Вилучили техніку з персональними даними: що робити компанії

Про це майже не думають до першого обшуку. Слідчі забирають ноутбуки й телефони, і разом із робочими файлами їдуть особисте листування співробітників, їхні фото, збережені паролі, а часто — і бази з даними клієнтів. Формально вилучення законне. Але обовʼязки компанії як володільця персональних даних від цього нікуди не зникають.

Компанія залишається відповідальною за дані

Те, що носії фізично не у вас, не припиняє вашого статусу володільця даних. Ви й далі відповідаєте перед працівниками та клієнтами за те, як з їхньою інформацією поводяться, і зобовʼязані вживати доступних заходів. Тому правильна реакція — не «нічого не вдієш», а зафіксувати обсяг і діяти в межах, які закон залишає.

Що фіксувати під час вилучення

Усе, що потім знадобиться для оцінки наслідків, фіксується саме в момент обшуку — пізніше відновити це буде нема з чого.

• Перелік носіїв. Кожен пристрій має бути описаний у протоколі індивідуально: модель, серійний номер, чий робочий пристрій. «Системний блок у кількості 3 шт.» — це не опис.
• Категорії даних. Внесіть зауваження до протоколу про те, що на носіях є персональні дані працівників і клієнтів, які не стосуються предмета провадження.
• Опечатування. Носії мають бути упаковані й опечатані так, щоб доступ без розкриття був неможливий. Це ваш єдиний реальний захист від довільного перегляду.
• Особисті пристрої. Якщо забирають телефон чи ноутбук, що належить працівнику особисто, це має бути зафіксовано окремо — у нього зʼявляються власні права на оскарження.

Межі ухвали

Обшук проводиться в межах, визначених ухвалою слідчого судді. Якщо ухвала стосується конкретних відомостей за конкретний період, вилучення всього масиву даних компанії «на всяк випадок» виходить за ці межі. Це не зупиняє обшук на місці, але створює підставу для скарги — за умови, що невідповідність зафіксована в протоколі.

Що зробити після

Перше — оцінити, дані яких категорій осіб опинилися поза вашим контролем і в якому обсязі. Друге — повідомити людей, яких це стосується: працівників і, залежно від обсягу, клієнтів. Робити це варто спокійно й фактично, без драматизації: що сталося, які дані могли бути на носіях, які дії ви вживаєте. Мовчання тут гірше за незручну розмову — люди все одно дізнаються, і тоді питання буде вже не про обшук, а про довіру до компанії.

Третє — якщо серед даних є дані користувачів із ЄС, окремо оцінюється застосовність вимог GDPR про повідомлення. Четверте — паралельно запускається процедура повернення носіїв: чим швидше техніка повертається, тим менший обсяг залишається поза вашим контролем.

Чого не варто робити

Не намагайтеся дистанційно видаляти дані з уже вилучених пристроїв. Це не вирішує питання захисту даних і створює новий, значно гірший сюжет — перешкоджання розслідуванню. Так само не варто пояснювати працівникам, що «нічого не сталося», якщо ви ще не знаєте обсягу: одна неточна заява коштує дорожче, ніж пауза на добу до перевірки фактів.

Що можна зробити заздалегідь

Найдешевші рішення ухвалюються до обшуку. Розділення робочих і особистих пристроїв, шифрування носіїв, зберігання персональних даних окремо від операційних файлів, зрозуміла політика доступу — усе це зменшує обсяг того, що поїде разом із технікою. Плюс письмовий порядок дій, щоб у момент обшуку хтось у компанії знав, що саме фіксувати.

Суміжні матеріали

Поруч стоять повернення вилученої техніки і зняття арешту з рахунку. Якщо після обшуку викликають на допит — що можна і чого не варто говорити.

Куди звертатися

Ми супроводжуємо обшуки та слідчі дії і ведемо повернення вилученого майна. Порядок дій для команди — у памʼятці на одну сторінку та чек-листі. Питання захисту даних у звичайній роботі — частина юридичної бази IT-компанії.