Важно понимать, что защита персональных данных является одним из основных принципов деятельности любой компании. Она требует ответственного подхода и систематической работы, ведь нарушения могут повлечь серьезные последствия для бизнеса, поэтому компаниям необходимо уделить должное внимание вопросам обработки персональных данных и подготовке к проверкам. Один из самых актуальных – оформление документов, которые проверяющие могут запросить при проверке. В статье остановимся на наиболее важных из них, которые чаще всего проверяющие требуют от работодателей.
См. статью «Персональные данные сотрудников. Что должен знать работодатель» в № 2’ 2015
См. статью «Персональные данные потребителя: новые правила» в № 6’ 2022
В первую очередь в рамках проведения проверки Роскомнадзор заинтересуют общие сведения о компании, поэтому проверяющие затребуют:
|
Далее подробно рассмотрим те из них, о содержании которых у проверяющих возникают вопросы чаще всего.
Надзорный орган по традиции затребует приказ о назначении ответственного за организацию обработки персональных данных. Ведь работодатель обязан его назначить (ч. 1 ст. 22.1 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных», далее – Закон № 152‑ФЗ). Форма документа нормативно не установлена, поэтому ее можно разработать самостоятельно (Пример 1).
Пример 1. Приказ о назначении ответственного за организацию обработки персональных данных лица
Причем недостаточно только назначить ответственное за организацию обработки персданных лицо, соответствующие обязанности должны быть прописаны в его должностной инструкции (инструкции по профессии) и/или трудовом договоре. Поэтому необходимо проверить, отражены ли там обязанности, касающиеся работы с персональными данными. Ведь проверяющие непременно запросят эти документы (образец формулировки см. в Примере 2).
Пример 2. Формулировка для должностной инструкции и/или трудового договора ответственного за организацию обработки персональных данных
5. Работник обязан:
…5.8. Организовать разработку, принятие и актуализацию Работодателем документов, определяющих его политику в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений.
5.9. Организовать применение правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
5.10. Осуществлять внутренний контроль (аудит) за соблюдением Работодателем и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных, а также оценивать эффективность принимаемых мер по обеспечению безопасности персональных данных и принимать меры в случае выявления нарушений.
5.11. Организовать проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства о персональных данных, соотношение указанного вреда и принимаемых Работодателем мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством о персональных данных.
5.12. Доводить до сведения работников Работодателя положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных.
5.13. Организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и/или осуществлять контроль за приемом и обработкой таких обращений и запросов.
При любой проверке должностное лицо надзорного органа обязательно запросит локальные нормативные акты касательно обработки и защиты персональных данных (ст. 87 ТК РФ). Прежде всего – ЛНА, определяющий политику оператора в отношении обработки персональных данных (ст. 18.1 Закона № 152‑ФЗ). Законом прямо не урегулировано, как должен называться локальный нормативный акт об обработке персональных данных, – Политика или Положение. На практике встречаются оба варианта, при которых, например, Положение включается в состав Политики, или наоборот. Часто практикуют также одновременное оформление и Политики, и Положения: например Положение рассчитано на сотрудников компании, а Политика – на клиентов, посетителей сайта, соискателей и пр. В любом случае такой документ в отношении персональных данных должен быть (письмо Роскомнадзора от 19.10.2021 № 08-71063).
При составлении документа, определяющего политику оператора в отношении обработки персональных данных, следует руководствоваться Рекомендациями Роскомнадзора, которые размещены на официальном сайте (www.rkn.gov.ru/personal-data/p908/)1.
Обратите внимание: этот документ необходимо опубликовать или иным образом обеспечить неограниченный доступ к нему, а также к сведениям о реализуемых требованиях к защите персональных данных. А если на сайте компании есть формы сбора персональных данных, то ей необходимо обеспечить доступ к политике в отношении обработки персональных данных на всех страницах сайта, с использованием которых осуществляется этот сбор (ч. 2 ст. 18.1 Закона № 152‑ФЗ, см. также постановление Восьмого кассационного суда общей юрисдикции от 31.03.2023 № 16-1661/2023).
В содержании ЛНА о персональных данных обязательно проверят в том числе наличие следующей информации:
Пример 3. Формулировки в Положении о персональных данных относительно целей обработки персональных данных работников
4.1. Целью обработки персональных данных Работников является обеспечение соблюдения законов и иных нормативных правовых актов, содействие Работникам в трудоустройстве, получении образования и продвижении по службе, обеспечение личной безопасности Работников, контроль количества и качества выполняемой работы и обеспечение сохранности имущества, включая:
Отдельно Роскомнадзор при проверке уделяет внимание положениям ЛНА, которые устанавливают процедуры, направленные на предотвращение и выявление нарушений законодательства в области персональных данных, устранение последствий таких нарушений (п. 2 ч. 1 ст. 18.1 Закона № 152‑ФЗ). Это может быть как отдельный документ, так и раздел в Положении об обработке персональных данных (Пример 4).
