Как бизнесу работать с персональными данными без рисков

Компания ещё не совершила ни одной продажи, а уже начала работать с персональными данными – типичная ситуация, где оказываются и онлайн-школы, и многие другие бизнесы. Разместили на сайте форму обратной связи, оставили поле для регистрации, запустили рассылку… 

Первое такое касание с потенциальным клиентом сделало бизнес оператором персональных данных (ПДн). Оператор ПДн несёт ответственность и перед лидами, и перед действующими клиентами, и перед Роскомнадзором. 

Нести ответственность – обязанность компании, это нормально и правильно, а быть привлечённым к ответственности – обстоятельство, в которое не хотел бы попасть ни один бизнес. Сегодня я, Татьяна Евсеева, руководитель практики сопровождения онлайн-бизнеса российской юридической компании Legal Up, расскажу, как организовать обработку ПДн, снизив риски привлечения к ответственности за неправильную работу до минимума.

Иногда встречаю мнение о том, что ПДн – это целое досье, где указаны ФИО, серия и номер паспорта, дата и место его выдачи, место рождения, адрес прописки и многое другое. Безусловно, это так. Все эти данные являются персональными. 

Дело в том, что в категорию ПДн входит не только такой объёмный перечень сведений, но и вообще любая информация, позволяющая прямо или косвенно идентифицировать человека. 

Например, ФИО или номер телефона и имя, а в некоторых случаях даже просто адрес электронной почты, если он не является набором рандомных символов, а представляет собой транслитерацию имени, например IvanIvanov1987@....ru.

Самые распространённые источники: личные кабинеты и формы обратной связи на онлайн-ресурсах (сайтах), обзвон, рассылки по электронной почте, в социальных сетях и мессенджерах, платёжные модули, cookie и т. д.

Сведения о гражданах России, собранные через интернет, должны записываться, систематизироваться, накапливаться, храниться, уточняться и извлекаться исключительно с применением баз данных, расположенных на территории РФ. Использовать для перечисленных действий зарубежные базы данных нельзя, следовательно, просто сохранять ПДн в Google Таблицы незаконно, поскольку у Google в России серверов нет.

Да, онлайн-школа и любой другой бизнес должны уведомить Роскомнадзор (РКН) о начале обработки ПДн. Отсутствие уведомления в РКН повлечёт штраф в размере от 100 000 до 300 000 рублей для ИП и ООО.

Размещение документов об обработке ПДн на своём онлайн-ресурсе – обязанность каждого оператора ПДн. Коротко расскажу о базовом наборе документов.

Её часто называют политикой конфиденциальности. 

Фактически это один и тот же документ с разными названиями. В нём закреплён порядок работы онлайн-школы или любого другого бизнеса со сведениями об учениках (клиентах), сотрудниках и иных субъектах этих сведений. Требования к содержанию политики установлены ст. 18.1 ФЗ «О персональных данных». 

Документ должен находиться в свободном доступе в футере сайта, чтобы любой желающий мог его изучить.

Оно требуется не всегда: в некоторых ситуациях основанием для обработки ПДн может быть договор или пункт закона. Если же основанием является согласие, то оно должно оформляться в качестве отдельного документа и находиться в форме обратной связи. 

По желанию его дополнительно можно оставить и в «подвале» (футере) сайта, но главное, чтобы оно было именно в форме обратной связи, если оставление информации в ней не предполагает заключения договора (оферты).

Напомню, что оферта – это официальное предложение заключить сделку на прописанных условиях. Если клиента устраивают эти условия, то он акцептует оферту – выполняет действие, которое подтверждает его согласие, например завершает регистрацию на сайте, ставит галочку в специальном поле и т. п. После акцепта оферта становится договором, следовательно, может быть основанием для обработки ПДн.

В нём закреплены права и обязанности пользователей, владельца сайта, порядок пользования личным кабинетом (если он есть), положения об использовании файлов cookie и метрических программ. 

Пользовательское соглашение – основание для обработки cookie и сведений, обрабатываемых метрическими программами. 

