Краткий ответ
Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут Рекомендуемые действия
- 1Разработайте и внедрите форму согласия на обработку персональных данных для рассылок, например, в виде сообщения с ответом «Согласен».
- 2Направьте уведомление о начале обработки персональных данных в Роскомнадзор онлайн через его официальный сайт.
- 3
- 4Установите пароль на устройства и используйте антивирусное ПО для защиты хранящихся данных клиентов.
- 5Фиксируйте факт, дату и способ получения согласия каждого клиента на обработку данных.
- 6Обеспечьте возможность удаления данных клиента по его запросу и незамедлительно выполняйте такие требования.
Документы и доказательства
- Сформируйте и сохраните переписку из WhatsApp и Telegram, где клиенты оставляли свои данные.
- Зафиксируйте факт получения согласия на рассылку: скриншоты ответов «Согласен» или аудиозаписи.
- Подготовьте форму согласия на обработку персональных данных для маркетинговых рассылок.
- Составьте перечень категорий собираемых данных: имена, номера телефонов, цели использования.
- Зафиксируйте перечень действий с данными: сбор, запись, систематизация, хранение, использование.
- Обеспечьте доказательства принятия мер безопасности: пароли, антивирус, ограничение доступа.
Срочно: первые шаги
- Запросите согласие у всех контактов в вашей базе при первом же следующем обращении.
- Подайте уведомление в Роскомнадзор онлайн до начала активных маркетинговых рассылок.
- Установите пароль на устройства и используйте антивирус для защиты базы контактов.
- Начните фиксировать, от кого и когда получено согласие на обработку данных.
- Будьте готовы немедленно удалить данные клиента по его первому требованию.
Сроки и риски
- Подайте уведомление в Роскомнадзор онлайн до начала обработки данных, так как вы используете средства автоматизации (мессенджеры).
- Запросите согласие у уже имеющейся базы контактов при первом же следующем контакте с ними.
- Фиксируйте факт и дату получения согласия от каждого клиента для подтверждения законности обработки.
- Будьте готовы удалить данные клиента по его запросу, иначе возможен штраф по ст. 13.11 КоАП РФ.
Чего не делать
- Не начинайте рассылки по уже собранной базе без получения согласия клиентов.
- Не собирайте и не записывайте контакты клиентов без их явного согласия на обработку.
- Не используйте данные, полученные для одной цели (например, аренды), для маркетинга.
- Не храните базу контактов без пароля на устройстве и без антивирусной защиты.
- Не передавайте и не пересылайте контакты клиентов третьим лицам.
- Не игнорируйте требование клиента удалить его данные из вашей базы.
Когда нужен адвокат
- Обратитесь к адвокату для разработки формы согласия на обработку персональных данных и корректной подачи уведомления в Роскомнадзор.
- Консультация адвоката необходима, так как нарушение закона о персональных данных влечет административную и уголовную ответственность.
- Адвокат поможет оценить риски, связанные с автоматизированной обработкой данных клиентов и арендаторов в мессенджерах.
- Привлеките адвоката для проверки ваших действий на соответствие требованиям закона, чтобы избежать штрафов и судебных исков.
- Специалист в области compliance или адвокат обеспечит корректное оформление всех документов и построение процессов обработки данных.
Обязанности ИП при обработке персональных данных клиентов в группах мессенджеров
Краткие выводы
- Вы являетесь оператором персональных данных.
- Вы обязаны уведомить Роскомнадзор о начале обработки данных, так как не подпадаете под исключения.
- Для рассылок необходимо предварительное согласие клиентов.
- На вас возлагаются обязанности по обеспечению безопасности данных и информированию клиентов.
- Факт использования только мессенджеров и небольшого объёма данных не освобождает от соблюдения закона.
1. Являетесь ли вы оператором персональных данных?
Да, являетесь.
Согласно закону, персональные данные (ПДн) — это "любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу". >"любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Имена и номера телефонов ваших клиентов и потенциальных арендаторов под это определение полностью подходят.
Оператор — это "физическое лицо, самостоятельно организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки". >"физическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Вы самостоятельно собираете, записываете, храните и используете эти данные для рассылок, что является обработкой. >"обработка персональных данных - любое действие (операция) или совокупность действий (операций)... включая сбор, запись, систематизацию, накопление, хранение... использование" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Таким образом, ваша деятельность по ведению групп и работе с контактами клиентов подпадает под регулирование закона о персональных данных.
