Соответствие системы SAP HCM заказчика требованиям Федерального закона №152 “О персональных данных”.

Введение

Федеральный закон №152-ФЗ “О персональных данных” устанавливает строгие требования к обработке персональных данных граждан России, создавая существенные вызовы для компаний, использующих иностранные HR-системы, такие как SAP HCM. Особенно актуальной эта проблема стала после ухода SAP с российского рынка, когда многие организации столкнулись с необходимостью обеспечения соответствия закону при отсутствии официальной поддержки вендора. Компаниям приходится выбирать между технически сложными решениями для адаптации существующих SAP-систем и полной миграцией на российские HR-платформы.

Основные положения Федерального закона №152-ФЗ

Федеральный закон №152-ФЗ регулирует отношения, связанные с обработкой персональных данных, и устанавливает правовые основы этой обработки для защиты прав и свобод человека. Основная цель закона — защита личной информации от несанкционированного доступа и предотвращение незаконного хранения и обработки данных.

Ключевые положения закона:

• Оператор персональных данных несет ответственность за их обработку.
• Требуется обеспечение конфиденциальности — запрет на раскрытие данных третьим лицам без согласия субъекта.
• Хранение персональных данных граждан РФ должно осуществляться на серверах, расположенных на территории России.

SAP HCM как система обработки персональных данных.

SAP Human Capital Management (HCM) представляет собой комплексное решение для управления персоналом, обрабатывающее значительные объемы персональных данных сотрудников:

• Паспортные данные.
• Сведения о трудовой деятельности.
• СНИЛС.
• Документы об образовании.
• Медицинские сведения.
• Данные военного учета.
• Другую конфиденциальную информацию.

В контексте трудовых отношений ответственность за защиту персональных данных сотрудников возлагается в первую очередь на руководителя организации, а также на ответственные подразделения и лиц, отвечающих за сохранность этих данных согласно условиям трудовых договоров или должностных инструкций.

Идентификация персональных данных в SAP

Перед настройкой системы важно определить, какие именно данные подпадают под 152-ФЗ. В SAP персональные данные могут содержаться в следующих модулях:

• SAP HCM (Human Capital Management) – информация о сотрудниках (ФИО, паспортные данные, адрес проживания, номера телефонов, сведения о зарплате).
• SAP CRM (Customer Relationship Management) – данные клиентов и контрагентов.
• SAP ERP (Enterprise Resource Planning) – финансовые и бухгалтерские данные, связанные с персональными данными.
• SAP SuccessFactors – управление персоналом и обучение сотрудников.

Проблемы соответствия после ухода SAP из России

Уход компании SAP с российского рынка создал значительные сложности для организаций, использующих системы SAP HCM:

1. Возник вопрос о соблюдении требований закона при отсутствии официальной поддержки вендора.
2. Организации, использующие облачные решения SAP, столкнулись с проблемой трансграничной передачи данных.
3. Появилась необходимость обеспечения хранения данных на серверах в России.
4. Возникли сложности с продлением подписки на сервис для российских юридических лиц.
5. Обозначилась потребность в разработке плана миграции данных, чтобы не допустить их потери.

Технические решения для обеспечения соответствия требованиям 152-ФЗ.

Обеспечение локального хранения данных

152-ФЗ требует, чтобы персональные данные граждан России хранились в базах данных на территории РФ:

• Для облачных решений (например, SAP SuccessFactors) необходимо убедиться, что дата-центры расположены в России.
• При использовании локальной версии SAP (On-Premise) важно настроить серверы внутри страны.
• Если облачное решение SAP не имеет серверов в РФ, необходимо реализовать механизмы репликации или хранения данных в локальной инфраструктуре.

Контроль доступа и управление пользователями.

Для защиты персональных данных необходимо ограничить доступ к ним с помощью ролевой модели SAP:

• Настроить роли и авторизации в SAP Authorization Management.
• Ограничить доступ к данным только для сотрудников, которым это необходимо для работы.
• Использовать принцип минимально необходимого доступа (least privilege).
• Включить двухфакторную аутентификацию.
• Запретить передачу логинов и паролей, вести аудит входов в систему.

Журналирование и аудит действий.

152-ФЗ требует ведения журнала действий с персональными данными. В SAP можно использовать:

• SAP Security Audit Log – отслеживание всех действий пользователей.
• SAP Read Access Logging (RAL) – регистрация доступа к чувствительным данным.
• SAP GRC (Governance, Risk and Compliance) – контроль соблюдения требований к безопасности.

Защита данных при передаче и хранении.

Для защиты персональных данных в SAP необходимо:

• Использовать шифрование данных при передаче и хранении (SAP NetWeaver поддерживает SSL/TLS).
• Включить маскирование данных – скрытие части информации при отображении.
• Настроить в SAP – Data Loss Prevention (DLP) для предотвращения утечки данных.

Анонимизация данных.

Одним из решений является анонимизация персональных данных, передаваемых в облачные сервисы. Этот подход подразумевает обезличивание персональных данных перед их отправкой за пределы России, чтобы исключить возможность идентификации субъектов. Однако полная анонимизация требует значительных инвестиций и может ограничивать функциональность системы.

Организационные меры и процессы.

Согласие на обработку персональных данных.

SAP должна поддерживать хранение и управление согласиями на обработку персональных данных:

• Создание объекта согласия в SAP (например, в SAP HCM или CRM).
• Внедрение механизма контроля и хранения согласий с возможностью их отзыва.

Обеспечение прав субъектов персональных данных.

Закон требует, чтобы граждане могли запрашивать доступ к своим данным, исправлять их или требовать удаления. Для этого в SAP можно:

• Настроить процессы запроса данных (например, в SAP Fiori создать интерфейс для сотрудников или установить информационные киоски самообслуживания сотрудников).
• Автоматизировать процедуры удаления персональных данных по запросу.

Обучение сотрудников и разработка политик.

• Все пользователи SAP, работающие с персональными данными, должны проходить обучение по информационной безопасности.
• В компании должны быть разработаны политики обработки данных, соответствующие требованиям 152-ФЗ.

Юридические аспекты использования SAP HCM.

С юридической точки зрения, организации должны учитывать следующие аспекты:

1. Согласно Трудовому кодексу РФ, работодатель обязан обеспечить хранение и защиту персональных данных сотрудников.
2. Неправомерное разглашение персональных данных может привести к дисциплинарной ответственности (ст. 90 ТК РФ).
3. Необходимо определить и документально зафиксировать, кто выступает в роли оператора персональных данных: организация-работодатель или провайдер услуг.
4. Рекомендуется провести аудит процессов обработки персональных данных и оценить юридические риски.

Стратегии миграции с SAP HCM на российские HR-решения.

Учитывая сложности с обеспечением соответствия требованиям 152-ФЗ, многие организации рассматривают вариант миграции на российские HR-решения:

1. Решение о замещении системы SAP HCM зависит от срока уже оплаченной подписки.
2. Важно заблаговременно разработать план миграции.
3. Необходимо определить функциональные требования к новой системе.
4. Требуется обеспечить полную и корректную передачу данных.
5. Следует минимизировать влияние на бизнес-процессы.
6. Нужно обучить персонал работе с новым решением.

При выборе российской HR-системы важно оценить её соответствие требованиям 152-ФЗ. Российские разработчики уделяют особое внимание этому аспекту, что может существенно упростить обеспечение законодательного соответствия.

Выводы и рекомендации.

Соответствие системы SAP HCM требованиям Федерального закона №152-ФЗ представляет собой комплексную задачу, особенно в условиях ухода вендора с российского рынка.

Для решения этой задачи необходим комбинированный подход, включающий:

1. Идентификацию персональных данных в системе.
2. Обеспечение их хранения на территории России.
3. Ограничение доступа к данным через ролевую модель.
4. Ведение аудита и контроля действий пользователей.
5. Внедрение механизмов защиты данных (шифрование, маскирование).
6. Реализацию процессов по управлению согласиями.
7. Обучение сотрудников и разработку политик защиты данных.

Для многих организаций оптимальным решением может стать миграция с SAP HCM на российские HR-решения, изначально разработанные с учетом требований российского законодательства. Независимо от выбранного подхода, следует помнить, что ответственность за защиту персональных данных сотрудников лежит на работодателе, и нарушение требований 152-ФЗ может повлечь за собой административную и уголовную виды ответственности.