Аудит персональных данных

Зачем необходим аудит персональных данных (ПДн)?

К нам часто обращаются за юридическими услугами по аудиту  персональных данных  и вот зачем это нужно компаниям: 

Персональные данные определяются в рамках закона №152-ФЗ как информация, относящаяся к конкретному или идентифицируемому субъекту, зафиксированная на любых носителях.  К персональным данным относятся практически любые данные. Не только паспортные данные или ФИО, но и адрес электронной почты, а иногда даже  IP адрес.

Оператор ПДн должен обеспечивать конфиденциальность и безопасность персональных данных. Для этого важно понимать:

- какие из обрабатываемых данных можно отнести к категории персональных;
- какие персональные данные обрабатываются оператором; 
- как эти персональные данные поступают к оператору ПДн;
- с какими целями собираются персональные данные;
- кто их обрабатывает внутри компании и как;
- передаются ли ПДн  партнерам и зачем (соответствует ли цели обработки);
- осуществляется ли трансграничная персональных данных;
- и т.д.

На базе такого анализа будет создана полная картина и можно выстраивать систему защиты персональных данных. 

Опишем один из проектов, который был реализован юристами по персональным данным в Зарцын и партнеры.

Задача
К нам обратился холдинг, который включал несколько направлений:
- банк;
- производство;
- ритейл;
- Ecom.
 
Персональные данные стекались в группу компаний из разных источников и это были:
- ПДн работников;
- ПДн пользователей;
- ПДн контрагентов, партнеров и т.д.

Внутри холдинга были единые программы лояльности и это значило, что в согласиях на обработку ПДн важно было предусмотреть эти условия.

Задача, которую поставил клиент:
- провести аудит и сделать карту движения персональных данных;
- сделать анализ документов (как расположенных на сайте, так и внутренних). Документация должна была  соответствовать  требованиям закона и рекомендациям Роскомнадзора. Также нужно было разработать недостающие документы и подать уведомления в РКН об обработке персональных данных.

Важно! Если уведомление об обработке персональных данных уже подано, то важно актуализировать указанную там информацию. 

Содержание проекта
Мы провели аудит  соответствия обработки персональных данных, сформировали заключение.
Также мы разработали документы по обработке персональных данных. 

Мы сделали акцент на:
- трансграничной передаче персональных данных;
- передаче внутри группы компаний; 
- корректировке процесса получения согласия на обработку данных (в том числе онлайн);
- изменили документы, в том числе политику конфиденциальности, скорректировали порядок сбора  данных;
- сформировали и направили уведомление в РКН.