01 / О КЛИЕНТЕ
Один из лидеров столичного рынка жилой и коммерческой недвижимости бизнес-класса. Компания реализует проекты комплексного развития территорий, объединяющие жилые апартаменты, офисы и торговые пространства, и управляет полным циклом девелопмента.
02 / КОНТЕКСТ ПРОЕКТА
Клиент обратился за проектом по аудиту более 60 юридических лиц. Было решено выделить 7 юридических лиц, которые включают все бизнес-процессы в компании.
Необходимо было установить, насколько фактические процессы обработки персональных данных соответствуют законодательным требованиям.
Масштаб и многопрофильность бизнеса предполагают обработку персональных данных на разных этапах деятельности: при взаимодействии с покупателями и владельцами недвижимости, работе с контрагентами, подборе персонала и управлении внутренними бизнес-процессами.
Обработка данных распределена между несколькими юридическими лицами, информационными системами, подразделениями и внешними организациями. В таких условиях недостаточно проверить отдельные документы или привести в порядок один сайт: необходимо оценить всю систему обработки персональных данных и согласованность процессов внутри группы компаний.
03 / ЧТО ТРЕБОВАЛОСЬ
Привести деятельность семи юридических лиц в соответствие с требованиями № 152-ФЗ и сформировать единый подход к обработке персональных данных в группе компаний.
Для этого требовалось:
провести комплексный правовой аудит семи юридических лиц, охватив все основные процессы обработки персональных данных;
проверить локальные нормативные акты, договоры с сотрудниками и контрагентами, документы, сайты и материалы компании;
выявить и классифицировать правовые риски, определить возможные последствия нарушений и приоритеты их устранения;
систематизировать процессы обработки данных, договорные отношения и используемые информационные системы;
разработать комплект необходимых документов и практические меры по устранению выявленных несоответствий;
учесть особенности девелоперской деятельности, включая обработку данных владельцев недвижимости и соискателей, чьи данные могут передаваться между юридическими лицами группы.
04 / ПОТЕНЦИАЛЬНЫЕ РИСКИ
Отсутствие единой картины процессов обработки персональных данных: отдельные нарушения могли оставаться незамеченными, даже если часть документов уже была подготовлена. Для бизнеса такого масштаба последствия могли выходить далеко за рамки отдельных замечаний регулятора.
Финансовые потери: за нарушения требований законодательства о персональных данных предусмотрена административная ответственность по различным частям статьи 13.11 КоАП РФ. Расчетная сумма потенциальных штрафов для клиента по карте рисков составляла 30,63 млн рублей.
Несогласованность в обработке данных: при распределении процессов между несколькими юридическими лицами могли возникать несоответствия в основаниях обработки, порядке передачи информации, договорных условиях и распределении ответственности.
Отношения с клиентами и контрагентами: недостатки в документации и фактических процессах могли привести к претензиям со стороны субъектов персональных данных, партнеров и контролирующих органов.
Операционные риски: без единой системы учета процессов и требований к документам устранение нарушений могло превратиться в разрозненную работу отдельных подразделений, затрудняющую контроль и поддержание соответствия законодательству в дальнейшем.
05 / ЧТО МЫ СДЕЛАЛИ
1. Провели комплексный правовой аудит семи юридических лиц
Мы организовали legal due diligence в области персональных данных.
В рамках аудита изучили:
процессы сбора, использования, хранения и передачи персональных данных;
локальные нормативные акты и внутренние регламенты;
договорную базу с сотрудниками и контрагентами;
документы и материалы, используемые в деятельности компаний;
сайты и социальные сети группы компаний;
информационные системы, в которых обрабатываются персональные данные.
Такой подход позволил оценить не только формальное наличие необходимых документов, но и их соответствие реальным процессам бизнеса.
2. Систематизировали процессы, договоры и информационные системы
Одной из ключевых задач было сформировать целостное представление об обработке персональных данных в распределенной структуре группы компаний.
Для этого мы подготовили:
Реестр процессов обработки персональных данных группы компаний — для систематизации операций с данными и определения соответствующих правовых требований.
Реестр контрагентов — с квалификацией договоров и индивидуальными рекомендациями по необходимым изменениям.
Реестр информационных систем — более 80 систем, в которых требовалось учитывать вопросы обработки персональных данных.
Результаты правового анализа сайтов и социальных сетей — для выявления несоответствий в публичных цифровых каналах компании.
3. Разработали матрицу рисков и план устранения нарушений
По результатам диагностики мы подготовили детальный отчет с классификацией выявленных рисков и пошаговым планом устранения каждого установленного несоответствия.
Для клиента это означало возможность перейти от общего понимания необходимости соблюдать 152-ФЗ к конкретным действиям: определить, какие изменения требуются, какие документы необходимо скорректировать и какие процессы нуждаются в дополнительном правовом регулировании.
При формировании рекомендаций учитывались особенности отдельных юридических лиц и характер обрабатываемых данных.
4. Подготовили комплект документов и рекомендации для специфических процессов девелопера
На основании результатов аудита мы сформировали комплект документов по обработке персональных данных для компаний группы и разработали дополнительные рекомендации для процессов, требующих особого внимания.
В частности, проработали два направления:
Обработка данных владельцев недвижимого имущества в рамках комплексного развития территорий. Рекомендации учитывали специфику взаимодействия девелопера с владельцами недвижимости и необходимость надлежащего правового оформления соответствующих процессов.
Обработка данных соискателей при передаче информации между юридическими лицами группы. Рекомендации были направлены на правовое регулирование процессов, в которых персональные данные кандидатов перемещаются между несколькими компаниями.
Мы учитывали реальные особенности бизнеса клиента, а не сводили комплаенс к комплекту шаблонных документов.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
1. Снижены финансовые риски, связанные с нарушением 152-ФЗ
В ходе проекта выявлены и систематизированы правовые риски, потенциальные последствия которых могли выражаться в административных штрафах на общую сумму 30 млн рублей. Клиент получил матрицу рисков и пошаговый план устранения выявленных несоответствий, позволяющие определить приоритеты и организовать работу по снижению вероятности финансовых и репутационных потерь.
2. Единая система управления персональными данными для семи юридических лиц
Созданы реестр процессов обработки персональных данных, реестр контрагентов с правовой квалификацией договоров и реестр более 80 информационных систем.
Систематизация позволила объединить разрозненные сведения о процессах обработки данных в структурированную базу для дальнейшего контроля и унификации compliance внутри группы компаний.
3. Правовая основа для устранения несоответствий с учетом специфики бизнеса
Разработан комплект документов по обработке персональных данных и подготовлены адресные рекомендации для сложных бизнес-процессов, включая работу с данными владельцев недвижимости и передачу данных соискателей между компаниями группы.
Клиент получил конкретные инструменты для приведения процессов в соответствие с законодательством, а не только перечень выявленных проблем.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА
1. Управляемый compliance в сложной корпоративной структуре
Правильная методология аудита для групп компаний помогает выявлять несоответствия на уровне всей организации и создает систему для дальнейшей работы внутренних специалистов.
2. Учет специфики бизнеса
Общие требования законодательства нужно применять с учетом отраслевой специфики, распределения ответственности и особенностей обмена информацией.
3. Проактивное управление правовыми рисками
Предварительная диагностика позволяет бизнесу заблаговременно оценить масштаб угроз, определить приоритетные меры и спланировать устранение нарушений до возникновения претензий регулятора.
