Какие CRM, бухгалтерские и кадровые базы учитывать при инвентаризации ИСПДн?

В инвентаризацию включают фактически обрабатывающие данные людей системы, независимо от названия. Важно установить содержание баз, доступ и обмен между ними.

Civius, юридическая компания Алексей Дубровин, юрист

Короткий ответ

При инвентаризации нужно учитывать не только отдельную программу с названием «персональные данные», но и CRM, бухгалтерские и кадровые базы, в которых обрабатывается информация о людях. Название продукта не определяет, является ли он информационной системой персональных данных.

По пункту 10 статьи 3 Закона № 152-ФЗ такая система объединяет персональные данные в базах и технологии и технические средства их обработки. Поэтому при обследовании важно смотреть на фактическое содержание и работу системы.

Что искать в привычных программах

В CRM это могут быть карточки клиентов и представителей контрагентов, контакты и история обращений. В бухгалтерской системе – сведения о получателях выплат и расчётах с людьми. В кадровой – информация о работниках и соискателях. Одной организации не нужно трижды объявлять одни и те же сведения разными целями, но нужно понять, где они находятся и как перемещаются между программами.

Полезно составить перечень систем с назначением, категориями людей, составом данных, доступом и обменом с другими участниками. Затем проверить реальный путь одной записи: от ввода до выгрузки, резервной копии и удаления. Это помогает обнаружить рабочую таблицу или внешнюю интеграцию, которая выпала из первоначального списка.

Инвентаризация сама по себе не определяет автоматически уровень защищённости и весь набор мер защиты. Она даёт фактическую основу для следующей оценки. Если просто записать названия приобретённых лицензий, можно пропустить собственные базы, облачные сервисы и используемые подразделениями файлы.

Обычное наличие бухгалтерской программы также не означает, что любые доступные ей сведения необходимы каждому пользователю. Круг доступа должен соответствовать выполняемой работе.

Если нужно применить ответ к Вашей ситуации или документам, Подготовить кадровые документы и локальные акты: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.