Проверка ПД в 1С: что такое персональные данные и как их контролировать

ПД — это персональные данные: любая информация, относящаяся к прямо или косвенно определённому физическому лицу. В информационных базах 1С таких данных накапливается очень много: ФИО сотрудников и контрагентов, паспортные данные, СНИЛС, ИНН физических лиц, адреса, телефоны, банковские реквизиты, сведения о составе семьи. Проверка ПД в 1С — это комплекс действий по поиску таких данных в базе, контролю прав доступа к ним и приведению обработки в соответствие с требованиями законодательства, прежде всего Федерального закона № 152-ФЗ «О персональных данных».

Практическая значимость проверки высока: за нарушения в обработке персональных данных предусмотрена административная ответственность, а утечка данных сотрудников или клиентов создаёт репутационные и финансовые риски. При этом большинство типовых конфигураций 1С (ЗУП, Бухгалтерия, Управление торговлей, ERP) уже содержат встроенные механизмы защиты ПД — их нужно правильно настроить и регулярно проверять.

Материал ориентирован на администраторов 1С, специалистов по внедрению и ответственных за обработку персональных данных. Рассмотрены типовые инструменты: подсистема защиты персональных данных в БСП (библиотека стандартных подсистем), настройка профилей групп доступа, журнал регистрации и типовые отчёты. Конкретные названия пунктов меню могут незначительно отличаться в зависимости от конфигурации и её версии.

Что такое ПД и какие данные в 1С к ним относятся

По определению закона, персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Ключевой признак — возможность идентифицировать конкретного человека, причём не только по одному полю, но и по совокупности сведений.

В базах 1С персональные данные встречаются в нескольких типовых местах. В кадровых конфигурациях это справочники «Сотрудники» и «Физические лица» с документами, удостоверяющими личность, ИНН, СНИЛС, адресами регистрации и проживания, сведениями об образовании и семье. В учётных и торговых конфигурациях — карточки контрагентов-физических лиц, контактные лица, адреса доставки, телефоны и email покупателей, данные дисконтных карт.

Отдельная категория — специальные категории персональных данных: сведения о здоровье (медосмотры, больничные), биометрические данные. Их обработка требует особых условий, и в 1С такие сведения чаще всего появляются в кадровом учёте. При проверке их нужно выявлять в первую очередь, поскольку требования к ним строже.

Где именно в 1С хранятся персональные данные

Первый шаг проверки — инвентаризация: нужно составить перечень объектов метаданных и справочников, где реально встречаются ПД. В типовых конфигурациях на базе БСП часть этой работы уже выполнена: в настройках подсистемы защиты персональных данных описаны области, содержащие ПД, и программа умеет работать с этим описанием.

Типичные зоны хранения: справочники «Физические лица», «Сотрудники», «Контрагенты», «Контактные лица», регистры сведений с контактной информацией и документами физических лиц, документы кадрового учёта (приёмы, переводы, увольнения), личные данные в расчётных документах. В нетиповых доработках ПД могут оказаться в дополнительных реквизитах и сведениях, созданных без учёта требований защиты.

Особое внимание уделите неочевидным местам: присоединенным файлам (сканы паспортов, заявления), комментариям в документах, где менеджеры вписывают телефоны клиентов, и истории изменений объектов. Скан документа в файловом хранилище — это такая же обработка ПД, как и заполненная карточка сотрудника.

Как проверить права доступа к персональным данным

Контроль доступа — центральная часть проверки ПД. В типовых конфигурациях доступ настраивается через профили групп доступа: администратору нужно убедиться, что разделы с персональными данными открыты только тем ролям, которым они необходимы по должностным обязанностям. Принцип простой: минимально необходимый объём доступа для выполнения работы.

Начните с отчёта по правам пользователей (в типовых конфигурациях доступен анализ прав доступа в разделе администрирования). Проверьте, у кого есть доступ к справочникам физических лиц и кадровым документам, нет ли пользователей с избыточными профилями «на всякий случай» и действующих учётных записей уволенных сотрудников. Каждая активная учётная запись уволенного сотрудника — это реальный риск утечки.

Дополнительно проверьте настройки RLS (ограничение доступа на уровне записей), если она используется: например, ограничение видимости сотрудников по организациям или подразделениям. Ошибка в шаблоне RLS может либо открыть лишние данные, либо заблокировать работу пользователей — оба варианта требуют исправления.

1. 1
   Откройте раздел администрирования и сформируйте отчёт по правам пользователей
2. 2
   Сопоставьте список пользователей со штатным расписанием, отключите записи уволенных
3. 3
   Проверьте профили групп доступа: кто видит справочники физических лиц и кадровые документы
4. 4
   Уберите избыточные роли, оставив минимально необходимый набор
5. 5
   Проверьте работу под тестовым пользователем с типовым профилем
6. 6
   Зафиксируйте результат и назначьте дату следующей проверки

Проверка согласий и оснований обработки ПД

Обработка персональных данных требует правового основания: трудового договора, договора с контрагентом или отдельного согласия субъекта. В конфигурациях на базе БСП есть механизм регистрации согласий на обработку персональных данных: можно фиксировать, от кого, когда и на какой срок получено согласие, а также отзывы согласий.

При проверке сопоставьте список физических лиц, данные которых обрабатываются, с реестром согласий и договоров. Типовая проблема — данные бывших клиентов и давно уволенных сотрудников хранятся без срока и основания. По закону после достижения целей обработки или отзыва согласия данные подлежат удалению или обезличиванию, если иное не требуется законодательством (например, сроки хранения кадровых и бухгалтерских документов).

