Регистрация аудитора в Роскомнадзоре

Обработка персональных данных сотрудников проверяемых компаний: кто есть кто

В цепочке взаимодействия при проведении аудита ключевым является определение статуса каждой стороны.

• Оператором персональных данных, как правило, выступает компания-заказчик (проверяемая организация). Именно она определяет цели и состав обрабатываемых данных, а также несёт ответственность перед субъектами (сотрудниками) за законность обработки.
• Аудиторская фирма в данной схеме чаще всего выступает в роли обработчика – она выполняет технические и аналитические действия по поручению оператора и в его интересах. Обработчик не определяет цели обработки самостоятельно, а действует строго в рамках полученного поручения.

Такое распределение ролей закреплено в статье 6 152-ФЗ и подтверждается разъяснениями Роскомнадзора и Федеральной налоговой службы.

Необходимость согласия сотрудников на передачу данных аудитору

Вопрос получения согласия сотрудников зависит от характера аудита:

• Обязательный аудит (проводимый в силу требований федерального законодательства). В этом случае передача персональных данных аудитору осуществляется на основании закона, и отдельное согласие сотрудников не требуется. Правовое основание – пункт 2 части 1 статьи 6 152-ФЗ (обработка необходима для выполнения обязанностей, предусмотренных федеральным законом).
• Инициативный аудит (проводимый по решению самой компании). В такой ситуации для передачи персональных данных сотрудников конкретному аудитору необходимо получить отдельное, информированное согласие каждого сотрудника. При этом:
• согласие должно быть конкретным, содержать перечень передаваемых данных, цели и сроки;
• с 1 сентября 2025 года такое согласие должно оформляться отдельным документом – включение его в трудовой договор или иные локальные акты не допускается.

Также согласие требуется, если аудитор в рамках своей деятельности планирует использовать данные для целей, не связанных непосредственно с проверкой (например, для внутренней аналитики или маркетинга). В таком случае аудитор выходит за рамки поручения и фактически становится оператором для этих целей.

Договор поручения на обработку персональных данных

Для законной передачи данных между оператором и обработчиком необходимо заключить договор поручения на обработку персональных данных (часть 3 статьи 6 152-ФЗ). Данный документ может быть оформлен как отдельное соглашение или включён в качестве специального раздела в основной договор на оказание аудиторских услуг.

Обязательные условия договора поручения

В договоре должны быть чётко зафиксированы следующие положения:

• Перечень передаваемых персональных данных – конкретный и исчерпывающий, без обобщающих формулировок (например, ФИО, должность, данные о доходах, номера СНИЛС и ИНН – в зависимости от целей аудита).
• Цели обработки – строго определённые и соответствующие задачам аудита (например, «для проведения аудита бухгалтерской (финансовой) отчётности», «для проверки расчётов по заработной плате»).
• Перечень разрешённых действий с данными – сбор, запись, систематизация, накопление, хранение, использование, передача (в пределах поручения), обезличивание, блокирование, уничтожение.
• Обязанность обработчика соблюдать конфиденциальность и не разглашать данные третьим лицам без письменного разрешения оператора.
• Требования к защите данных – обработчик обязан обеспечивать безопасность персональных данных в соответствии со статьёй 19 152-ФЗ (организационные и технические меры: шифрование, разграничение доступа, антивирусная защита и т.п.).
• Обязанность предоставлять документы по запросу оператора, подтверждающие принятие мер для соблюдения условий поручения.
• Обязанность незамедлительно уведомлять оператора об инцидентах (попытках несанкционированного доступа, утечках) с указанием сроков и порядка такого уведомления.
• Условия прекращения обработки и порядок уничтожения данных после окончания действия поручения.

Ответственность

Даже при наличии договора поручения полная ответственность перед субъектами персональных данных (сотрудниками) остаётся на операторе – проверяемой компании. Обработчик несёт ответственность перед оператором в рамках заключённого договора и может быть привлечён к гражданско-правовой или административной ответственности за нарушение условий обработки.

Уведомление в Роскомнадзор для аудиторской фирмы

Вопрос о необходимости подачи уведомления о начале обработки персональных данных в Роскомнадзор зависит от статуса аудиторской организации.

Аудитор как обработчик

Если аудиторская фирма действует исключительно в качестве обработчика по поручению оператора и не определяет самостоятельно цели обработки, она не обязана подавать уведомление. Обязанность по уведомлению лежит на операторе (проверяемой компании).

Аудитор как оператор

Аудиторская фирма становится оператором и обязана подать уведомление в Роскомнадзор в следующих случаях:

• Обработка персональных данных собственных сотрудников и клиентов для внутренних нужд (кадровый учёт, бухгалтерия, маркетинг).
• Использование персональных данных, полученных в ходе аудита, для собственных целей, не предусмотренных поручением (например, для формирования статистики или рейтингов, для рассылок).
• Сбор персональных данных вне рамок конкретного поручения (например, при ведении собственной базы контактов).

В этих случаях уведомление подаётся до начала обработки. Если автоматизированная обработка не используется (только бумажные носители) и деятельность подпадает под исключения части 2 статьи 22 152-ФЗ, уведомление может не требоваться.

При изменении условий обработки (новые цели, изменение перечня данных, смена ответственного лица) необходимо направить уточнение в Роскомнадзор. При прекращении обработки – уведомить ведомство в течение 10 рабочих дней.

Практические рекомендации

• Провести анализ цепочки обработки перед началом аудита: определить, кто является оператором, кто обработчиком, какие цели и состав данных задействованы.
• В договоре с заказчиком чётко разграничить зоны ответственности и прописать все обязательные условия поручения.
• При инициативном аудите обеспечить получение отдельных, информированных согласий от сотрудников на передачу их данных аудитору.
• Если аудиторская фирма обрабатывает данные для собственных целей, подать уведомление в Роскомнадзор и актуализировать его при изменениях.
• Регулярно пересматривать договоры поручения и внутренние политики с учётом изменений законодательства.

Если у вас возникают вопросы по этим задачам – мы с радостью поможем. Наши юристы детально разбираются в нюансах применения 152-ФЗ и подготовят для вас необходимые документы, а также помогут в уведомлением в Роскомнадзор.