Аудит ПДн после первых предписаний РКН: что нашли у трёх клиентов за неделю

Как только в начале октября пошли новости о первых реальных предписаниях Роскомнадзора - не плановых проверках с уведомлением за месяц, а именно предписаниях и первых штрафах - нам позвонили почти одновременно три разных клиента. Смысл звонков был примерно один: «читали новости, хотим понять где мы находимся».

За одну неделю провели аудит состояния ПДн у всех троих. Результаты оказались похожими до неприличия.

Одна и та же картина в трёх местах

Клиенты разные - производство, дистрибуция, профессиональные услуги. IT-инфраструктура у каждого своя. Но проблемы нашлись почти идентичные.

HR-система на зарубежном сервере. У двух из трёх клиентов система управления персоналом работала либо как SaaS у иностранного вендора, либо self-hosted, но на арендованном сервере в европейском датацентре. Данные сотрудников - ФИО, паспорта, трудовые договоры, зарплата - там же. По ФЗ-242 это прямое нарушение: персональные данные граждан РФ должны первично обрабатываться и храниться на территории России. HR - это не серая зона, это именно то, на что смотрит РКН в первую очередь.

CRM без корректного соглашения об обработке ПДн. У всех троих. CRM есть, данные клиентов там собираются - имена, телефоны, адреса, история сделок. Но при регистрации или заключении договора субъект персональных данных формально не информируется о том, кто оператор, с какой целью собираются данные, на каком основании. Форма согласия или вовсе отсутствовала, или была написана в стиле «нажимая кнопку, вы соглашаетесь со всем» без каких-либо подробностей. Это нарушение 152-ФЗ в базовой его части, не только ФЗ-242.

Почему это типично

Объяснение простое. HR-системы выбирались несколько лет назад, когда требований по локализации не было. Зарубежные SaaS-решения для HR тогда были удобнее, дешевле и функциональнее большинства российских. Компании к ним привыкли, интегрировали с другими системами, обучили людей - и менять «потому что закон» без видимой угрозы никто не торопился.

С CRM похожая история, но чуть другая. Многие разрабатывали форму согласия один раз, давно, с минимальным юридическим участием - и с тех пор не трогали. Закон 152-ФЗ существует с 2006 года, но правоприменение по нему было настолько вялым, что на документацию внимания практически не обращали. ФЗ-242 дал РКН новый инструмент и, судя по новостям, желание им пользоваться.

Что делали после аудита

По HR-системам путь определился быстро. Один клиент нашёл on-premise версию своего вендора - оказалось, такая есть, просто никто не смотрел. Развернули на российском железе, перенесли данные, проверили. Второй клиент решил переходить на отечественную систему - это длиннее, но вендор уже выбран.

С CRM сложнее, потому что это не только техника, но и процесс. Нужно переписать формы согласия, обновить политику обработки ПДн, разобраться с историческими данными - как с ними быть, если согласие было получено по старой форме или вовсе не было. Здесь мы работали вместе с юристами клиентов, техническая сторона - наша, правовая - их.

Документацию оператора у всех троих доработали параллельно: политика обработки ПДн, приказ о назначении ответственного, перечень информационных систем с указанием физического расположения данных. Это не разовое дело, но на первый раз - несколько дней работы.

Что это значит для остальных

Первые предписания - это сигнал, что РКН перешёл от плановых проверок с долгим уведомлением к реальным действиям. Механизм работает.

Если в инфраструктуре есть HR-система с данными за рубежом - это, скорее всего, приоритет номер один. Не потому что РКН придёт именно к вам завтра, а потому что данные сотрудников - самая очевидная и документированная категория ПДн, и именно с неё начинают инспекторы.

Если CRM собирает данные, но согласие субъектов не оформлено или оформлено формально - это риск, который не зависит от ФЗ-242. Это базовый 152-ФЗ, ему уже девять лет, и в теории нарушение могло стать предметом проверки ещё раньше.

Аудит у трёх клиентов за неделю дал неплохое ощущение среднего состояния дел. Не катастрофа, но работы - на несколько месяцев у каждого. Хорошо, что не пришлось объяснять это уже после предписания.