Пример 4. Формулировки в ЛНА о процедурах, направленных на предотвращение и выявление нарушений законодательства о персональных данных, устранение последствий таких нарушений
5.6. Процедуры, направленные на выявление и предотвращение нарушений законодательства в сфере персональных данных.
5.6.1. Для выявления и предотвращения нарушений, предусмотренных законодательством в сфере персональных данных, Работодатель использует следующие процедуры:
1) осуществление внутреннего контроля (аудита) соответствия обработки персональных данных требованиям к защите персональных данных;
2) оценку вреда, который может быть причинен субъектам персональных данных;
3) ознакомление Работников, непосредственно осуществляющих обработку персональных данных, с законодательством о персональных данных, в том числе с требованиями к защите персональных данных и настоящим Положением;
4) ограничение обработки персональных данных достижением конкретных, заранее определенных и законных целей;
5) осуществление обработки персональных данных в соответствии с принципами и условиями обработки персональных данных, установленными законодательством в области персональных данных;
6) обеспечение недопустимости осуществления обработки персональных данных, не совместимых с целями сбора персональных данных;
7) обеспечение недопустимости осуществления объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
8) обеспечение соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки, обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
9) обеспечение при обработке персональных данных точности персональных данных, их достаточности и актуальности по отношению к целям обработки персональных данных.
5.6.2. Порядок оценки вреда, который может быть причинен субъектам персональных данных.
5.6.2.1. Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства о персональных данных, осуществляется ответственным за организацию обработки персональных данных либо комиссией, образуемой Работодателем.
5.6.2.2. Работодатель для целей оценки вреда определяет одну из степеней вреда, который может быть причинен субъекту персональных данных в случае нарушения законодательства о персональных данных:
5.6.2.2.1. Высокую в случаях:
5.6.2.2.2. Среднюю в случаях:
5.6.2.2.3. Низкую в случаях:
5.6.2.3. Результаты оценки вреда оформляются актом оценки вреда.
5.6.2.4. Акт оценки вреда должен содержать:
а) наименование или фамилию, имя, отчество (при наличии) и адрес Работодателя;
б) дату издания акта оценки вреда;
в) дату проведения оценки вреда;
г) фамилию, имя, отчество (при наличии), должность лиц (лица) (при наличии), проводивших оценку вреда, а также их (его) подпись;
д) степень вреда, которая может быть причинена субъекту персональных данных.
5.6.2.5. Акт оценки вреда в электронной форме, подписанный в соответствии с федеральным законом и локальными нормативными актами Работодателя электронной подписью, признается электронным документом, равнозначным акту оценки вреда на бумажном носителе, подписанному собственноручной подписью.
5.6.2.6. Если по итогам проведенной оценки вреда установлено, что в рамках деятельности по обработке персональных данных субъекту персональных данных могут быть причинены различные степени вреда, подлежит применению более высокая степень вреда.
Следующий документ, который обязательно запросят проверяющие, – это перечень лиц, имеющих доступ и непосредственно допущенных к работе с персональными данными (ст. 88 ТК РФ). Обычно это право дается сотрудникам, которым нужны персональные данные других работников в связи с выполнением трудовых обязанностей, например для ведения кадрового или налогового учета. Перечень можно включить в текст самого приказа или сделать приложением к нему. Кроме того, надо утвердить перечень работников, имеющих доступ к персональным данным в информационной системе (подп. «в» п. 13 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утв. постановлением Правительства РФ от 01.11.2012 № 1119). Оба перечня можно объединить в один приказ (Пример 5).
Пример 5. Приказ, утверждающий перечень лиц, допущенных к работе с персональными данными
По аналогии с ответственным за организацию работы с персональными данными проверяющие могут запросить сведения о трудовых обязанностях (скорее всего, содержащиеся в должностной инструкции (инструкции по профессии) или в трудовом договоре сотрудников, имеющих доступ к персональным данным). Поэтому рекомендуем включать в указанные выше документы таких работников их обязанности в сфере обработки персональных данных (см. Пример 6).
Пример 6. Формулировки в должностной инструкции и/или трудовом договоре работника, имеющего доступ к персональным данным
5. Работник обязан:
<…>
Для предотвращения нарушений законодательства о персональных данных работодатель обязан принимать не только правовые, но и организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных и иных неправомерных действий (ст. 18.1, 19 Федерального закона № 152‑ФЗ). Одна из таких мер – хранить персональные данные недоступными для не имеющих к ним доступ сотрудников и всех третьих лиц. Проверяющие могут запросить описание помещений, в которых осуществляется обработка персональных данных: расположение, номера помещений; наличие охраны, режима обеспечения безопасности, оборудование помещений и пр. В этом случае поможет приказ, который определяет помещения для обработки персональных данных и утверждает требования к местам их хранения (Пример 7).
