Учет обработок персональных данных: как не получить «письмо счастья» и внеплановую проверку от НЦЗПД

В сегодняшней статье мы рассмотрим один из самых неочевидных, но болезненных для бизнеса вопросов — организацию учета всех видов персональных данных (ПД), которые обрабатываются в компании.

Причем неважно, кто вы — крупный холдинг или небольшой стартап. В этом вопросе кроется скрытый риск: если его игнорировать, компания может легко «заработать» внеплановую проверку со стороны Национального центра защиты персональных данных (НЦЗПД).

Давайте разберем, о чем идет речь, где зарыта собака и как построить работу, чтобы минимизировать риски.

4 законных права субъекта ПД

Согласно Закону Республики Беларусь № 99-З «О защите персональных данных», у каждого физического лица — будь то ваш сотрудник, клиент, подрядчик или даже родственник сотрудника — есть четыре права из Закона о защите персональных данных:

1. Право на отзыв согласия на обработку ПД.
2. Право на получение информации о том, какие его персональные данные обрабатываются в компании.
3. Право требовать прекращения обработки ПД и их удаления.
4. Право на получение информации о предоставлении ПД третьим лицам за последний календарный год.

В этих же статьях подробно прописан и порядок работы компании с соответствующими заявлениями.

В чем главная сложность и где кроется риск?

Чтобы выполнить любое из перечисленных требований гражданина, компания должна вести надлежащий учет всех персональных данных.

Речь идет о любых носителях и системах:

• программное обеспечение, CRM и базы данных;
• бумажные документы (кадровые дела, договоры, акты);
• мессенджеры, рабочие чаты, электронная почта;
• облачные хранилища и виртуальные среды.

Простыми словами: компания в режиме онлайн должна понимать, чьи данные у нее есть, в каких системах они хранятся, для каких целей используются и сколько должны храниться.

Если такого учета нет, компания неизбежно попадет в ловушку жестких процессуальных сроков.

Практический пример: жесткие 5 дней на ответ

Закон устанавливает конкретные сроки для ответа на заявления граждан:

• по большинству прав (отзыв, удаление, передача третьим лицам) — 15 календарных дней;
• по праву на получение информации о том, какие данные обрабатываются — всего 5 рабочих дней.

Кейс из практики. В компанию поступает заявление от бывшего клиента или уволенного сотрудника с просьбой предоставить полный перечень обрабатываемых в отношении него ПД.

Если в компании не настроен сквозной учет, инвентаризация данных по всем отделам (кадры, бухгалтерия, отдел продаж, IT-служба) займет недели. В отведенные 5 рабочих дней компания банально не уложится.

Чем грозит просрочка: от штрафа до внеплановой проверки

Несоблюдение сроков или игнорирование заявления влечет за собой цепь неприятных последствий.

Административная ответственность за нарушение порядка рассмотрения обращений.

Жалоба в НЦЗПД. Получив отписку или не получив ответа вовсе, гражданин направляет жалобу в регулятор.

Внеплановая проверка. На основании Положения о своей деятельности (утв. Указом № 422 от 28.10.2021) НЦЗПД имеет право по обоснованной жалобе назначить в отношении компании внеплановую проверку (либо включить ее в план проверок на следующий год).

А внеплановая проверка НЦЗПД редко ограничивается только фактом одного заявления. Если в процессе выяснится, что в компании отсутствуют обязательные документы или не приняты меры по защите ПД, штрафы могут оказаться крайне ощутимыми:

• от 50 базовых величин — только за факт отсутствия требуемой законодательством документации;
• вплоть до административной и иной ответственности за иные нарушения при работе с персональными данными.

Как правильно организовать учет внутри компании?

Учет должен быть построен не «на бумаге для галочки», а на уровне реальных рабочих бизнес-процессов (технически и организационно).

Система должна позволять при поступлении заявления мгновенно:

• идентифицировать, есть ли данные конкретного человека в ресурсах компании;
• если данных нет — дать корректный мотивированный ответ;
• если данные есть — оперативно отработать запрос (отозвать, удалить, сформировать отчет о передаче третьим лицам за год или выгрузить список обрабатываемых данных).

Резюме

Мало просто напечатать «Политику обработки персональных данных» и выложить ее на сайт. Без функционирующей системы внутреннего учета данных любой запрос от гражданина превращается в потенциальный детонатор для внеплановой проверки регулятора.