Дата подготовки:

Содержание

1. Нормативно-правовая база в ЛНР
2. Цели и задачи юридического аудита ПД
3. Этапы аудита при реорганизации и ликвидации
4. Ключевые документы и формы
5. Риски и последствия несоблюдения
6. Практические рекомендации

Реорганизация (слияние, присоединение, разделение) и ликвидация юридических лиц в Луганской Народной Республике (ЛНР) сопряжены с перераспределением, передачей и, в некоторых случаях, уничтожением персональных данных (ПД). Неправильное обращение с ПД может привести к штрафам, приостановке деятельности и репутационным потерям.

Юридический аудит обработки персональных данных – это системная проверка процессов, информационных систем и документов, направленная на выявление несоответствий требованиям законодательства (152‑ФЗ РФ, локальные акты ЛНР) и формирование плана их устранения.

Нормативно-правовая база в ЛНР

Для проведения аудита в ЛНР необходимо учитывать как федеральные, так и региональные нормативные акты:

• Федеральный закон от № 152‑ФЗ «О персональных данных» (применяется в рамках действующего законодательства РФ).
• Закон ЛНР от № 5‑ОЗ «О защите персональных данных в Луганской Народной Республике» – адаптирует положения 152‑ФЗ к особенностям регионального правового поля.
• Приказ Минкомсвязи России от № 331 «Об утверждении формы уведомления о прекращении обработки персональных данных» (используется при ликвидации, если данные передаются в РФ).
• Локальные нормативные акты компании (политика конфиденциальности, регламенты обработки ПД, инструкции по работе с CRM, кадровыми системами и т.д.).

Цели и задачи юридического аудита ПД

Основные цели аудита при реорганизации и ликвидации:

1. Оценка соответствия фактической деятельности требованиям 152‑ФЗ и локальных актов.
2. Идентификация рисков утечки, несанкционированного доступа и нарушения прав субъектов ПД.
3. Подготовка полного реестра персональных данных, подлежащих передаче, архивированию или уничтожению.
4. Разработка плана устранения выявленных нарушений и контрольных мероприятий.
5. Обеспечение правильного уведомления Роскомнадзора (или аналогичного органа в ЛНР) о прекращении обработки ПД.

Этапы аудита при реорганизации и ликвидации

Предаудитный анализ (подготовительный этап)

• Сбор исходных данных: уставные документы, решения о реорганизации/ликвидации, текущие политики обработки ПД.
• Определение объёма и категорий ПД (физические лица, сотрудники, клиенты, поставщики).
• Назначение ответственного за аудит (комплаенс‑офицер, внешний аудитор).

Инвентаризация персональных данных

Создание реестра ПД в виде таблицы, включающей:

Оценка правовых оснований и согласий

• Проверка наличия документированных согласий субъектов на обработку (в т.ч. на передачу при реорганизации).
• Анализ соответствия целей обработки заявленным в политике.
• Выявление данных, обработка которых не имеет законного основания.

Оценка технической и организационной защиты

• Проверка наличия средств шифрования, контроля доступа, журналов аудита.
• Оценка соответствия политике защиты ПД (парольная политика, антивирус, резервное копирование).
• Аудит внешних сервисов (CRM, облачные хранилища, сайты).

Проверка процедур передачи и уничтожения ПД

• Документирование процедур передачи ПД новому юридическому лицу (при слиянии, присоединении).
• Разработка плана уничтожения данных, которые не подлежат передаче (например, устаревшие клиентские базы).
• Подготовка актов приема‑передачи и актов об уничтожении с подписью ответственных лиц.

Уведомление контролирующего органа

При ликвидации необходимо:

1. Составить уведомление о прекращении обработки ПД (форма, утверждённая в ЛНР).
2. Указать сроки и способы уничтожения/архивирования.
3. Отправить уведомление в Госкомитет по защите персональных данных ЛНР (или в Роскомнадзор, если данные передаются в РФ).
4. Сохранить подтверждение получения уведомления.

Формирование отчёта и плана корректирующих действий

Отчёт аудита должен включать:

• Результаты проверки (соответствие/несоответствие).
• Список выявленных нарушений с указанием приоритетов.
• Сроки устранения (обычно 30‑90 дней в зависимости от тяжести).
• Ответственных за каждый пункт.
• Дата проведения контрольного мероприятия по проверке устранения.

Ключевые документы и формы

Для полного аудита рекомендуется подготовить следующие документы:

• Политика обработки персональных данных (внутренняя, утверждённая руководством);
• Регламент «Уведомление о прекращении обработки ПД» (по образцу 331‑П).
• Акт «Инвентаризация ПД» – таблица реестра.
• Акт «Передача персональных данных при реорганизации» (с подписью обеих сторон).
• Акт «Уничтожение персональных данных» (с указанием метода уничтожения).
• Журналы доступа к ПД за последние 12 месяцев.
• Согласия субъектов (печатные и электронные копии).

Риски и последствия несоблюдения

Нарушения могут повлечь за собой:

1. Административные штрафы – до 6 млн рублей (по статье 13.11 КоАП РФ) и аналогичные санкции в ЛНР.
2. Приостановку деятельности организации до устранения нарушений.
3. Гражданско‑правовую ответственность перед субъектами ПД (компенсация морального вреда).
4. Репутационный ущерб – потеря доверия клиентов и партнёров.
5. Уголовную ответственность в случае преднамеренного разглашения конфиденциальных данных.

Практические рекомендации

Для реорганизации

• Заранее проведите аудит и подготовьте реестр ПД, который будет передаваться.
• Убедитесь, что у нового юридического лица есть политика защиты ПД, соответствующая требованиям.
• Оформите договор передачи ПД с указанием целей, сроков и мер защиты.
• Обеспечьте конфиденциальность при передаче (шифрование, подписи).

Для ликвидации

• Составьте план уничтожения всех ПД, не подлежащих передаче.
• Проведите контрольную проверку после уничтожения (подтверждение в акте).
• Своевременно уведомьте контролирующий орган о прекращении обработки.
• Сохраните копии всех актов и уведомлений в архиве минимум 5 лет.

Общие меры

1. Назначьте ответственного за персональные данные (Data Protection Officer).
2. Регулярно (не реже одного раза в год) проводите внутренний аудит даже без реорганизации.
3. Обучайте персонал правилам обработки ПД и процедурам реагирования на инциденты.
4. Внедрите систему управления информационной безопасностью (ISMS) по ISO/IEC 27001;

Юридический аудит обработки персональных данных – неотъемлемая часть любой реорганизации или ликвидации юридического лица в ЛНР. Он позволяет:

• Снизить риск административных и уголовных санкций.
• Обеспечить прозрачность передачи и уничтожения ПД.
• Сохранить доверие клиентов и партнёров.
• Сформировать документальную базу, необходимую для контроля со стороны надзорных органов.

Тщательная подготовка, соблюдение нормативных требований и своевременное выполнение корректирующих мер гарантируют, что процесс реорганизации или ликвидации пройдет без правовых осложнений.

Автор: юридический отдел ООО «ПРАВОВЕСТ Аудит»
Контакт: info@pravovest-audit.lnr