В персональных данных сотрудников часто происходят изменения: кто-то меняет фамилию или адрес, кто-то увольняется или переходит в другое подразделение. В связи с этим нужно регулярно актуализировать данные для рабочих процессов — расчет зарплаты, доступ к интернет-ресурсам, отчетность. Кроме того, перед проверкой важно провести аудит общей документации по работе с ПДн и сверить информацию по сотрудникам с локальными актами.
В этой статье мы расскажем, какие документы сотрудников рассмотреть во время планового аудита, какие бывают локальные акты и как снизить свои риски перед штрафами при проверках.
Что относится к персональным данным сотрудников?
Персональные данные работника — это любая информация, которая относится к человеку и позволяет его определить.
Работодатели собирают ограниченный перечень данных, ведь по закону они должны запрашивать такого рода информацию под необходимые и конкретные цели. Например, если в резюме есть фото, то оно не должно использоваться для целей, не заявленных в положении и политике работы с ПДн. Однако единый список документов указать сложно: он зависит от внутренних процессов конкретной компании.
Какая информация относится к персональной и обычно есть у работодателя:
— паспорт, СНИЛС, ИНН, водительского удостоверение, трудовая книжка;
— фотографии работника в резюме, в личном деле, на сайте организации;
— адрес проживания, личный номер телефона и электронной почты;
— документы об образовании, воинском учете и данные о здоровье;
— сведения в кадровой и финансовой документации, связанные с человеком;
— трудовые договора и должностные инструкции;
— учетные записи, журналы доступа, корпоративная электронная почта.
Персональные данные сотрудника в разных документах должны соответствовать друг другу. В связи с чем при аудите стоит проверить разные типы документации по каждому работнику отдельно.
Какие документы для работы с ПДн должны быть у ООО и ИП?
Согласно закону № 152-ФЗ у работодателя должен быть пакет документов, который описывает порядок обработки и защиты персональных данных. Вне зависимости от организационной формы компании — ООО или ИП. Однако на практике объем документов не одинаковый: он зависит от структуры бизнеса, наличия сотрудников и процессов обработки данных. Единого перечня здесь тоже нет, ниже приведем примерный список.
— Уведомление в Роскомнадзор, которое подается перед началом работы с ПДн и должно учитывать цели обработки.
— Положение об обработке и защите персональных данных.
— Политика в отношении обработки персональных данных, находящаяся в неограниченном доступе (например, на сайте компании).
— Перечень должностей, допущенных к обработке персональных данных, и их обязательство о неразглашении.
— Приказы о назначении ответственного и утверждении перечня лиц с доступом к ПДн, об определении мест хранения данных и особенностях их организации.
— Формы и подписанные согласия на обработку персональных данных сотрудников.
— Поручения на обработку персональных данных для третьих лиц (например, с компанией по аутсорсингу бухгалтерии).
— Документы, подтверждающие проведение инструктажа, внутреннего контроля и технических мероприятий.
— Модель угроз безопасности информационных систем при наличии выделенных информационных систем.
— Акты об уничтожении персональных данных и журнал учета обращений по ПДн.
Часть из этих документов составляются разово, во время аудита можно сверить их соответствие действующим нормам. Для остальных — нужно проверить наличие, правильность данных и заверение подписями. Важно понимать, что лишние документы никак не помогут снизить риски при проверке контролирующими органами. Нужно, чтобы они закрывали требования закона и соответствовали процессам в конкретной организации.
Какие ошибки совершают предприниматели при работе с ПДн сотрудников?
Работа с персональными данными требует внимания и дисциплины, а составление политики и других документов на организацию — юридических знаний. Руководителю или бухгалтеру небольшой компании может быть некогда заниматься уточнением данной информации.
В результате необходимые изменения вносятся не во все документы по сотрудникам. Политика и формы согласий часто скачиваются в интернете и не адаптируются под реальные процессы в компании. Какие-то нюансы вовсе ускользают от внимания. Например, что положение о персональных данных касается даже соискателей на должность, которые прислали резюме и не работали в организации ни дня. Информация о сотрудниках может находиться на зарубежных ресурсах, например, в табличке в облачном хранилище. Это уже является трансграничной передачей и нарушением обработки персональных данных. Каждая из таких ошибок может привести к штрафам при проверке.
