Проверка обработки персональных данных сотрудников начинается с запроса документов: положения об обработке персональных данных, письменных согласий каждого работника, приказа о назначении ответственного за обработку ПДн, уведомления в Роскомнадзор об обработке данных. Инспектор сверяет, что реальный перечень собираемых данных (в трудовом договоре, личной карточке, 1С) соответствует тому, что указано в согласии и уведомлении - расхождение здесь одна из частых находок.
Дальше проверяются условия хранения: кто имеет доступ к личным делам и базе 1С, как организовано хранение бумажных документов (закрывается ли шкаф, кто имеет ключ), есть ли разграничение прав в кадровой программе. Отдельно смотрят срок хранения данных уволенных сотрудников - их нельзя держать бессрочно, после истечения установленного срока хранения кадровых документов данные подлежат уничтожению.
Если проверка выездная, инспектор может опросить сотрудников, ответственных за кадровый учет, и попросить показать рабочее место, где обрабатываются данные. По итогам составляется акт, при нарушениях - предписание об устранении в установленный срок либо протокол по статье 13.11 КоАП РФ.
Подготовка сводится к трем вещам: привести в порядок документы (положение, согласия, уведомление в РКН), проверить, что список собираемых данных нигде не расходится, и убедиться, что доступ к личным делам действительно ограничен, а не формально прописан на бумаге. Если документов нет вообще или они давно не обновлялись, мы готовим их с нуля, включая уведомление для Роскомнадзора.