HR-системы стали главной мишенью для утечек — и регулятор это учитывает
Кадровые данные — это концентрат персональных данных: паспорта, СНИЛС, ИНН, медицинские справки, зарплаты, адреса. Одна утечка из HR-системы может затронуть всех сотрудников сразу.
Почему это важно именно сейчас:
— Штрафы за утечку по ч. 6 и 7 ст. 13.11 КоАП — до 15 млн ₽ для юрлица (и до 500 млн ₽, если утекли данные более 1 млн человек)
— Сотрудники — такие же субъекты ПДн, как и клиенты. Их данные требуют того же уровня защиты
— РКН при проверках запрашивает в том числе внутренние HR-документы: приказы о назначении ответственного, регламенты доступа к данным
Что стоит проверить в первую очередь:
1. Кто в компании имеет доступ к личным делам и базе сотрудников — и задокументирован ли этот доступ
2. Где физически хранится HR-система или кадровый сервис — серверы должны быть в РФ
3. Есть ли отдельное согласие на обработку ПДн при трудоустройстве — не «зашитое» в трудовой договор, а самостоятельный документ
HR — не менее рискованная зона, чем публичный сайт с формами. Но проверяют её реже, и именно поэтому там чаще находят нарушения.