Изъяли технику с персональными данными: что делать компании

Об этом почти не думают до первого обыска. Следователи забирают ноутбуки и телефоны, и вместе с рабочими файлами уезжают личная переписка сотрудников, их фото, сохранённые пароли, а часто — и базы с данными клиентов. Формально изъятие законно. Но обязанности компании как владельца персональных данных от этого никуда не исчезают.

Компания остаётся ответственной за данные

То, что носители физически не у вас, не прекращает вашего статуса владельца данных. Вы и дальше отвечаете перед работниками и клиентами за то, как с их информацией обращаются, и обязаны принимать доступные меры. Поэтому правильная реакция — не «ничего не поделаешь», а зафиксировать объём и действовать в пределах, которые закон оставляет.

Что фиксировать во время изъятия

Всё, что потом понадобится для оценки последствий, фиксируется именно в момент обыска — позже восстановить это будет не из чего.

• Перечень носителей. Каждое устройство должно быть описано в протоколе индивидуально: модель, серийный номер, чьё рабочее устройство. «Системный блок в количестве 3 шт.» — это не описание.
• Категории данных. Внесите замечание в протокол о том, что на носителях есть персональные данные работников и клиентов, которые не относятся к предмету производства.
• Опечатывание. Носители должны быть упакованы и опечатаны так, чтобы доступ без вскрытия был невозможен. Это ваша единственная реальная защита от произвольного просмотра.
• Личные устройства. Если забирают телефон или ноутбук, принадлежащий работнику лично, это должно быть зафиксировано отдельно — у него появляются собственные права на обжалование.

Границы определения

Обыск проводится в пределах, определённых определением следственного судьи. Если определение касается конкретных сведений за конкретный период, изъятие всего массива данных компании «на всякий случай» выходит за эти пределы. Это не останавливает обыск на месте, но создаёт основание для жалобы — при условии, что несоответствие зафиксировано в протоколе.

Что сделать после

Первое — оценить, данные каких категорий лиц оказались вне вашего контроля и в каком объёме. Второе — уведомить людей, которых это касается: работников и, в зависимости от объёма, клиентов. Делать это стоит спокойно и фактически, без драматизации: что произошло, какие данные могли быть на носителях, какие действия вы предпринимаете. Молчание здесь хуже неудобного разговора — люди всё равно узнают, и тогда вопрос будет уже не об обыске, а о доверии к компании.

Третье — если среди данных есть данные пользователей из ЕС, отдельно оценивается применимость требований GDPR об уведомлении. Четвёртое — параллельно запускается процедура возврата носителей: чем быстрее техника возвращается, тем меньший объём остаётся вне вашего контроля.

Чего не стоит делать

Не пытайтесь дистанционно удалять данные с уже изъятых устройств. Это не решает вопрос защиты данных и создаёт новый, значительно худший сюжет — воспрепятствование расследованию. Так же не стоит объяснять работникам, что «ничего не произошло», если вы ещё не знаете объёма: одно неточное заявление стоит дороже, чем пауза на сутки до проверки фактов.

Что можно сделать заранее

Самые дешёвые решения принимаются до обыска. Разделение рабочих и личных устройств, шифрование носителей, хранение персональных данных отдельно от операционных файлов, понятная политика доступа — всё это уменьшает объём того, что уедет вместе с техникой. Плюс письменный порядок действий, чтобы в момент обыска кто-то в компании знал, что именно фиксировать.

Смежные материалы

Рядом стоят возврат изъятой техники и снятие ареста со счёта. Если после обыска вызывают на допрос — что можно и чего не стоит говорить.

Куда обращаться

Ми сопровождаем обыски и следственные действия и ведём возврат изъятого имущества. Порядок действий для команды — в памятке на одну страницу и чек-листе. Вопросы защиты данных в обычной работе — часть юридической базы IT-компании.