Организация системы работы с персональными данными в компании: как наладить процессы, уведомления и контроль

Юридическая консалтинговая компания Moscow Lawyers Group провела вебинар «Организация системы работы с персональными данными в компании». Мероприятие было посвящено практическим вопросам выстраивания системы обработки персональных данных, организации внутреннего контроля, взаимодействия с Роскомнадзором и адаптации бизнес-процессов к требованиям законодательства.

В ходе вебинара старший юрисконсульт Алина Попова рассказала, почему тема персональных данных остается одной из наиболее актуальных для компаний. Эксперт отметила, что требования законодательства постоянно меняются, а ответственность за нарушения в сфере обработки персональных данных может повлечь существенные штрафы и иные негативные последствия для работодателя.

В ходе вебинара юрист Moscow Lawyers Group Екатерина Курлаева рассказала, почему тема персональных данных остается одной из наиболее актуальных для компаний. Эксперт отметила, что требования законодательства постоянно меняются, а ответственность за нарушения в сфере обработки персональных данных может повлечь существенные штрафы и иные негативные последствия для работодателя.

Отдельное внимание было уделено самому понятию персональных данных и подходам к его определению. Участники обсудили, какие сведения могут относиться к персональным данным, включая не только очевидные идентификаторы, но и данные, позволяющие выделить конкретное физическое лицо среди других. Были рассмотрены примеры из практики, такие как IP-адрес, cookies, СНИЛС, номер банковской карты и иные сведения, по которым можно установить личность человека.

Значительная часть вебинара была посвящена уведомлению Роскомнадзора и работе с реестром операторов. Участники узнали, в каких случаях компания обязана направлять уведомление, как подаются первичные сведения и изменения, какие способы подачи доступны оператору и почему актуализация информации в реестре требует постоянного внимания. Эксперт отдельно остановилась на практике подачи уведомлений в электронном и бумажном виде, а также на технических сложностях, которые могут возникать при использовании портала Роскомнадзора.

В рамках мероприятия была подробно разобрана организация внутреннего реестра процессов обработки персональных данных. Участникам рассказали, какие сведения должны фиксироваться в таком реестре, как определяются цели обработки, правовые основания, сроки хранения, порядок уничтожения данных и перечень совершаемых с ними действий. Отдельно было отмечено, что реестр процессов должен регулярно обновляться при изменении бизнес-процессов компании.

Особое внимание было уделено роли ответственного за обработку персональных данных. Спикер пояснила, что этот сотрудник должен участвовать в согласовании новых процессов, отслеживать изменения в документах, контролировать соблюдение требований закона и взаимодействовать с руководством компании. Также были рассмотрены вопросы распределения доступа к персональным данным, формирования матрицы доступа и оформления обязательств о конфиденциальности.

Практическая часть вебинара была посвящена правовым основаниям обработки персональных данных. Эксперт рассказала, когда обработка может осуществляться на основании закона, договора, согласия или законного интереса. Участники обсудили, в каких случаях согласие действительно необходимо, а когда оно только усложняет работу компании и создает дополнительные риски. Отдельно была рассмотрена тема письменной формы согласия, в том числе для специальных категорий данных, биометрии и передачи данных третьим лицам.

Важным блоком мероприятия стали требования к документальному оформлению обработки персональных данных. Участники узнали, почему с 1 сентября 2025 года согласие на обработку персональных данных не должно включаться в текст других документов, таких как трудовой договор или анкета кандидата, и должно оформляться отдельно. Также были рассмотрены требования к локальным актам компании, политике обработки персональных данных и документам, регулирующим хранение, доступ и уничтожение сведений.

Отдельно была рассмотрена тема обработки персональных данных работников, кандидатов, контрагентов и самозанятых исполнителей. Спикер объяснила, в каких случаях достаточно договора как основания обработки, а когда потребуется отдельное согласие. Были разобраны особенности работы с резюме, анкетами кандидатов, данными сотрудников, а также информацией, полученной через кадровые агентства или в рамках договорных отношений.

Практический интерес вызвал блок, посвященный хранению и уничтожению персональных данных. Участники обсудили, как организовать сроки хранения документов, каким образом уничтожаются бумажные и электронные носители, какие подтверждающие документы должны оформляться при уничтожении и как фиксировать такие действия в информационных системах. Эксперт также рассказала о необходимости совместной работы ответственного лица и специалиста по информационной безопасности при ликвидации данных из цифровых систем.

В завершение вебинара была затронута тема утечек персональных данных и уведомления о них. Екатерина Курлаева отметила, что компаниям необходимо заранее выстраивать систему технической и организационной защиты информации, назначать ответственных лиц, отслеживать обращения субъектов персональных данных и соблюдать установленные сроки уведомления при выявлении инцидентов.

По итогам мероприятия Moscow Lawyers Group подчеркнула, что эффективная система работы с персональными данными строится не на разрозненных документах, а на постоянном взаимодействии между бизнес-процессами, внутренними регламентами и ответственными сотрудниками. Такой подход позволяет компании не только снизить риск штрафов и претензий со стороны Роскомнадзора, но и выстроить управляемую, прозрачную и устойчивую систему обработки персональных данных.