01 / О КЛИЕНТЕ
Клиент — крупный медиахолдинг, специализирующийся на коммуникациях с русскоговорящей аудиторией по всей России. Компания разрабатывает рекламные и коммуникационные решения с учетом особенностей российского рынка и инсайтов локальной аудитории.
02 / КОНТЕКСТ ПРОЕКТА
Клиенту требовалась независимая экспертная оценка того, насколько корректно организована обработка персональных данных в группе компаний. Необходимо было проверить действующие процессы на соответствие законодательству, выявить проблемные зоны и определить, какие изменения действительно нужны бизнесу.
Особенность проекта заключалась в необходимости учитывать не только требования Федерального закона № 152-ФЗ «О персональных данных», но и реальную организацию работы холдинга: распределение функций между подразделениями, взаимодействие юридических лиц, договорные отношения и использование общих информационных систем.
При этом требовалось не ограничиваться поиском формальных несоответствий. Важно было предложить практически применимые решения, которые позволили бы привести процессы в соответствие с требованиями закона без создания избыточных процедур и дополнительной нагрузки на сотрудников.
03 / ЧТО ТРЕБОВАЛОСЬ
Перед командой стояли следующие ключевые задачи:
Определить реальные зоны несоответствия законодательству: проверить, как организована обработка персональных данных в различных направлениях деятельности группы, и установить, где существующие практики не в полной мере отвечают требованиям 152-ФЗ.
Сделать прозрачными процессы внутри группы компаний: разобраться, какие организации и подразделения участвуют в обработке данных, как передаются сведения между юридическими лицами и на каких основаниях строится такое взаимодействие.
Подготовить план практических изменений: сформировать рекомендации по корректировке документов, договоров, информационных систем и бизнес-процессов с учетом специфики деятельности холдинга.
04 / ПОТЕНЦИАЛЬНЫЕ РИСКИ
Для крупной группы компаний недостаточно проверить наличие политик и согласий на обработку персональных данных.
Даже при формально выстроенном документообороте несоответствия могут возникать на уровне повседневных операций: при передаче сведений между организациями, использовании общих систем или распределении ответственности за обработку данных. В ходе проекта необходимо было учитывать несколько групп рисков.
Административная ответственность
Нарушения требований законодательства о персональных данных могут повлечь административные штрафы. В зависимости от состава нарушения ответственность может наступать по различным частям статьи 13.11 КоАП РФ. Совокупная сумма потенциальных штрафов по проекту составляла для клиента более 30 млн. руб.
Неочевидные нарушения при взаимодействии компаний
При распределенной структуре бизнеса важно правильно определять роли организаций, основания передачи персональных данных и договорные условия взаимодействия. Если эти механизмы не согласованы между собой, даже привычные рабочие процессы могут создавать правовые риски.
Избыточные процедуры и операционная нагрузка
Стремление минимизировать юридические риски иногда приводит к использованию дополнительных согласий и документов там, где они не требуются для конкретного процесса. Это усложняет работу сотрудников, увеличивает количество формальностей и не всегда повышает уровень правовой защищенности.
05 / ЧТО МЫ СДЕЛАЛИ
1. Провели анализ бизнес-процессов
Провели комплексный аудит всех направлений деятельности, в которых осуществлялась обработка персональных данных. Проверка позволила сопоставить фактические процессы с требованиями законодательства и определить, где существующая практика нуждалась в корректировке. При этом анализ проводился с учетом корпоративной культуры холдинга, распределения функций между подразделениями и особенностей взаимодействия организаций внутри группы.
2. Проанализировали документы и договорную базу
Изучили локальные нормативные акты, регулирующие обработку персональных данных, а также договоры с сотрудниками и контрагентами.Особое внимание уделили тому, насколько документация соответствует фактическим процессам и обеспечивает необходимые правовые основания для обработки и передачи данных. По результатам анализа подготовили рекомендации по корректировке документов и договорных условий.
3. Выстроили прозрачную схему передачи данных внутри группы
Проанализировали взаимодействие компаний при передаче персональных данных и подготовили схему, отражающую соответствующие процессы.Для каждого участка взаимодействия требовалось понимать, какие организации участвуют в обработке, как передаются сведения и какие договорные механизмы необходимо предусмотреть. На основе проведенного анализа сформировали рекомендации по оформлению отношений между компаниями. В результате клиент получил более структурированное представление о движении персональных данных внутри группы и о необходимых изменениях в договорной базе.
4. Проверили информационные системы и разграничили контуры обработки
Провели аудит информационных систем, в которых обрабатывались персональные данные работников и клиентов компаний. Отдельной задачей стала проверка систем, в которых могли одновременно обрабатываться данные нескольких юридических лиц. В таких случаях важно понимать, в интересах какой организации осуществляется обработка, как распределяются соответствующие функции и какие меры необходимы для корректной организации процессов. По результатам аудита подготовили рекомендации по разграничению контуров обработки данных и обеспечению их безопасности.
5. Предложили изменения, которые упростили работу бизнеса
На основании комплексной проверки подготовили рекомендации по приведению бизнес-процессов в соответствие с действующими требованиями законодательства о персональных данных. При выработке решений учитывали не только юридическую корректность, но и практическую целесообразность изменений. Там, где для обработки персональных данных не требовалось отдельное согласие, клиент получил возможность отказаться от избыточных процедур.
06 / РЕЗУЛЬТАТЫ ДЛЯ КЛИЕНТА
1. Получена целостная картина соответствия требованиям 152-ФЗ
Аудит подтвердил наличие отдельных зон, в которых требования законодательства соблюдались не в полной мере. Вместо разрозненных замечаний компания получила структурированные рекомендации по направлениям, требующим изменений.
2. Снижена операционная нагрузка за счет отказа от избыточных согласий
На основании рекомендаций клиент смог отказаться от ряда согласий в тех случаях, когда они не требовались для соответствующих процессов. Это позволило сократить количество формальных действий и упростить отдельные бизнес-процессы без отказа от требований законодательства.
3. Создана основа для системного управления обработкой данных внутри группы
Рекомендации по передаче персональных данных между компаниями, договорной базе, разграничению информационных систем и мерам безопасности помогли сформировать основу для дальнейшего совершенствования процессов.
4. Сотрудничество продолжилось в формате постоянного сопровождения
По завершении проекта клиент принял решение продолжить сотрудничество с нашей командой. Был заключен договор на абонентское обслуживание, а наша компания была включена в реестр операторов персональных данных в качестве внешнего ответственного за организацию обработки персональных данных. Это подтвердило востребованность не только разовой экспертной оценки, но и системной поддержки клиента в вопросах организации обработки персональных данных.
07 / ПРАКТИЧЕСКАЯ ЗНАЧИМОСТЬ ПРОЕКТА
1. Комплексность аудита
Для компаний со сложной организационной структурой проверка отдельных политик, согласий и договоров не дает полной картины. Существенные вопросы могут возникать на стыке подразделений, юридических лиц и информационных систем.
2. Соблюдение законодательства не должно означать усложнение каждого процесса
Избыточные согласия и дополнительные формальности не являются универсальным способом снизить правовые риски. Напротив, они могут увеличивать операционную нагрузку, не решая проблему корректности правовых оснований обработки.
3. Важность взаимодействия между участниками группы компаний
Когда в обработке персональных данных участвуют несколько юридических лиц, необходимо четко понимать роли каждой организации, основания передачи сведений, договорные обязательства и границы использования информационных систем. Прозрачная схема взаимодействия и согласованные процессы создают основу для системного управления персональными данными и упрощают дальнейшее сопровождение изменений в бизнесе.