В типовых решениях предусмотрены механизмы уничтожения и обезличивания персональных данных для субъектов, по которым истекли сроки хранения. Проверка должна подтвердить, что эти механизмы не только существуют, но и реально запускаются по регламенту, а их результаты контролируются.

Контроль событий через журнал регистрации

Журнал регистрации — основной инструмент аудита действий с данными в 1С. В конфигурациях на базе БСП можно включить регистрацию событий доступа к персональным данным: тогда в журнале фиксируется, кто и когда просматривал или изменял сведения физических лиц. Проверьте, что эта настройка включена, — по умолчанию она может быть отключена ради производительности.

Практический сценарий проверки: отфильтруйте журнал по событиям доступа к ПД за период и проанализируйте аномалии — массовые выгрузки, доступ в нерабочее время, обращения пользователей, которым эти данные не нужны по работе. Также проверьте события выгрузки данных в файлы и печати документов с персональными сведениями.

Учитывайте ограничение: журнал регистрации при полной детализации растёт быстро и может замедлять работу базы. Определите разумный срок хранения журнала и настройте регулярную очистку старых записей, не нарушая при этом требования внутренней политики безопасности.

Типовые ошибки при проверке ПД в 1С

Самая распространённая ошибка — формальный подход: проверяют только справочник сотрудников и забывают про контрагентов-физлиц, контактные лица, присоединённые файлы и дополнительные реквизиты. В результате значительная часть ПД остаётся вне зоны контроля, и при проверке регулятора или инциденте это вскрывается.

Вторая группа ошибок связана с правами: широкие профили доступа «для удобства», неотключённые учётные записи уволенных, общие учётные записи на несколько человек. Общая учётная запись полностью обесценивает аудит: по журналу регистрации невозможно установить, кто конкретно работал с данными.

Третья группа — пренебрежение сроками хранения: данные хранятся вечно, согласия не актуализируются, механизмы обезличивания не запускаются. Это накапливающийся риск, который дешевле снимать регулярно, чем разбирать после предписания.

Как убедиться, что проверка прошла успешно

Результат проверки должен быть документально подтверждён и воспроизводим. Минимальный набор артефактов: актуальный перечень мест хранения ПД в базе, отчёт по правам доступа с отметками об устранённых избыточных правах, реестр согласий и оснований обработки, выдержка из журнала регистрации с анализом событий доступа.

Функциональная проверка: войдите под учётной записью с типовым профилем и убедитесь, что пользователь видит только те персональные данные, которые нужны для его работы. Попытка открыть закрытый раздел должна завершаться отказом в доступе, а событие — при соответствующей настройке — фиксироваться в журнале.

Проверка ПД — не разовая акция, а регулярная процедура. Разумный ритм — при изменениях в составе пользователей, после обновлений конфигурации и по календарному графику, согласованному с ответственным за защиту персональных данных в организации.

Контрольные точки

Как проверить результат

Доступ к справочнику физических лиц под рядовым пользователем

Норма

Доступ отсутствует или ограничен должностными обязанностями

Тревожный признак

Пользователь видит данные всех сотрудников без служебной необходимости

Учётные записи уволенных сотрудников

Норма

Все записи отключены

Тревожный признак

Есть активные записи без владельца

Журнал регистрации по событиям доступа к ПД

Норма

События фиксируются, аномалий нет

Тревожный признак

Журнал пуст при включённом аудите или есть массовые выгрузки

Реестр согласий и оснований обработки

Норма

Каждой категории субъектов соответствует основание

Тревожный признак

Данные хранятся без договора, согласия или иного основания

Частые вопросы о проверке ПД в 1С

Что такое ПД простыми словами?

ПД — персональные данные, то есть любая информация, по которой можно определить конкретного человека: ФИО, паспорт, СНИЛС, телефон, адрес, email. В 1С такие данные хранятся в карточках сотрудников, физических лиц, контрагентов и контактных лиц, а также в документах и присоединённых файлах.

Обязательно ли проверять ПД, если база небольшая?

Требования законодательства о персональных данных не зависят от размера базы: оператором является любая организация, обрабатывающая ПД, хотя бы данные собственных сотрудников. Объём проверки можно масштабировать, но контроль доступа, основания обработки и сроки хранения нужны в любом случае.

Есть ли в типовой 1С встроенные средства защиты ПД?

Да. Конфигурации на базе библиотеки стандартных подсистем включают подсистему защиты персональных данных: описание областей хранения ПД, регистрацию согласий, аудит доступа через журнал регистрации и механизмы уничтожения данных. Их нужно включить и настроить — по умолчанию часть функций может быть неактивна.

Можно ли просто удалить данные бывших клиентов?

Не всегда. Часть сведений подлежит обязательному хранению по налоговому, бухгалтерскому или кадровому законодательству в течение установленных сроков. Перед удалением проверьте обязательные сроки хранения, сделайте резервную копию и используйте типовые механизмы уничтожения или обезличивания, а не ручное удаление записей.

Кто должен проводить проверку ПД в 1С?

Техническую часть выполняет администратор 1С или специалист по внедрению, а методологическую — ответственный за организацию обработки персональных данных в компании. Оптимально, когда проверка проводится совместно: юрист или ответственный определяет требования, администратор реализует и контролирует их в системе.

Как часто нужно повторять проверку?

Минимум — при кадровых изменениях среди пользователей системы, после обновлений конфигурации и доработок, а также по регулярному графику, установленному внутренними документами организации. Разовая проверка без повторного контроля быстро теряет актуальность.