Защита персональных данных клиентов в бухгалтерской фирме: требования Закона 99-З

Бухгалтерская фирма ежедневно работает с персональными данными: фамилии и зарплаты работников клиента, номера счетов, договоры с физлицами. Всё это защищается Законом Республики Беларусь от 7 мая 2021 года № 99-З «О защите персональных данных». Ответственность за такие данные несёт не только клиент, но и фирма, которая их обрабатывает. Ниже практический разбор без пересказа всего закона: что именно это значит для аутсорсинга. Материал носит справочный характер, конкретную ситуацию стоит проверять с юристом.

Что считается персональными данными

Персональные данные - это любая информация, по которой можно определить конкретного человека. В работе бухгалтерской фирмы это прежде всего данные работников клиента в зарплатных ведомостях и кадровых документах, а также данные контрагентов-физлиц. То есть фирма обрабатывает данные не только своих клиентов, но и множества людей, которые сами с фирмой не связаны. Это и есть зона повышенной ответственности.

На каком основании фирма их обрабатывает

Обработка персональных данных должна иметь законное основание. Для бухгалтерской фирмы это, как правило, договор с клиентом и поручение обрабатывать данные для ведения учёта, а также исполнение обязанностей, предусмотренных законодательством. Отношения фирмы и клиента по поводу данных стоит зафиксировать в договоре: что фирма обрабатывает данные по поручению клиента, в каком объёме и с какой целью. Это защищает обе стороны и снимает споры о том, кто за что отвечает.

Где физически лежат документы

Ключевой практический вопрос: где хранятся файлы. Если документы клиентов разбросаны по личной почте сотрудников и облачным дискам за пределами страны, фирма не может ни контролировать доступ, ни ответить, где данные находятся. Правильнее, когда документы хранятся в одном месте, доступ к которому фирма контролирует, а серверы находятся на территории Беларуси. Это упрощает и соблюдение закона, и ответ на запрос клиента о том, как защищены данные его работников.

Меры защиты, которые реально нужны

Закон требует принимать меры по защите данных. Для бухгалтерской фирмы это не абстракция, а конкретные вещи.

• Ограничение доступа. К документам клиента имеют доступ только те сотрудники, кто с ним работает, а не вся фирма.
• Именованный доступ. Видно, кто и когда открывал и менял документы. Общий пароль на всех такого не даёт.
• Закрытие доступа при увольнении. У ушедшего сотрудника доступ прекращается сразу, а не остаётся в его личных каналах.
• Согласие и информирование. Там, где требуется согласие субъекта, оно получено, а люди проинформированы об обработке.

Журнал действий как доказательство

Отдельная ценность централизованного хранения - журнал действий. Он показывает, кто и когда получил доступ к документу. Если возникнет вопрос о том, кто видел данные, у фирмы есть ответ, а не догадки. Личная переписка в мессенджерах такого доказательства не даёт.

Почему это не только про штрафы

Соблюдение закона о персональных данных легко воспринимать как формальность под угрозой проверки. Но для клиента это ещё и вопрос доверия: он передаёт фирме данные своих работников и вправе знать, что они не лежат в открытом чате на чьём-то телефоне. Фирма, которая может внятно ответить, где и как защищены документы, выглядит надёжнее конкурента, у которого всё держится на личной почте бухгалтера.