Что такое конфиденциальность персональных данных
Коротко
Конфиденциальность персональных данных — это обязанность не раскрывать их третьим лицам и не распространять без согласия человека, чьи данные собраны. Обязанность лежит на операторе и на любом другом лице, которое получило доступ к персональным данным, — статья 7 Федерального закона от 27.06.2006 № 152-ФЗ.
Что именно запрещено
Формулировка статьи 7 короткая: операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Отсюда два разных действия. Распространение — раскрытие персональных данных неопределённому кругу лиц: публикация, выкладка в открытый доступ, рассылка неопределённому кругу (пункт 5 статьи 3 закона № 152-ФЗ). Предоставление — передача данных конкретному лицу: партнёру, подрядчику, колл-центру, банку (пункт 6 статьи 3). Для передачи нужно законное основание. Если оператор поручает обработку другому лицу, по общему правилу требуется согласие человека, если иное не предусмотрено федеральным законом, а условия обработки закрепляют в поручении.
Конфиденциальность — не отдельный режим для избранных категорий данных. Она распространяется на все персональные данные, которые оператор получил на законном основании: фамилию и телефон клиента, паспортные данные сотрудника, адрес доставки, историю покупок.
Кого закон называет оператором
Оператор — тот, кто организует обработку персональных данных и определяет её цели. Для компании оператором обычно является сама организация: она определяет цели, состав и действия при обработке. Руководитель и сотрудники работают с данными от её имени в пределах своих полномочий.
Обязанность молчать не заканчивается на штате. Подрядчик, которому передали базу для рассылки, колл-центр, бухгалтер на аутсорсе, программист, подключившийся к CRM, — все они получили доступ к персональным данным и обязаны их не раскрывать. Передача данных подрядчику не снимает обязанность с того, кто их передал: отвечает оператор.
Поэтому в договоре с подрядчиком прописывают, какие данные он получает, для какой цели, что делает с ними после окончания работ и как отвечает за утечку. Без этого поручение обработки остаётся на словах.
Когда передача данных законна
- Человек дал согласие на передачу — письменно или в форме, которую закон допускает для конкретного случая. Согласие оформляют отдельно от других документов, которые человек подписывает: статья 9 закона № 152-ФЗ.
- Передача нужна для исполнения договора, стороной которого является человек: доставить заказ курьером, провести оплату через банк.
- Федеральный закон прямо разрешает или требует передать данные: налоговая, суд, следствие, обязательное сообщение в уполномоченный орган.
- Обезличивание означает, что определить принадлежность данных человеку без дополнительной информации нельзя. При работе с данными, полученными в результате обезличивания, нужно соблюдать применимые требования закона о персональных данных.
Чем конфиденциальность отличается от защиты
Защита персональных данных — это меры: ограничение доступа сотрудников, пароли, шифрование, резервные копии, журнал доступа. Конфиденциальность — само правило: данные не должны уйти к тем, кому их знать не положено. Меры нужны, чтобы правило выполнялось.
Из этого следует практический вывод. Замок на двери серверной не спасает, если менеджер выгружает базу клиентов в личную почту, а маркетолог отправляет её подрядчику без договора и без согласия. Утечка чаще идёт не через взлом, а через обычную рабочую переписку и файлы в мессенджерах.
Поэтому в компании конфиденциальность держится на трёх вещах: перечень данных и кто к ним имеет доступ; согласия людей, где они нужны; договоры с подрядчиками, в которых прописано, что делать с данными.
Частые вопросы
Конфиденциальность персональных данных — это то же самое, что их защита?
Нет. Конфиденциальность — обязанность не раскрывать и не распространять данные без согласия человека (статья 7 закона № 152-ФЗ). Защита — комплекс мер, которыми оператор эту обязанность выполняет: ограничение доступа, пароли, шифрование, учёт носителей. Первое — правило, второе — способ его соблюсти.
Можно ли передать базу клиентов подрядчику для рассылки?
Можно, если есть законное основание для передачи и соблюдены правила поручения обработки. Для рекламной рассылки с прямым обращением к человеку по средствам связи нужно его предварительное согласие. Условия работы подрядчика с данными закрепляют в поручении обработки. Отвечает за утечку перед клиентом и надзорным органом оператор, то есть компания.
Что будет, если сотрудник выгрузил базу клиентов?
Нужно выяснить, имел ли сотрудник право выгружать базу, зачем он это сделал и получил ли доступ к данным кто-то посторонний. От обстоятельств зависят наличие нарушения и ответственность. Последствия наступают для компании как оператора: ей предстоит отвечать перед людьми и перед надзорным органом. Со своим сотрудником вопрос решают отдельно — по трудовому законодательству и договору о неразглашении, если он подписан.
Нужно ли отдельное согласие на каждую передачу данных?
Согласие дают на обработку с определённой целью, и передача третьему лицу должна в это согласие укладываться: кому передают, зачем и какие именно данные. Если новая цель не входит в действующее согласие, проверьте, есть ли для обработки другое основание в федеральном законе. При его отсутствии нужно получить согласие на новую цель; для поручения обработки другому лицу действуют отдельные требования статьи 6.
Распространяются ли правила конфиденциальности на данные сотрудников?
Да. Работники — такие же субъекты персональных данных, как клиенты. Их паспортные данные, адреса, номера счетов и сведения о здоровье нельзя передавать третьим лицам без согласия, кроме случаев, прямо предусмотренных федеральным законом.
Что считается распространением, а что — предоставлением данных?
Распространение — передача данных неопределённому кругу лиц: публикация, открытая рассылка, выкладка в общий доступ. Предоставление — передача конкретному лицу: подрядчику, партнёру, банку. Без согласия человека незаконны оба действия, если федеральный закон не разрешает передачу.
Что делать компании
Начать с перечня: какие персональные данные компания собирает, где они лежат и кто к ним имеет доступ. Обычно выясняется, что часть базы живёт в личных таблицах менеджеров и в переписке, а не в CRM.
Дальше — согласия. Проверить, на что человек согласие дал и покрывает ли оно те передачи, которые компания делает на самом деле. Согласие, взятое «на всё», под конкретную передачу партнёру не подходит.
И договоры с подрядчиками: кто получает данные, для какой цели, что с ними делает после работ, как отвечает за утечку. Это три вещи, без которых статья 7 остаётся на бумаге, а данные уходят из компании.
Когда данные клиентов уже уходят из компании
Чтобы увидеть, где персональные данные покидают компанию
Конфиденциальность проверяется не политикой на сайте, а тем, где на самом деле лежат данные клиентов и кто к ним имеет доступ. Это видно, когда проходишь путь заявки от рекламы до CRM и смотришь, что происходит с данными на каждом шаге.
Я проверяю рекламу, обработку заявок и звонки, выгружаю кабинеты и CRM и показываю, на каком шаге данные клиента уходят к тем, кому их знать не положено.