Нарушение компанией законодательства в области персональных данных может привести к таким серьезным для нее последствиям, как существенный материальный ущерб и потеря репутации. Проведение данного исследования обусловлено необходимостью разработки методики построения эффективной и отвечающей всем требованиям системы комплаенс-контроля в сфере защиты персональных данных и конфиденциальной информации в организации. Автором были изучены механизмы комплаенс-контроля в области защиты персональных данных и конфиденциальной информации в IT-компании. В связи со спецификой деятельности компаний IT-сферы информационная безопасность и защита данных является особо актуальной составляющей комплаенс-контроля в рассматриваемых организациях. В статье описаны как теоретические основы организации комплаенс-контроля в области защиты персональных данных и конфиденциальной информации, так и практическая реализация данных положений на примере конкретной IT-компании. Объектом исследования является российская группа компаний ГК «Софтлайн Россия». Автором были рассмотрены внутренние документы ГК «Софтлайн Россия», в которых содержатся сведения о применяемых в компании мерах по соблюдению законодательства о персональных данных. В статье приведены основные риски организации в области защиты данных, описан процесс управления данными рисками. Особое внимание было уделено изучению политик и положений компании, в которых закреплены основные нормы и требования в отношении работы с персональными данными и конфиденциальной информацией. В заключении автор оценил эффективность существующего в организации комплаенс-контроля, исходя из проведенного исследования. Также автор предложил рекомендации по построению системы комплаенс в области персональных данных и конфиденциальной информации для компаний, работающих в IT-отрасли.
A company that violates the legislation in the field of personal data may suffer such serious consequences as significant material damage and loss of reputation. This study is conducted in connection with the need to develop a methodology for building an effective compliance control system in the field of personal data protection and confidential information in the organization. The author has studied compliance control mechanisms in the field of personal data protection and confidential information in an IT company. Due to the specifics of the activities of IT companies, information security and data protection is a particularly relevant part of compliance control in such organizations. The article describes both the theoretical foundations of the organization of compliance control in the field of personal data protection and confidential information, and the practical implementation of these theses on the example of a specific IT company. The object of the study is the Russian group of companies GC "Softline Russia". The author has studied the internal documents of GC "Softline Russia", which contain information about the measures applied in the company to comply with the legislation on personal data. The article presents the main risks of the organization in the field of data protection, describes the process of managing these risks. Particular attention was paid to the study of the company's policies and regulations, which set out the basic rules and requirements for working with personal data and confidential information. In conclusion, the author assessed the effectiveness of the existing compliance control in the organization based on the conducted research. The author also offered recommendations on building a compliance system in the field of personal data and confidential information for companies working in the IT industry.