Обязательство о неразглашении: когда достаточно и как хранить доказательства
Возьмите обязательство о неразглашении до доступа к данным компании и храните скан с датой и версией. Это не юридическая консультация: формулировки сверьте с юристом и кадрами. Поручение обработки персональных данных (ПДн) подрядчику — другой документ: поручение по 152-ФЗ. Подпись в первый день, что человек видел памятку, — тоже другое: ознакомление при приёме.
Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 3 требует процессы обращения с данными, не только технический контроль: cisecurity.org/controls. Это не российский закон и не замена 152-ФЗ. Текст самого обязательства в статью не копируем.
Когда хватает, когда нет
| Ситуация | Что оформить |
|---|---|
| Сотрудник или подрядчик видит коммерческую информацию, клиентские файлы, схемы | Обязательство (или раздел в трудовом / гражданско-правовом договоре) плюс ознакомление с правилами ИБ |
| Подрядчик обрабатывает ПДн по вашим целям | Поручение по 152-ФЗ. Одной подписи «не разглашать» мало |
| Передача ПДн другому оператору для его целей | Основание передачи, не обязательство: передача между операторами |
| Данные без грифа, меню столовой | Не плодите бумаги. Класс задаёт классификация |
Режим коммерческой тайны, если он у вас есть, оформляйте отдельно: перечень сведений, гриф, учёт носителей. Обязательство его не включает само по себе.
Как хранить доказательство
| Поле | Зачем |
|---|---|
| ФИО, дата, версия текста | Иначе «подписал что-то в 2019» |
| Скан или файл из ЭДО с отметкой | Бумажный оригинал в кадрах, копия не только у сотрудника |
| Повод: приём, подряд, смена роли | Администратор, которому открыли финансы, подписывает заново |
| Срок хранения не короче работы человека плюс разумный хвост спора | Не смешивайте со сроками архива ПДн: сроки документов с ПДн |
Пакет приёма: политика, памятка, обязательство, при работе с ПДн — ещё политика ПДн. Без обязательства учётку в продуктив с чувствительными данными не заводят. Политика компании задаёт, что считать конфиденциальным: политика кибербезопасности.
Риск: файл лежит в общей папке «Договоры» на запись всему офису. Тогда само доказательство — утечка. Каталог с правами кадров и ИБ.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Подрядчик с VPN, бумаги нет | «Он же не штат». Тот же минимум, плюс поручение если есть ПДн |
| Один NDA на всех партнёров вместо поручения | Путаница оснований. Разведите документы |
| Подпись есть, версии текста нет | Не доказать, что именно подписывали. Внесите версию |
| Уволили, скан потеряли | Нечем закрыть спор. Заведите реестр подписей отдельно от личных ящиков |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (хаб: безопасность данных, карта: карта зрелости). Классификация говорит, что беречь. Обязательство фиксирует, что человек это принял. 152-ФЗ про поручение не заменяется этой подписью. Съёмные носители — соседняя тема очереди, не этот лист.
Как проверить
- У выборки сотрудников с доступом к чувствительным данным есть подпись с датой и версией.
- У подрядчиков с доступом к вашим системам то же, плюс поручение если они обрабатывают ПДн.
- Сканы не лежат в общем шаре на запись.
- В пакете приёма обязательство отдельной строкой, не «всё в одной политике».
- Статья не шаблон юридического текста и не 152-ФЗ.
Источники
- CIS Control 3: cisecurity.org/controls.