Пример 7. Приказ об определении помещений для обработки персональных данных и утверждении требований к местам хранения персональных данных
Роскомнадзор обязательно заинтересуется, правомерно ли работодатель осуществляет обработку персональных данных. Для этого у оператора должны быть в наличии согласия на обработку персональных данных. Поэтому рекомендуем кадровым специалистам периодически проверять:
Требования к содержанию согласий установлены в ч. 4 ст. 9 Закона № 152‑ФЗ. Так, любое согласие должно содержать:
Кстати, есть случаи, когда согласие на обработку персональных данных оформлять не нужно. Так, согласие не потребуется, если:
Вместе с тем, поскольку есть риски того, что проверяющие сочтут те или иные данные, которые обрабатывает компания, избыточными либо не соответствующим целям обработки, лучше в любом случае запросить с работника согласие на обработку персональных данных.
Также обратите внимание, что должны быть отдельные согласия:
Роскомнадзор при проверках требует и документы, которые могут оформляться при подборе персонала. Например заявления, анкеты, опросные листы, резюме, согласие соискателя на замещение вакантной должности и иные документы, которые используются при подборе персонала и содержат персональные данные, а также приказы, утверждающие для них формы.
При разработке и утверждении подобных форм рекомендуем проверить, не запрашиваете ли вы с соискателей избыточные персональные данные или данные, которые не соответствуют целям обработки. Если такое обнаруживается (например требование к кандидату указать сведения о наличии у него кредитных обязательств или любые другие данные, которые не относятся к его деловым качествам), рекомендуем исключить подобные формулировки из форм документов.
Также при проверке запросят справку о составе документов, входящих в личное дело работника компании (если личные дела ведутся, что не обязательно для большинства компаний). В связи с этим рекомендуем не хранить в личном деле копии документов работника и не указывать их в справке о составе документов личного дела, которая представляется при проверке, поскольку Роскомнадзор это не приветствует4.
Учитывайте, что при проверке обязательно потребуют подтверждение того, что работники ознакомлены с положениями законодательства о персональных данных, в том числе с требованиями к защите персональных данных, документами о политике оператора в отношении обработки таких данных, ЛНА по вопросам обработки персональных данных. Поэтому рекомендуем перепроверить, ознакомлены ли работники под подпись со всеми локальными нормативными актами компании, касающимися обработки персональных данных.
Также Роскомнадзор часто проверяет, как работодатель соблюдает права субъектов персональных данных в части взаимодействия с ними. В этих целях он может запросить копии обращений от граждан по вопросам уточнения, удаления, уничтожения персональных данных, копии ответов оператора и принятые меры по обращениям граждан с приложением копий документов о принятых мерах. Чтобы было проще подобрать документы для проверки, рекомендуем завести журнал, в котором можно регистрировать обращения по вопросам обработки персональных данных и кратко отражать, какие меры и когда были приняты работодателем в ответ на обращения граждан.
Затребует ведомство и ЛНА, устанавливающие порядок уничтожения, а также подтверждающие уничтожение персональных данных по достижении цели обработки (например акты об уничтожении материальных носителей персональных данных). Если же обработка персональных данных осуществляется работодателем с использованием средств автоматизации, кроме акта об уничтожении персональных данных, потребуется сделать выгрузку из журнала регистрации событий в информационной системе персональных данных (п. 2, 3, 5 Требований к подтверждению уничтожения персональных данных, утв. приказом Роскомнадзора от 28.10.2022 № 179).
* * *
Таким образом, при проверке Роскомнадзора потребуется довольно внушительный пакет документов, список которых может отличаться в зависимости от того, персональные данные каких категорий обрабатываются в компании, кому и каким способом компания передает персональные данные, и других особенностей и обстоятельств. Поэтому чтобы организовать эффективную работу с персональными данными и успешно пройти проверку Роскомнадзора, нужно обеспечить слаженное взаимодействие всех работников компании (и особенно – ответственного за обработку персональных данных, допущенных к обработке данных лиц), поддержание документов относительно работы с персональными данными в актуальном состоянии и своевременное реагирование на запросы субъектов персональных данных и надзорного органа.
Для снижения рисков при обработке персональных данных стоит принять во внимание Рекомендации Роскомнадзора от 08.08.2023, в том числе минимизировать список персональных данных для сбора и обработки. Лучше использовать только те сведения, которые реально нужны, не накапливать личную информацию «на всякий случай», использовать юридические, технические и программные средства, принимать меры физического контроля для обеспечения необходимого уровня безопасности данных.
