Есть требование Статьи 6 новой редакции ФЗ-152 «О персональных данных», в соответствии с которой:
Обработка персональных данных допускается в следующих случаях:
1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
7) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
9) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;

Основания по ФЗ-307 «Об аудиторской деятельности» указаны выше.

НО! Статья 1 определяет, что «Аудит - независимая проверка бухгалтерской (финансовой) отчетности аудируемого лица в целях выражения мнения о достоверности такой отчетности.»

На основании Статьи 88 ТК РФ:
При передаче персональных данных работника работодатель должен соблюдать следующие требования:
не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных настоящим Кодексом или иными федеральными законами;

В отличие от ФЗ-115 «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма», Статья 7 которого обязывает, например, банк предоставлять в уполномоченный орган информацию, содержащую персональные данные, ФЗ-307, на мой взгляд, предписывает предоставлять лишь бухгалтерскую отчётность и документацию, связанную с финансово-хозяйственной деятельностью организации. Прямого требования предоставления персональных данных сотрудников нет.

Так же, проведение аудита организации не является общественно-значимой целью

Таким образом:
1. Организация не может опираться на ФЗ-307 как на «иной федеральный закон» из формулировки Ст. 88 ТК РФ и передавать аудитору персональные данные сотрудников без их согласия;
2. Цель, заявленная аудиторами (проверка прав доступа) при требовании предоставить им персональные данные сотрудников, может быть истолкована как «исследовательская», что требует обезличивания информации.


Сугубо ИМХО