Дополнительная сложность аудита ПДн заключается в том, что сферу регулируют несколько законодательных актов. Изменения в них необходимо отслеживать самостоятельно.
— ФЗ № 152-ФЗ — закон о персональных данных, регулирующий работу с ПДн.
— Трудовой кодекс РФ (глава 14) — описывает правовые нормы работы с личными данными сотрудников внутри организации.
За несоблюдение требований законодательства о персональных данных предусмотрена ответственность. За отсутствие или неверно составленную политику обработки персональных данных по ст. 13.11 КоАП РФ назначаются штрафы. При первичных нарушениях для ИП — от 10 000 до 20 000 рублей, для юридических лиц — от 30 000 до 60 000 рублей. С 30 мая 2025 года действуют повышенные штрафы за отдельные нарушения, в том числе за утечку персональных данных. При утечке информации (здесь же про те самые таблички в облаке) штрафы для юридических лиц составляют от нескольких сотен тысяч до миллионов рублей.
Что проверяют контролирующие органы и как восполнить недочеты?
Многое зависит от того, кто и по какой причине проводит проверку. Контроль могут проводить Роскомнадзор и Трудовая инспекция. Проверка может быть плановой (список компаний утверждается на год вперед) или внеплановой (по обращению сотрудника, по выявлению нарушений). Точный список документов будет указан в уведомлении, которое пришлет ведомство.
Кроме документации контролирующие органы могут проверить ограничение доступа к кадровым документам (пароли, замки на шкафах), защиту информации (наличие резервных копий, антивирусов), соблюдение сроков хранения документации, локализацию баз данных на территории РФ. В связи с этим наряду с анализом документов важно провести аудит защиты персональных данных, которые хранятся в офлайн и онлайн форматах.
Если деятельность компании с сотрудниками ведется без документов (политики, согласий, приказов), то их нужно оформить как можно скорее. Пока документация отсутствовала формально уже произошло правонарушение и появилась причина для штрафа. Однако устранение недочетов может быть учтено контролирующим органом как смягчающее обстоятельство при назначении наказания. Гарантий замены штрафа на предупреждение нет, но полный комплект и верное оформление документов помогает снизить риски предпринимателя.
Кому доверить провести аудит и как часто его делать?
Аудит персональных данных можно проводить силами сотрудников или руководителя компании, которые имеют допуск к данной информации. Они хорошо знают внутренние процессы, а также могут оперативно вносить изменения. Однако не всегда это позволяет избежать ошибок: иногда нужен взгляд со стороны.
Внешний аудит сторонней компанией потребует затрат, но даст непредвзятый взгляд на учет. Специалисты укажут «слепые зоны» и слабые места, которые можно исправить до проверки. Например, укажут ошибки в политике конфиденциальности или недостающие документы.
Статья 18.1 152-ФЗ обязывает работодателя принимать меры для выполнения требований, связанных с персональными данными. Форма и периодичность контроля определяются оператором самостоятельно и должны быть документально зафиксированы (например, приказом, планом аудитов, отчетами). Однако периодичность и объем внутренних проверок не уточняются. Достаточно поддерживать актуальность документов.
Согласно нашей практике: если нет изменений в законах, и компании не предстоит проверка контролирующих органов, то достаточно проводить плановый аудит примерно 1 раз в год. Вместе с тем нужно понимать, в каком состоянии находится учет на данный момент. Если он не велся или формы документов были заимствованы в интернете, то стоит запланировать аудит в ближайшее время.
Компания «Простые решения» помогает предпринимателям вести разные виды учета и проводить аудиты. Наши специалисты знают об изменениях в законодательстве и разрабатывают документы с учетом особенностей деятельности компании. Запись на консультацию ведется по телефонам и форме обратной связи на сайте.