Персональные данные клиентов: обязанности компании
Почти любой бизнес сегодня собирает данные о клиентах. Кофейня ведёт программу лояльности по номеру телефона, салон красоты хранит историю визитов, интернет-магазин — адреса доставки, фитнес-клуб — паспортные данные и фото для пропуска. Многие предприниматели не задумываются, что всё это персональные данные, а значит, обращение с ними регулируется отдельным законом и проверяется надзорным органом.
Закон о персональных данных, известный как 152-ФЗ, долгое время воспринимался малым бизнесом как что-то далёкое, касающееся банков и операторов связи. Но требования к компаниям постепенно ужесточаются, а штрафы за нарушения, особенно за утечки, становятся всё ощутимее. Поэтому разобраться в базовых обязанностях полезно каждому, кто хранит хотя бы таблицу с телефонами клиентов.
В этой статье — практический разбор: что считается персональными данными, какие документы нужны, как получать согласия, защищать базы и действовать при утечке. Конкретные размеры штрафов и сроки уведомлений неоднократно менялись, поэтому сверяйте их с актуальной редакцией закона и разъяснениями регулятора.
Что считается персональными данными
Персональные данные — это любая информация, которая прямо или косвенно позволяет определить конкретного человека. Фамилия и имя, телефон, адрес, электронная почта, дата рождения, номер паспорта, фотография, история покупок, привязанная к клиенту, — всё это персональные данные. Даже связка «имя плюс номер телефона» в таблице менеджера уже делает компанию оператором персональных данных.
Отдельно выделяют специальные категории — сведения о здоровье, религиозных и политических взглядах — и биометрические данные, например фото, используемое для идентификации человека. К ним предъявляются повышенные требования. Это особенно важно для медицинских центров, стоматологий, фитнес-клубов с контролем доступа по лицу, салонов, которые ведут медицинские анкеты.
Компания, которая собирает и обрабатывает персональные данные, называется оператором. Обработка — это практически любое действие с данными: сбор, запись, хранение, использование, передача, удаление. Так что если у вас есть хотя бы один клиентский контакт в CRM, вы почти наверняка оператор.
Базовые обязанности оператора
Если коротко, закон требует от компании законно собирать данные, использовать их только для заявленных целей, защищать и удалять, когда цели достигнуты. На практике это выливается в несколько конкретных обязанностей:
- уведомить регулятора о начале обработки персональных данных, если нет оснований для исключения;
- разработать и опубликовать политику обработки персональных данных;
- получать согласия клиентов там, где это требуется, и хранить доказательства их получения;
- назначить ответственного за организацию обработки данных;
- принять меры защиты: ограничить доступ, использовать пароли, резервное копирование, учёт носителей;
- уничтожать данные, когда цели обработки достигнуты или клиент отозвал согласие;
- оперативно уведомлять регулятора об утечках.
Звучит громоздко, но для небольшой компании многое укладывается в несколько документов и простых внутренних правил. Главное — не откладывать, пока не придёт проверка или не случится инцидент.
Согласие клиента: когда нужно и как получать
Распространённое заблуждение — что на любой сбор данных нужно согласие. На самом деле закон допускает обработку без отдельного согласия в ряде случаев, например когда это необходимо для исполнения договора с клиентом. Если человек заказал доставку, вы можете использовать его адрес и телефон для этой доставки. А вот для рекламных рассылок, программы лояльности, передачи данных партнёрам согласие, как правило, нужно.
Согласие должно быть конкретным, информированным и сознательным. Нельзя прятать его в общих условиях оферты мелким шрифтом или ставить галочку по умолчанию. Хорошая практика — отдельный чекбокс в форме на сайте и отдельный пункт в анкете с чётким описанием, для чего вы используете данные и кому их можете передать. Согласие на рекламные рассылки лучше оформлять отдельно от согласия на обработку данных для выполнения заказа.
Возьмём условный пример. Мария открыла студию маникюра в Кузьминках и собирала анкеты клиентов на бумаге: имя, телефон, дата рождения, аллергии. Анкета не содержала никаких согласий, а листы лежали в открытой папке на стойке администратора. После консультации с юристом Мария переделала анкету: появился блок согласия, отдельная галочка на рассылки, а сами анкеты стали храниться в запираемом шкафу. Данные об аллергиях теперь собираются только с явного согласия, ведь это сведения о здоровье.
