.

Также у работодателя обязательно должны быть в наличии распорядительные документы: приказы и иные письменные распоряжения. Многие из них утверждают как сами правоустанавливающие документы по работе с персданными, так и внесение в них изменений. Они закрепляют процедуру работы с ними и регулируют труд сотрудников, в том числе, дают полномочия и распоряжения на выполнение конкретных действий.

К основным организационно-распорядительным м уведомительным документам по работе с персданными в компании относят (ст. 18. 1 Закона № 152-ФЗ):

• положение о защите персональных данных работников;
• политику по обработке персданных;
• регламент допуска к персданным;
• приказы (например, о назначении ответственных по работе с персданными, о работниках, имеющих доступ к ним, и др.), а также документы о неразглашении;
• отдельные согласия работников и иных лиц на обработку и на распространение персданных;
• уведомления в Роскомнадзор об обработке персданных (ст. 22 Закона № 152-ФЗ).

Помимо перечисленных документов, оформляют и иные, связанные с учетом и защитой персданных:

• локальные акты (положения о порядке рассмотрения запросов работников о персданных, о правилах проведения внутреннего контроля, различные инструкции о правилах технической работы с персданными по обеспечению их законного хранения и т.д.). Сюда же относят документы учета: например, журналы, в которых отражают запросы работников и даты выдачи сведений;
• распорядительные документы (приказы о назначении ответственного за безопасность, об утверждении перечня и о порядке, видах и способах хранения персданных в компании и др.),
• документы по результатам работы с персданными (различные акты, например, об определении уровня защищенности персданных и др.).

Аудит по 152-ФЗ «О персональных данных»: цели и порядок

Аудит по 152-ФЗ подразумевает проверку следующих основных вопросов (ч. 4 ст. 18.1 Закона № 152-ФЗ):

• количества и содержания документов: достаточно ли в компании принято актов по работе с персданным и насколько они отражают предъявленные к ним требования (Федеральный закон о персональных данных № 152-ФЗ);
• качества проводимых процедур: соответствует ли фактический процесс получения, обработки, распространения, хранения и защиты персданных законодательству Российской Федерации и локальным актам компании;
• ответственности и способов ее преодоления: какие нарушения выявлены, какой вред они могут причинить работникам (иным физлицам) и как их устранить (п. 5 – 6 ч. 1 ст. 18.1 Закона № 152-ФЗ).
• Чтобы провести аудит персданных вам необходимо:
• изучить новое действующее законодательство: Закон о персональных данных 152-ФЗ, Федеральный закон от 24.02.2021 № 19-ФЗ, Федеральный закон от 30.12.2020 № 519-ФЗ, Приказ Роскомнадзора от 24.02.2021 № 18, новую редакцию ст. 4.5. КоАП РФ и др.;
• конкретизировать перечень персданных с учетом специфики деятельности компании (с какими персданными вы работаете);
• определить перечень субъектов (чьи персданные вы обрабатываете);
• разработать формы документов (принять и соблюдать правила получения, обработки, хранения, распространения и защиты персданных и всю сопутствующую документацию);
• привести имеющиеся акты и процедуры в соответствии с законом, в том числе составить уведомления в Роскомнадзор;
• выявить допущенные нарушения и по возможности их устранить.

Распространенные вопросы при работе с персданными

Как оформить аудит персональных данных

Аудит персданных можно провести самостоятельно. В этом случае нужно составить отдельное положение о порядке внутренних проверок и аудита персданных, утвердить его грифом либо ввести в действие приказом. Закон не обязывает компанию принимать такой документ. Однако, для закрепления процедуры он вам необходим. Ответственных лиц как за составление положения, так и за проведение аудита также назначают приказом.

По итогам аудита персональных данных составляют отчетные документы. Это могут быть заключения, отчеты и акты. Для устранения выявленных нарушений издают приказы, в которых дают конкретные поручения уполномоченным лицам. По итогам работы такие сотрудники также составляют письменные отчеты.

Если же работодатель заказывает услугу по проведению проверки и аудита персданных у специализированной компании, с ней заключают договор об оказании услуг. В этом договоре (и в приложениях к нему) отражают предмет проверки; всю ее процедуру, включая объем и порядок предоставления отчетности; сроки, стоимость услуг и порядок оплаты. По результатам составляют документы и оказанные услуги принимают по акту (ст. 779 ГК РФ).

При общении с Роскомнадзором положение об аудите, а также документы, которые приняты во исполнение него, подтвердят ваше соблюдение норм закона № 152-ФЗ.

Закон о персональных данных: ответственность 2021–2022

Каждому работодателю важно проводить внутренний аудит документов о персданных. В этой области ожесточили ответственность работодателя. Если в каком-либо документе по работе с персданными на любом его этапе (от разработки до хранения и защиты) выявят ошибки, компанию ждут крупные штрафы, которые в 2021 году увеличены в разы (ст. 13.11 КоАП РФ). Поэтому допущенные нарушения закона о персональных данных на практике стоят компании миллионы рублей.

Административную ответственность за нарушение персональных данных найдете по ссылке.