Чтобы максимально эффективно подготовиться к проверке Роскомнадзора, также рекомендуем ознакомиться со списком контрольных вопросов, утв. приказом Роскомнадзора от 24.12.2021 № 253. Отвечая на вопросы, указанные в проверочном листе, можно определить, в каких процедурах работы с персональными данными у компании есть недочеты, и вовремя их исправить.
Читайте все накопления сайта по своему профилю, начиная с 2010 г.
Для
этого оформите комплексную подписку на выбранный журнал на полугодие или год, тогда:
А удобный поиск и другая навигация на сайте помогут вам быстро находить ответы на свои рабочие вопросы. Повышайте свой профессионализм, статус и зарплату с нашей помощью!
Для того, чтобы оставить комментарий, необходимо авторизоваться
Изменение законодательства в сфере персональных данных и огромные штрафы за нарушения стимулируют еще раз проверить, все ли с персданными в организации в порядке. Автор выделяет 5 ошибок, которые чаще всего допускают организации в этой области.
После проведения камеральной проверки ИФНС указала в акте, что к договору поставки не оформлялись спецификации (договором оформление спецификаций не предусмотрено). В частности, что неоформление спецификаций в том числе свидетельствует о формальности отношений между покупателем и контрагентом. Обязательно ли оформление спецификаций по договорам поставки в рамках ГК РФ?
С декабря 2023 года штрафы за обработку персональных данных без согласия субъекта или с неверно составленным согласием выросли до 700 000 рублей. А за год до этого изменились и требования к самим согласиям на обработку персональных данных. Рассказываем, какие согласия и в каких случаях необходимо составлять, почему лучше оформлять разные согласия на обработку персданных, а не включать все в одно, приводим образцы согласий для наиболее типичных ситуаций, даем советы по оптимизации документооборота.
С 1 января 2016 года в НК РФ был введен раздел V.2 «Налоговый контроль в форме налогового мониторинга». Эта новая форма налогового контроля была призвана заменить традиционные проверки правильности исчисления и уплаты налогов на основе удаленного доступа налоговых органов к информационным системам налогоплательщика, его бухгалтерской и налоговой отчетности. Сам по себе налоговый мониторинг не влияет на объем налоговых обязательств компании, однако является инструментом, который позволяет снизить риски нарушения налогового законодательства. В статье практикующий юрист рассказывает, кому доступен налоговый мониторинг, что он собой представляет, какие преимущества дает.
При решении вопроса о привлечении к административной ответственности и назначении наказания согласно ч. 2, 3 ст. 4.1 КоАП РФ учитываются не только характер совершенного правонарушения, имущественное положение привлекаемого к ответственности лица, но и наличие обстоятельств, отягчающих и (или) смягчающих ответственность. И последние особенно интересны, поскольку их можно самостоятельно «генерировать» даже на стадии рассмотрения дела, в отличие, скажем, от популярных оснований освобождения от административной ответственности – малозначительности правонарушения (ст. 2.9) и крайней необходимости (ст. 2.7) – которые «цементируются» в момент совершения правонарушения. Расскажем, что такое смягчающие обстоятельства, когда нарушитель может к ним апеллировать, на что упирать в ходе судебного заседания. Поясним, какие действия суды признают содействием в рассмотрении дела об административном правонарушении.
Одной из самых неприятных ситуаций для любого предпринимателя является внимание к его персоне со стороны проверяющих, которые обязательно находят в его деятельности нарушения и карают по всей строгости закона. На практике некоторые пытаются уходить от административной ответственности, свалив все на своих должностных лиц. Однако получается это не всегда, более того, зачастую проверяющие наказывают и тех и других. Почему так происходит, можно ли этого избежать, расскажем в статье.
Приводим подробную инструкцию, как самостоятельно проверить иностранного контрагента и снизить риски при принятии решения о заключении с ним договора. Узнаете, какие публичные и частные сервисы, базы данных в Интернете для этого использовать. Наши подробные рекомендации, адаптированные под условия заключения сделок в конкретной организации, можно включить в локальный нормативный акт или иной организационно-распорядительный документ, посвященный вопросам проверки благонадежности иностранных партнеров в рамках договорно-правовой работы.
КоАП РФ содержит несколько оснований для освобождения от административной ответственности, одно из которых – малозначительность административного правонарушения (ст. 2.9 КоАП РФ). В 8 из 10 просматриваемых судебных дел привлекаемое к ответственности лицо пытается прямо или косвенно сослаться на малозначительность правонарушения. Однако суды в основном такие доводы отклоняют. Почему так происходит и что в действительности следует понимать под малозначительностью – расскажем в этой статье. С помощью нашей подборки судебной практики вы сможете сориентироваться при схожих с рассмотренными обстоятельствах и не упустите шанс избежать ответственности, когда это возможно.
Оформить подписку на журнал
«Юридический справочник руководителя»
можно в любом отделении почты:
