Роскомнадзор и бизнес по русски (аудит персональных данных по 152-ФЗ)

Обязан ли работодатель проводить аудит персональных данных по 152-ФЗ

Аудит персональных данных проводят, чтобы проверить, правильно ли работодатель обрабатывает, защищает и передаёт сведения о работниках и третьих лицах. Его сроки и периодичность организации определяют сами, но рекомендуем проводить проверку не реже раза в год. Особенно актуально провести процедуру при смене ответственного лица за обработку и защиту персданных, назначении нового руководителя или собственника имущества, перед проверкой Роскомнадзора. Все работодатели обязаны проводить внутренний аудит персональных данных на соответствие требованиям ТК и Закона № 152. Эту обязанность закрепили в п. 4 ч. 1 ст. 18.1 Закона от 27.07.2006. Поэтому если инспектор из Роскомнадзора придёт с проверкой, предоставьте ему документы, которые подтвердят, что работодатель проводил аудит. Например, протоколы, планы аудита, правила внутреннего аудита, а также приказ о проведении аудита и отчет о его результатах.

Аудит персональных данных необходим, чтобы проверить, нет ли в локальных актах, образцов согласий на обработку или распространение ПД ошибок, которые приведут к штрафам от Роскомнадзора. С помощью процедуры также можно выяснить степень защищенности данных, порядок доступа третьих лиц к таким сведениям и т.д. По результатам проверки аудитор выявит не только ошибки, но подскажет, как можно улучшить шифрование сведений о сотрудниках, чтобы не допустить утечку данных. Напомним, что если работодатель утратит сведения, придется уведомлять об этом Роскомнадзор, проводить внутреннюю проверку. Затем ведомство привлечет к ответственности за передачу данных третьим лицам не только организацию в целом, но и ответственных ИТ-специалистов, юристов и кадровиков.

Есть два вида аудита персональных данных: внутренний и внешний. Во втором случае для проверки привлекают стороннюю организацию, которая проведёт независимую экспертизу документов и предоставят аудиторский отчёт. Когда будете выбирать компанию для аудита персональных данных, проверьте её стаж работы и учтите рекомендации коллег. Затем заключите с компанией договор об оказании услуг — это гражданско-правовой договор, в котором можете закрепить гарантии, что организация проведет качественную проверку документов по обработке и защите ПД в вашей компании. Внутренний аудит персональных данных компании проводят самостоятельно. Работодатель сам решает, как он будет проводить проверку, определяет её цели и сроки, а также назначает ответственных за проверку. Порядок и сроки проведения процедуры можете закрепить в локальном акте, например, в Положении о проведении кадрового аудита.

После того как определите объём и сроки аудита персональных данных, сформируете аудиторскую комиссию. В неё включите ответственных ИТ-специалистов, сотрудников кадрового и юридического отдела. Затем издайте приказ о проведении проверки. Документ составьте по форме, которую разработали сами. В нём укажите сроки процедуры, какой вид аудите будете проводить — внутренний и внешний, а также объём документов по обработке и защите персданных, которые предстоит проверить.

В процессе аудита вы должны проверить документы компании на соответствие законодательству. Условно все документы можно разделить на четыре группы: документы по организации обработки персональных данных; документы, которые определяют доступ сотрудников к персданным; согласия на обработку и распространение персональных данных; документы, которые определяют порядок хранения и уничтожения персданных.