Что такое защита персональных данных
Коротко
Защита персональных данных — это работа с любыми сведениями, по которым можно прямо или косвенно определить человека: собрать их можно только на законном основании, хранить — в безопасности и не дольше, чем нужно для цели, а человек вправе знать, что о нём есть, потребовать исправить или удалить.
Какие сведения считаются персональными
Персональные данные — это не только паспорт. Фамилия с телефоном, адрес доставки, номер машины в пропуске, фотография сотрудника в пропуске, запись звонка в колл-центре, история покупок в программе лояльности — всё это позволяет узнать конкретного человека.
Закон об обработке персональных данных в России — Федеральный закон от 27.07.2006 № 152-ФЗ. Он действует с 2006 года и с тех пор менялся много раз; отдельные категории данных — биометрию, данные о здоровье, о судимости — закон защищает строже остальных.
Что бизнес обязан сделать
- Назначить ответственного за обработку персональных данных и описать в документах, какие данные собирает, зачем и где хранит.
- Получать согласие человека или иметь другое законное основание: договор, закон, жизненно важные интересы.
- Публиковать политику обработки персональных данных — документ, где человек видит, что с его данными делают.
- Хранить данные так, чтобы посторонний не получил к ним доступ: пароли, права сотрудников, шифрование, резервные копии.
- Удалять данные, когда цель достигнута или человек отозвал согласие, если нет другого основания их хранить.
- Сообщать в Роскомнадзор об утечке в установленный законом срок.
Согласие: что в нём должно быть
Согласие — не галочка ради галочки. Человек должен понимать, кому и зачем он отдаёт данные. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Если федеральный закон требует письменного согласия, в него включают сведения, перечисленные в части 4 статьи 9 Закона № 152-ФЗ, в том числе данные субъекта и его основного документа, цель, перечень данных и действий, срок и порядок отзыва.
Согласие оформляют отдельно от других документов, которые человек подписывает, — так требует закон с 01.09.2025. Отзыв согласия не означает, что данные удаляют в тот же день: если есть другое законное основание, например договор или требование закона, обработка продолжается на нём.
Кто такой оператор и кто ещё участвует
Оператор — тот, кто решает, зачем и как обрабатывать данные. Это компания, ИП или госорган. Оператор отвечает за всё: за законность сбора, за хранение, за утечку и за то, чтобы данные удалили, когда они больше не нужны.
Рядом с оператором стоят обработчик — подрядчик, который работает с данными по поручению оператора, например колл-центр или сервис рассылок, — и человек, чьи данные обрабатывают. Обработчик отвечает перед оператором по договору, но обязанности по закону лежат на операторе.
Где чаще всего теряют данные
Чаще всего утечки и претензии начинаются не с хакеров, а с обычной работы: общая папка с выгрузкой клиентов, доступ к CRM у уволенного сотрудника, пересылка базы в личную почту, скриншот с телефонами в рабочем чате.
Второй источник — подрядчики: сервис рассылок, курьерская служба, колл-центр. С каждым нужен договор, где прописано, какие данные передают, что с ними можно делать и что подрядчик обязан удалить после окончания работ.
Частые вопросы
Можно ли хранить базу клиентов в Excel?
Можно, если доступ к файлу есть только у тех, кому он нужен по работе, файл не пересылают в мессенджерах и личной почте, а данные удаляют, когда цель достигнута. Excel — не нарушение; нарушение — открытый доступ и бесконтрольная пересылка.
Нужно ли согласие, если человек сам оставил заявку на сайте?
Да, если данных больше, чем нужно для ответа на заявку. Для звонка по заявке хватает данных, которые человек оставил сам; для рассылки рекламы нужно отдельное согласие, и его нельзя прятать в общие условия.
Что делать, если сотрудник уволился?
Доступ к CRM, почте и папкам закрывают в день увольнения. Данные уволенного сотрудника как работника хранят столько, сколько требует трудовое и налоговое законодательство, а затем удаляют или обезличивают.
Кто отвечает за данные, которые обрабатывает подрядчик?
Перед человеком отвечает оператор — компания, которая передала данные. С подрядчиком заключают договор поручения на обработку, где прописаны перечень данных, цель, обязанность хранить их в безопасности и удалять по окончании работ.
Что грозит за утечку?
Утечка — это и административная ответственность, и обязанность сообщить в Роскомнадзор. Размеры штрафов и порядок сообщения смотрите в Кодексе об административных правонарушениях и в законе № 152-ФЗ на дату проверки: нормы менялись.
Нужно ли уведомлять Роскомнадзор, что компания обрабатывает данные?
Оператор подаёт уведомление об обработке персональных данных в Роскомнадзор. Форму, состав сведений и исключения смотрите на сайте ведомства: их меняли, и старые бланки не подходят.
Когда данных много, а порядка в них нет
Понять, где в компании теряются данные клиентов
Персональные данные клиентов лежат в CRM, в почте, в таблицах и в сервисе рассылок. Пока не видно, кто и откуда их берёт, любые правила остаются на бумаге.
Я собираю цифры по заявкам и продажам в одну картину: откуда приходят клиенты, что с их данными происходит дальше и где теряется контроль. Это видно до того, как начнётся проверка.