РКН проверяет внутренние реестры ПДн сотрудников: три несоответствия из HR-системы

На прошлой неделе один из наших клиентов - средний производственный холдинг, оператор ПДн с уведомлением, поданным ещё в 2023-м, - получил внеплановую проверку РКН. Тема: соответствие внутренних реестров обработки персональных данных сотрудников актуальному уведомлению и реальным системам. Мы сопровождали аудит и видели всё от первого звонка инспектора до закрытия предписания.

По нашим наблюдениям, внеплановые проверки именно по кадровым данным - не случайный эпизод. Несколько коллег по рынку в феврале-марте рассказывают похожие истории. Похоже, РКН системно отрабатывает этот сегмент: операторы, у которых HR-данные - основной массив обрабатываемой информации, а документация годами не обновлялась.

Почему кадровые данные под прицелом

Логика понятна. Каждая компания-работодатель - оператор ПДн по умолчанию, причём с широким составом данных: паспортные данные, ИНН, СНИЛС, сведения о состоянии здоровья (медкнижки, справки), данные о судимостях при допусках, биометрия при пропускной системе. Это специальные и иные категории ПДн - не просто «ФИО и телефон».

При этом HR-системы за последние три-четыре года существенно расширились. Компании внедряли кадровый ЭДО, self-service порталы для сотрудников, интеграции с медстрахованием и банками для зарплатных проектов. Функционал рос, а уведомления в реестре операторов обновляли далеко не все. Это и есть структурный разрыв, который регулятор сейчас закрывает.

Мы в январе писали про плановые проверки реестров операторов в целом - там про общую механику. Здесь конкретика по кадровому срезу.

Три несоответствия, которые нашёл инспектор

Проверка длилась два дня. Инспектор запросил уведомление из реестра, внутренние документы по обработке ПДн и доступ к описанию информационных систем. Дальше - сверка.

Первое - состав специальных категорий ПДн не отражал реальность. В уведомлении 2023 года было указано «обработка данных о состоянии здоровья» - но только в части обязательных медосмотров. По факту HR-система хранила также сведения из программы добровольного медицинского страхования: страховые полисы, данные о прикреплённых клиниках, история обращений, которую страховая передавала в личный кабинет сотрудника на корпоративном портале. Это другой объём данных о здоровье с другим правовым основанием. Отдельного блока в уведомлении не было.

Второе - третьи лица в цепочке обработки. Компания использовала внешний сервис кадрового ЭДО. Сервис - российский, с нужными сертификатами, договор поручения на обработку ПДн был. Но в уведомлении этого оператора не было указано в разделе передачи третьим лицам. Классическое расхождение между тем, что есть в договорной документации, и тем, что отражено в реестровой записи.

Третье - ответственный за организацию обработки ПДн. В уведомлении была указана должность HR-директора с конкретным ФИО. Человек уволился полтора года назад. Новый HR-директор есть, но запись не обновляли. Формально - нарушение, и инспектор его зафиксировал отдельным пунктом, хотя это самое простое из трёх.

Как приводили маппинги систем к актуальному реестру

После того как стало понятно, какие именно расхождения есть, мы с клиентом пошли по системному маршруту - не точечно заткнуть три дырки, а сверить весь ландшафт HR-данных с реестровой записью, пока инспектор ждёт ответа на предписание.

Инвентаризация систем шла параллельно с работой над уведомлением. Составили реестр всех систем, где есть сотрудники как субъекты ПДн: основная HRM, кадровый ЭДО, корпоративный портал с ЛК сотрудника, пропускная система с биометрией, интеграция с банком для зарплатного проекта, система учёта рабочего времени. Для каждой системы - реальный состав данных, не по документации, а по факту, из описания БД и договоров с вендорами.

Дальше - послойная сверка с действующим уведомлением:

• Категории субъектов и данных. Где в уведомлении написано одно, а система хранит больше.
• Цели обработки. Отдельный разговор с юристами и HR-блоком: цель «кадровое делопроизводство» не покрывает ДМС-аналитику, это самостоятельная цель с самостоятельным основанием.
• Третьи лица. Пробежались по всем договорам с подрядчиками, у кого есть доступ к данным сотрудников. Нашли ещё двух, которых не было в уведомлении.
• Сроки хранения. В нескольких системах данные хранились дольше, чем указано в уведомлении, без задокументированного обоснования.

Обновление уведомления подали через портал РКН в течение недели после проверки - форма позволяет вносить изменения без повторного полного заполнения. Параллельно обновили политику обработки ПДн, привели в соответствие соглашения о поручении обработки с тремя подрядчиками.

Что оказалось неожиданным

Самым трудоёмким был не технический маппинг, а согласование формулировок. HR-блок настаивал на широких формулировках по целям - «для обеспечения корпоративной деятельности». Юристы хотели специфичных оснований под каждую цель. ИТ не понимал, при чём тут они. На это ушло больше времени, чем на саму инвентаризацию систем.

Ещё один момент: ДМС-данные оказались в серой зоне ответственности. HR считал, что это данные страховой компании, а не работодателя. ИТ считал, что данные в корпоративном портале - ответственность HR. По факту работодатель организовал обработку, предоставив инфраструктуру и доступ, - значит, оператор он. Этот вопрос пришлось закрыть отдельным внутренним решением с подписями.

Что дальше

Предписание закрывается в течение 30 дней - такой срок дал инспектор. Два из трёх пунктов уже закрыты документально. Третий, по составу данных ДМС, ждёт обновления политики обработки с новыми формулировками.

Системный вывод простой: HR-системы растут быстро, реестровые записи - нет. Разрыв накапливается незаметно, и внеплановая проверка - это не худший способ его обнаружить, но и не самый удобный.