2. Нужно ли уведомлять Роскомнадзор?
Да, нужно. Вы обязаны направить уведомление до начала обработки данных.
По общему правилу, оператор обязан уведомить Роскомнадзор. >"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган... о своем намерении осуществлять обработку персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22).
Однако закон предусматривает исключения, когда уведомлять не нужно. Проанализируем, применимы ли они к вашей ситуации:
- Обработка данных, необходимых для исполнения договора (например, договора аренды) — это отдельное правовое основание, но оно не освобождает от уведомления, если обработка ведется с использованием средств автоматизации.
- Ключевое исключение: Без уведомления разрешена обработка, если оператор осуществляет её "исключительно без использования средств автоматизации". >"в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22).
Ваш случай: Вы используете мессенджеры WhatsApp и Telegram (программное обеспечение), записываете данные, вероятно, в электронную таблицу или базу контактов телефона/компьютера. Это является автоматизированной обработкой (с использованием средств вычислительной техники). Следовательно, данное исключение на вас не распространяется.
Вывод: Поскольку вы используете средства автоматизации для обработки ПДн, вы не освобождаетесь от обязанности направить уведомление в Роскомнадзор. Отсутствие отдельного сайта значения не имеет — обработка ведется с помощью иных программных средств.
3. Требования к получению согласия на обработку данных
Это самый важный практический аспект для вашей деятельности.
Если вы обрабатываете данные (в том числе используете их для рассылок) для продвижения своих товаров и услуг, вы обязаны получить предварительное согласие клиента. >"Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи... допускается только при условии предварительного согласия субъекта персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 15).
Что это значит для вас:
- Нельзя просто взять номер телефона из чата и добавить человека в список для рассылки без его явного согласия.
- Если клиент оставляет заявку на конкретный товар или просмотр квартиры, это согласие на обработку данных для этой конкретной цели. Для последующих маркетинговых рассылок нужно отдельное согласие.
- Согласие должно быть информированным и конкретным. В идеале — в письменной форме или в форме электронного документа. Закон предъявляет к содержанию такого согласия строгие требования. >"Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9).
Если клиент потребует прекратить обработку его данных для рассылок, вы обязаны это сделать немедленно. >"Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 15).
4. Дополнительные обязанности оператора
Как оператор вы также обязаны:
- Обеспечить безопасность данных: Принимать необходимые организационные и технические меры для защиты данных от утечек и неправомерного доступа. >"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры... для защиты персональных данных от неправомерного или случайного доступа к ним" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 19).
- Информировать субъектов данных: По требованию клиента вы должны предоставить информацию о том, какие его данные и для каких целей вы обрабатываете. >"При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 18).
- Соблюдать принципы обработки: Например, хранить данные не дольше, чем это необходимо для заявленных целей, обеспечивать их актуальность. >"Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 5).
5. Рекомендации и дальнейшие действия
- Подготовьте и получите согласия: Разработайте простую форму согласия на обработку ПДн для маркетинговых рассылок (можно в виде сообщения в мессенджере, на которое клиент отвечает "Согласен"). Для уже имеющейся базы контактов запросите согласие при первом же контакте.
- Подайте уведомление в Роскомнадзор: Заполните форму уведомления (доступна на сайте Роскомнадзора) и направьте его. Это можно сделать онлайн.
- Организуйте минимальные меры безопасности: Установите пароль на компьютер/телефон, где хранятся данные, используйте антивирусное ПО, не пересылайте базы контактов посторонним.
- Ведите учёт: Фиксируйте, от кого и когда получено согласие на обработку.
- Будьте готовы реагировать на запросы: Если клиент просит удалить его данные из рассылки или сообщить, какие данные у вас есть, выполните это.
Важно: Нарушение требований закона о персональных данных влечёт административную (ст. 13.11 КоАП РФ) и даже уголовную ответственность в особых случаях, а также обязанность возместить причинённый вред. >"Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 24).
Учитывая специфику и объем обязательств, для корректного оформления всех документов и построения процессов рекомендуется обратиться к адвокату или специалисту в области compliance.
Столкнулись с похожей ситуацией?
Подробно опишите детали,
и Нейроадвокат подберёт решение