Для маленького салона кажется, что персональные данные — это история про банки. Но когда клиентка однажды спросила, кто видит её анкету и зачем мне её дата рождения, я поняла, что честный ответ должен быть у меня всегда.— Мария, владелица студии маникюра в Кузьминках
Политика и внутренние документы
Политика обработки персональных данных — публичный документ, который объясняет, какие данные собирает компания, зачем, как хранит и кому передаёт. Если у вас есть сайт, где собираются данные, политика должна быть опубликована на нём и доступна по ссылке из формы. Шаблоны легко найти, но копировать чужую политику дословно — плохая идея: она должна описывать реальные процессы вашей компании.
Помимо политики, полезно иметь приказ о назначении ответственного, перечень сотрудников с доступом к данным, обязательство о неразглашении, перечень информационных систем, где хранятся данные, и правила их уничтожения. Для небольшого бизнеса всё это укладывается в несколько страниц, но очень помогает при проверке и, главное, дисциплинирует команду.
Условный пример распределения доступа
Посмотрим, как может выглядеть разграничение доступа в небольшом интернет-магазине. Схема иллюстративная, адаптируйте её под свои процессы.
| Роль | Какие данные видит | Для чего |
|---|---|---|
| Менеджер по заказам | ФИО, телефон, адрес, состав заказа | Подтверждение и доставка |
| Маркетолог | Обезличенная статистика, почта с согласием | Рассылки и аналитика |
| Бухгалтер | Данные по возвратам и платежам | Учёт и отчётность |
| Курьер | Имя, телефон, адрес одного заказа | Вручение заказа |
Принцип простой: каждый сотрудник видит только то, что нужно для его задач. Курьеру не нужна вся база клиентов, маркетологу не обязательно знать адреса. Такое разграничение снижает риск утечки и упрощает расследование, если она всё-таки случится.
Защита данных: технический минимум
Большинство утечек в малом бизнесе происходят не из-за хакеров, а по банальным причинам: общий пароль от CRM на стикере, выгрузка базы клиентов в личную почту, ноутбук без пароля, забытый в такси, уволившийся менеджер, который унёс таблицу с контактами. Поэтому базовая защита начинается с гигиены.
Используйте персональные учётные записи для каждого сотрудника, а не общий логин. Включите двухфакторную аутентификацию в облачных сервисах. Ограничьте возможность выгрузки базы целиком. Делайте резервные копии. Сразу блокируйте доступы уволенных сотрудников. Шифруйте ноутбуки и смартфоны, на которых есть рабочие данные. Всё это не требует больших бюджетов, но резко снижает вероятность инцидента.
Отдельный вопрос — место хранения. Закон требует, чтобы при сборе данных граждан России первичная запись, систематизация и хранение происходили в базах, расположенных в России. Если вы используете зарубежные облачные сервисы для CRM или рассылок, стоит проверить, соответствует ли ваша схема этому требованию.
Если случилась утечка
Утечка — это ситуация, когда персональные данные оказались у тех, у кого их не должно быть: базу выгрузили и выложили в сеть, письмо с данными ушло не тому адресату, взломали сайт. Закон обязывает оператора в сжатые сроки уведомить регулятора об инциденте, а затем сообщить результаты внутреннего расследования. Промедление и сокрытие только увеличивают ответственность.
Порядок действий примерно такой: остановить утечку, закрыть доступы, сменить пароли, оценить объём и состав пострадавших данных, уведомить регулятора, при необходимости уведомить клиентов, провести расследование и устранить причины. Хорошо, если у вас заранее есть план реагирования — даже одностраничный, с контактами ответственных лиц и шаблоном уведомления.
Однажды менеджер по ошибке отправил выгрузку с контактами покупателей не тому подрядчику. Мы за час отозвали доступ, связались с получателем, получили подтверждение удаления и уведомили регулятора. Всё прошло спокойно именно потому, что был готовый алгоритм.— Константин, директор интернет-магазина товаров для дома
Порядок, которому доверяют
Персональные данные — это не только юридическая обязанность, но и вопрос доверия. Клиенты всё чаще спрашивают, зачем вам их телефон и кто видит их историю покупок. Компания, у которой есть честный и понятный ответ, выигрывает у той, что отмалчивается или собирает всё подряд.
Начните с простого: составьте список, какие данные вы собираете и где они хранятся, уберите лишнее, оформите политику и согласия, назначьте ответственного, наведите порядок с доступами и паролями. Подайте уведомление регулятору, если ещё не подавали. Это займёт несколько дней работы, но избавит от многих рисков и покажет клиентам, что вы относитесь к ним всерьёз.
