Кто проверяет кадровую службу по персональным данным — трудовая инспекция или Роскомнадзор, и могут ли оштрафовать дважды?

На практике ГИТ оценивает документы по ТК РФ: наличие локального акта о персональных данных и ознакомление с ним под подпись (п. 8 ст. 86), порядок хранения и использования (ст. 87), передачу третьим лицам (ст. 88), а Роструд вопросы применения 152-ФЗ не разъясняет и в ответах на «Онлайнинспекции» отсылает к Роскомнадзору. РКН смотрит на основания обработки, согласия и их реквизиты, политику, уведомление об обработке, локализацию, сроки хранения и уничтожения, меры защиты. Одни и те же факты (например, передача данных подрядчику без согласия) могут быть одновременно нарушением ст. 88 ТК РФ и ч. 2 ст. 13.11 КоАП РФ. Запрет дважды наказывать за одно и то же правонарушение (ч. 5 ст. 4.1 КоАП РФ) защищает от двух постановлений по одному составу, но при разных составах и разных органах риск двух штрафов реален; единой судебной практики по конкуренции ст. 5.27 и 13.11 не найдено.

С 2022 года плановые проверки большинства организаций ограничены (ПП РФ от 10.03.2022 № 336), и оба органа работают в основном через профилактические визиты, индикаторы риска и внеплановые проверки по жалобам работников и сообщениям об утечках. Жалоба работника в РКН — самый частый триггер проверки кадровой службы, а жалоба в ГИТ по трудовому спору часто приводит к проверке и локального акта о персональных данных.

Практические шаги: держать два комплекта документов согласованными — локальный акт по гл. 14 ТК РФ и политику по ст. 18.1 152-ФЗ не должны противоречить друг другу; подписи работников об ознакомлении с локальным актом хранить отдельно от согласий; назначить одного ответственного за ответы обоим органам; по каждому запросу проверять полномочия и предмет проверки (ст. 248-ФЗ о госконтроле); после предписания одного органа проверить, не затронуты ли требования другого.