Аудит персональных данных организации

Аудит персональных данных организации

Роскомнадзор постоянно ужесточает контроль за соблюдением ФЗ №152-ФЗ. Внеплановая проверка может быть начата в любой момент: например, если кто-то из клиентов или посетителей сайта подаст жалобу в РКН. Единственный способ пройти ее без штрафов — заранее провести аудит персональных данных организации и устранить все слабые места. Читайте, что это за процедура, кому она нужна и какие нарушения могут выявить.

Что такое аудит персональных данных организации

Под аудитом подразумевается комплексная независимая проверка всех процессов, связанных с обработкой личной информации граждан. Его цель — оценить, насколько компания выполняет требования Федерального закона от 27.07.2006 № 152-ФЗ и подзаконных актов, выявить риски утечек и штрафов, а также дать рекомендации по устранению недостатков.

В отличие от проверки Роскомнадзора, аудит проводится добровольно и не влечет административных последствий. Напротив, он позволяет увидеть картину глазами инспектора и исправить все до того, как он приедет с проверкой. По итогам аудита обработки персональных данных компания получает отчет с описанием текущего состояния и пошаговым планом устранения нарушений.

Кому необходим аудит персональных данных

Аудит оператора персональных данных нужен любой организации, которая хочет работать спокойно и не бояться санкций. Особенно актуален он для компаний, которые:

• давно не обновляли внутренние документы и не проверяли, соответствуют ли они законодательству;
• внедрили новые IT-системы, CRM или запустили сайт с формами сбора данных;
• готовятся к профилактическому визиту или плановой проверке;
• столкнулись с жалобой клиента или утечкой информации;
• обрабатывают специальные категории или биометрические данные.

Законодательство меняется, бизнес-процессы трансформируются, и то, что было законно год назад, уже сегодня может считаться нарушением. Поэтому аудит персональных данных предприятия рекомендуется проводить не реже одного раза в год.

Что входит в аудит персональных данных

Аудит обработки персональных данных охватывает несколько ключевых направлений:

• Анализ документации. Эксперты проверяют наличие и содержание всех обязательных локальных актов: Политики обработки ПДн, Положения об обработке и защите, приказов о назначении ответственного, форм согласий, договоров поручения, журналов учета и т.д. Это база, без которой невозможно пройти проверку по персональным данным.
• Аудит сайта. Специалисты исследуют интернет-ресурс на предмет соответствия ФЗ №152-ФЗ: размещена ли Политика, корректно ли настроены чекбоксы согласий и cookie-баннер, нет ли в коде скрытых скриптов зарубежных сервисов. Аудит сайта по персональным данным — один из самых востребованных инструментов, потому что сайт доступен круглосуточно и попадает под автоматический мониторинг Роскомнадзора.
• Оценка технических мер защиты. Проверяется, где физически находятся серверы с данными, настроено ли шифрование, разграничение доступа и логирование действий пользователей.
• договоры с третьими лицами, которым поручена обработка;
• Проверка реестра операторов. Юристы проверяют, подано ли уведомление об обработке ПДн в Роскомнадзор и соответствует ли оно реальным процессам компании.

Какие документы чаще всего отсутствуют в организациях

Чаще всего у операторов не хватает одних и тех же документов, которые инспекторы как раз и запрашивают в первую очередь:

• Политика обработки персональных данных — отсутствует на сайте или размещена так, что ее невозможно найти.
• Положение об обработке и защите ПДн — внутренний документ, с которым должны быть ознакомлены сотрудники, работающие с данными.
• Приказ о назначении ответственного за организацию обработки.
• Формы согласий — особенно для распространения и обработки спецкатегорий ПДн.
• Журнал учета обращений субъектов ПДн — без него невозможно подтвердить, например, что компания реагирует на запросы граждан.
• Инструкция по реагированию на инциденты — если ее нет, сотрудники в случае утечки не будут знать, как реагировать правильно.

Отсутствие любого из этих документов может быть выявлено в ходе любой проверки. Поэтому лучше провести аудит документов по персональным данным и заблаговременно привести их в порядок.

Какие нарушения выявляются в ходе аудита

Аудит персональных данных вскрывает не только отсутствие бумаг, но и другие проблемы:

• Обработка данных без законных оснований: например, если компания использует сведения клиентов для маркетинговых рассылок, но отдельное согласие на это не получала.
• Отсутствие регистрации в реестре операторов: бизнес работает с ПДн, но уведомление в РКН не подано.
• Сбор избыточных данных: у клиента запрашивают паспортные данные и ИНН там, где для оказания услуги достаточно имени и телефона.
• Нарушение локализации: данные первично записываются на серверы за пределами РФ.
• Игнорирование запросов субъектов: граждане обращаются за доступом к своим данным, а компания не дает ответ в установленный срок.

Как аудит помогает подготовиться к проверке Роскомнадзора

Аудит перед проверкой Роскомнадзора дает полную картину текущего состояния дел. По его итогам компания получает отчет, в котором перечислены все выявленные несоответствия, оценены риски и предложен план их устранения.

Устранив нарушения до прихода инспектора, вы не только избегаете штрафов, но и формируете доказательства добросовестности. Если проверка все же состоится, вы сможете продемонстрировать, что провели аудит, выявили слабые места и уже работаете над ними. Это серьезный аргумент в пользу замены штрафа на предупреждение.

Если вы не готовы провести контроль самостоятельно, обратитесь к юристам. Специалисты проведут аудит на соответствие ФЗ №152-ФЗ, найдут скрытые риски и помогут выстроить систему защиты персональных данных, которая устоит перед любой проверкой.