Группа компаний ведёт кадры и зарплату всех юрлиц в общем сервисном центре. Что нужно оформить?

Поручение по ч. 3 ст. 6 152-ФЗ должно содержать перечень данных, действий и целей, обязанность соблюдать конфиденциальность, выполнять требования ст. 18.1 и 19, подтверждать меры по запросу и уведомлять об инцидентах. Каждый работодатель отвечает перед своими работниками за действия центра (ч. 5 ст. 6), каждый подаёт своё уведомление в РКН с указанием обработчика и места нахождения баз (ч. 3 ст. 22), и каждый должен ответить на запрос своего работника в течение 10 рабочих дней (ч. 1 ст. 20), даже если данные физически лежат у центра. Если юрлица совместно определяют цели обработки (например, единая система оценки и кадровый резерв группы), они становятся совместными операторами (п. 2 ст. 3), и это нужно отразить в документах.

ТК РФ ограничивает доступ к данным работников специально уполномоченными лицами и только теми данными, которые им нужны (ст. 88). В общей HR-системе это означает разграничение доступа по юрлицам: сотрудник центра, обслуживающий одно юрлицо, не должен видеть данные работников другого. Уровень защищённости определяется для общей ИСПДн с учётом числа субъектов и наличия специальных категорий (ПП № 1119), и требования ФСТЭК выполняет тот, кто эксплуатирует систему.

Требования закона: договор поручения от каждого юрлица; согласия работников на передачу центру по ст. 88 ТК РФ; сведения о центре в политиках и уведомлениях; разграничение доступа; порядок ответа на запросы работников через центр. Практические рекомендации: единое соглашение группы о поручении с приложениями по каждому юрлицу; ролевая модель доступа в HR-системе по юрлицам; журнал передачи данных; согласованный регламент инцидентов, чтобы уведомление в РКН подавалось от имени того юрлица, чьи работники пострадали.