Ошибки компаний в защите персональных данных и как избежать

Привет, друзья! Меня зовут Юлия Зазуля, я генеральный директор ООО «ЮРКОМ». Сегодня поговорим о том, как работодателю обезопасить персональные данные своих сотрудников и при этом не превратить офис в «бункер строгого режима». Да, звучит забавно, но на самом деле правила строгие — и за их нарушение грозят штрафы, вплоть до административной ответственности.

Сначала о главном:

Персональные данные — это не только имя и фамилия. Это паспортные данные, контакты, сведения о зарплате… и вся эта информация требует защиты. Закон о персональных данных (152-ФЗ) и Трудовой кодекс РФ (ст. 86, 87 ТК РФ) говорят: «Вы, как работодатель, обязаны принимать меры, чтобы эти данные не утекли и не использовались неправомерно».

Ошибка №1: Доступ “для всех на всякий случай”

Мы сталкивались с ситуацией: крупная компания дала доступ к базе данных всех сотрудников почти всем руководителям. Казалось, удобно. Но один менеджер случайно отправил таблицу с паспортными данными внешнему подрядчику. Итог — утечка данных и штраф от Роскомнадзора.

Урок: доступ к персональным данным должен быть строго ограничен.

• Бухгалтерия — только зарплаты.
• Отдел кадров — только личные данные сотрудников.
• Руководители подразделений — только свои подразделения.

Требования к помещениям

Закон прямо не устанавливает, каким должно быть помещение, где хранятся персональные данные. Но вы сами можете определить: кто входит, какое оборудование там стоит, кто имеет право доступа к документам.

Пример из нашей практики: документы воинского учета мы храним в железных шкафах в отдельном помещении. Когда приходят проверяющие — все четко и понятно, никаких вопросов.

Ссылки на законодательство: п. 7 ст. 86 ТК РФ, ч. 1 ст. 19 Закона о персональных данных, п. 21 Методических рекомендаций Минобороны России (11.07.2017).

Защита информации: внешняя и внутренняя

• Внешняя защита: пропускной режим, видеонаблюдение, технические средства охраны.
• Внутренняя защита: ограничение доступа, порядок уничтожения информации, обучение сотрудников, контроль знаний.

Ошибка №2: документы хранились просто на обычных полках. Никто не контролировал доступ. Проверка выявила, что посторонние лица могли видеть персональные данные.

Урок: железный шкаф, отдельная комната, журнал входа — простые меры спасают компанию и сотрудников.

Электронные системы

Большинство компаний хранит данные в электронных системах. Здесь без IT-защиты никуда.

Минимальные меры для защиты:

1. Контроль доступа в серверную.
2. Надежное хранение носителей данных.
3. Использование проверенных средств защиты информации (см. Постановление Правительства РФ от 01.11.2012 N 1119 и Приказ ФСТЭК России от 18.02.2013 N 21).
4. Издание приказа с перечнем сотрудников, имеющих доступ.

Ошибка №3: данные хранились в общей сетевой папке без паролей. Один удалил файлы, другой переименовал — бухгалтерия не успела сдать отчет в налоговую.

Урок: защитите электронные системы паролями, ограничением доступа и резервным копированием.

Передача данных третьим лицам

Без письменного согласия сотрудника передавать персональные данные запрещено (ст. 88 ТК РФ). Исключение — законные случаи: налоговая, военкомат, полиция, профессиональные союзы.

Ошибка №4: HR отправлял данные бывших сотрудников потенциальным работодателям по первому запросу. Добросовестно, но незаконно.

Урок: письменное согласие — обязательно, либо использование системы Роскомнадзора для согласий.

Ознакомление сотрудников

Просто отправить письмо на почту — недостаточно. Сотрудник должен расписаться под подпись или подтвердить получение электронного документа с помощью электронной подписи. Мы ведем журнал ознакомления — очень удобно при проверках.

Ошибка №5: документы есть, а обучение сотрудников отсутствует. Итог: продолжают пересылать таблицы с паролями по почте.

Урок: проводите инструктажи, мини-тесты после обучения закрепляют знания.

Вывод

Защита персональных данных — это защита сотрудников, репутации компании и способ избежать штрафов. Продумайте:

• кто имеет доступ,
• где и как хранятся документы,
• как защищены электронные системы,
• как сотрудники обучены.

Даже маленькая компания сможет надежно защитить персональные данные!

Если не знаете КАК? – СПРОСИТЕ У ЮРКОМ и МЫ ВСЕ СДЕЛАЕМ!