При этом о применении файлов cookie и метрических программ нужно уведомлять отдельно – размещать на сайте всплывающее предупреждение со ссылкой на документ, в котором прописано основание для обработки данных (пользовательское соглашение).

Для российского проекта разумно выбирать российские сервисы веб-аналитики. 

В политике обработки ПДн (конфиденциальности) и/или пользовательском соглашении нужно указать название метрики, типы и категории собираемых сведений, цель, срок их хранения и способ отказа от сбора сведений. 

Если организация планирует применять иностранные метрические программы, то она должна направить уведомление о трансграничной передаче ПДн в Роскомнадзор.

Если обучение в онлайн-школе планирует пройти ребёнок младше 14 лет, то договор от его имени должен заключить родитель (законный представитель). Он же должен дать необходимые согласия на обработку данных ребёнка.

Если обучение в онлайн-школе планирует подросток в возрасте от 14 до 18 лет, то по общему правилу он может оплатить это обучение (совершить сделку) с письменного согласия родителя или законного представителя. С 14 лет согласие на обработку персональных данных даёт сам подросток.

Для публикации фото- и видеоизображений ученика (клиента) требуется брать у него отдельное согласие на распространение данных – оно должно соответствовать требованиям Приказа Роскомнадзора от 24.02.2021 № 18.

На размещении документов и принятии соответствующих мер на сайте работа с ПДн не заканчивается – онлайн-школа и любой другой бизнес должны вести внутреннюю документацию и соблюдать остальные требования закона. 

Политика обработки ПДн не убережёт от проверок и штрафов, если собираемая информация пересылается в мессенджеры, скачивается и сохраняется сотрудниками на личных устройствах.

Вот чек-лист с перечнем минимальных мер, которые должно принять руководство онлайн-школы для обеспечения безопасности обработки персональных данных:

1. Назначить ответственного за организацию обработки персональных данных. Если оператор ПДн – юрлицо, то руководитель должен назначить ответственным за организацию обработки персональных данных кого-то из числа сотрудников либо делегировать ответственность за организацию обработки ПДн юридическому лицу, оказывающему соответствующие услуги.

2. Определить круг сотрудников, имеющих доступ к ПДн.

3. Подготовить внутреннее положение об обработке ПДн. Публиковать на сайте его не нужно.

4. Определить места хранения ПДн.

5. Составить перечень информационных систем персональных данных (ИСПДн).

6. Принять положения об использовании паролей и работе со служебным оборудованием, если оно применяется.

7. Провести оценку вреда, который может быть причинён субъектам ПДн при утечках и незаконной передаче сведений.

8. Установить порядок уничтожения персональных данных. Факт уничтожения должен подтверждаться актом, который хранится три года (в соответствии с Приказом Роскомнадзора от 28.10.2022 № 179).

9. Установить порядок рассмотрения обращений субъектов ПДн, вести журнал таких обращений.

10. Разработать планы реагирования на инциденты с ПДн, проведения расследований, назначить ответственного на случай утечек ПДн.

1. Составьте карту процессов обработки ПДн: что, у кого, для чего и на каком основании будет собираться. Пройдите пользовательский путь тестового ученика от регистрации до удаления сведений о нём.

2. Проверьте расположение всех баз данных – они должны находиться в России.

3. Разместите перечисленные выше документы на сайте.

4. Настройте cookie-баннер.

5. Направьте в Роскомнадзор уведомление о намерении выполнять обработку ПДн.

6. Назначьте ответственного за организацию работы с ПДн.

7. Утвердите локальные документы по ПДн.

8. Обучите сотрудников работе с ПДн.

Настроить работу с ПДн без рисков нарушения законодательства может каждый бизнес. Важно отнестись к этому процессу максимально внимательно и ответственно, продумать и зафиксировать в документах весь путь ПДн в вашей онлайн-школе (или другой компании) от сбора контактов до удаления ненужной информации. 

Если вы запутались в документах, если сомневаетесь в том, что выполнили все требования к обработке ПДн, то смело обращайтесь за помощью к юристам, например, ко мне и моим коллегам из Legal Up – мы настроили работу с ПДн для многих бизнесов, поможем и вам.