Что такое обработка персональных данных
Коротко
Обработка персональных данных — любое действие или совокупность действий с информацией, которая относится к прямо или косвенно определённому человеку. Закон называет это действиями (операциями) с персональными данными и относит сюда сбор, запись, хранение, уточнение, использование, передачу, удаление и уничтожение.
Что закон называет обработкой
Определение дано в статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Обработка — это любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
Закон перечисляет действия открытым списком: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Открытый он потому, что важно не название действия, а то, что вы что-то делаете с данными человека.
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Это не только фамилия и паспорт: адрес доставки, номер телефона, почта, запись разговора и даже номер заказа, по которому человека можно найти, тоже персональные данные.
Какие действия попадают под обработку
- Сбор — вы получаете данные: клиент заполняет форму на сайте, менеджер записывает телефон, кандидат присылает резюме.
- Запись и систематизация — данные попадают в CRM, таблицу, картотеку, базу рассылки.
- Хранение — данные лежат у вас на сервере, в облаке или в бумажной папке.
- Уточнение — вы исправляете адрес, обновляете телефон, дополняете карточку клиента.
- Использование — вы звоните, отправляете письма, пробиваете чек, передаёте заказ на доставку.
- Передача — данные уходят подрядчику: курьеру, колл-центру, сервису рассылок, бухгалтерии на аутсорсе.
- Обезличивание, блокирование, удаление и уничтожение — вы скрываете данные, временно прекращаете с ними работать или стираете их.
Кто такой оператор и когда компания им становится
Оператор — тот, кто организует и проводит обработку и определяет, зачем ему данные и что с ними делать. Это может быть государственный орган, муниципальный орган, юридическое лицо или физическое лицо. Оператором становится и компания, и ИП, и человек, который собирает данные не только для личных и семейных нужд: на обработку исключительно для таких нужд закон не распространяется, если при этом не нарушаются права других людей.
Оператор не обязательно делает всё сам. Он может поручить обработку другому лицу по договору, но отвечает за неё перед человеком всё равно он. Если вы отдали данные клиентов подрядчику для рассылки или хранения, вы остаётесь оператором, а подрядчик обрабатывает данные по вашему поручению.
Отдельно закон говорит о данных, разрешённых субъектом для распространения: это персональные данные, доступ к которым человек открыл сам, дав на это отдельное согласие. Такое согласие оформляют по особым правилам, и обычная галочка на сайте его не заменяет.
Частые вопросы
Считается ли обработкой, если данные просто лежат в базе?
Да. Хранение прямо названо среди действий с персональными данными. Пока данные у вас, вы их обрабатываете, даже если годами ничего с ними не делаете.
Нужно ли согласие, чтобы обработать данные клиента?
По общему правилу обработка законна, если человек дал согласие либо есть другое основание из закона: договор с ним, обязанность по закону, судебное дело. Согласие должно быть конкретным и предметным, а не «на всё».
Компания передала данные курьеру — это обработка?
Да, передача входит в список действий. Если курьер или сервис рассылок обрабатывает данные по вашему поручению, с ним заключают договор, а отвечает за обработку перед клиентом оператор, то есть вы.
Что будет, если обрабатывать данные без согласия?
Обработку без законного основания, в том числе без согласия, когда оно требуется, суд может признать незаконной; человек вправе обжаловать действия оператора в Роскомнадзор или в суд. Помимо иска человека — убытки и компенсация морального вреда по статье 17 закона о персональных данных — оператора привлекают к административной ответственности по статье 13.11 КоАП: за обработку без согласия в письменной форме и за утечки. В отдельных случаях возможна уголовная ответственность за незаконный сбор данных.
Относится ли к персональным данным запись телефонного разговора?
Да, если по голосу или содержанию разговора человека можно определить. Поэтому запись звонков в колл-центре — тоже обработка, и на неё нужно предупредить клиента.
Чем обработка отличается от распространения?
Распространение — частный случай передачи: данные становятся доступны неограниченному кругу лиц. Обычная передача одному подрядчику для работы распространением не является, но остаётся обработкой.
Когда данные клиентов и сотрудников уже собираются в компании
Чтобы видеть, где данные ходят и кто за них отвечает
Данные клиентов и сотрудников лежат в CRM, почте, мессенджерах, у подрядчиков и в бумажных папках. Пока не видно, где именно и кто к ним имеет доступ, невозможно понять, какие согласия нужны, кому данные передаются и где компания рискует.
Я собираю цифры бизнеса на одном экране: видно, какие данные и из каких систем приходят, кто с ними работает и что происходит с заявкой от первого контакта до продажи. С такой картиной разговор о персональных данных идёт по фактам, а не по общим правилам.