Обязанности ИП при обработке персональных данных клиентов в группах мессенджеров
Краткие выводы
- Вы являетесь оператором персональных данных.
- Вы обязаны уведомить Роскомнадзор о начале обработки данных, так как не подпадаете под исключения.
- Для рассылок необходимо предварительное согласие клиентов.
- На вас возлагаются обязанности по обеспечению безопасности данных и информированию клиентов.
- Факт использования только мессенджеров и небольшого объёма данных не освобождает от соблюдения закона.
1. Являетесь ли вы оператором персональных данных?
Да, являетесь.
Согласно закону, персональные данные (ПДн) — это "любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу". >"любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Имена и номера телефонов ваших клиентов и потенциальных арендаторов под это определение полностью подходят.
Оператор — это "физическое лицо, самостоятельно организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки". >"физическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Вы самостоятельно собираете, записываете, храните и используете эти данные для рассылок, что является обработкой. >"обработка персональных данных - любое действие (операция) или совокупность действий (операций)... включая сбор, запись, систематизацию, накопление, хранение... использование" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 3).
Таким образом, ваша деятельность по ведению групп и работе с контактами клиентов подпадает под регулирование закона о персональных данных.
2. Нужно ли уведомлять Роскомнадзор?
Да, нужно. Вы обязаны направить уведомление до начала обработки данных.
По общему правилу, оператор обязан уведомить Роскомнадзор. >"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган... о своем намерении осуществлять обработку персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22).
Однако закон предусматривает исключения, когда уведомлять не нужно. Проанализируем, применимы ли они к вашей ситуации:
- Обработка данных, необходимых для исполнения договора (например, договора аренды) — это отдельное правовое основание, но оно не освобождает от уведомления, если обработка ведется с использованием средств автоматизации.
- Ключевое исключение: Без уведомления разрешена обработка, если оператор осуществляет её "исключительно без использования средств автоматизации". >"в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22).
Ваш случай: Вы используете мессенджеры WhatsApp и Telegram (программное обеспечение), записываете данные, вероятно, в электронную таблицу или базу контактов телефона/компьютера. Это является автоматизированной обработкой (с использованием средств вычислительной техники). Следовательно, данное исключение на вас не распространяется.
Вывод: Поскольку вы используете средства автоматизации для обработки ПДн, вы не освобождаетесь от обязанности направить уведомление в Роскомнадзор. Отсутствие отдельного сайта значения не имеет — обработка ведется с помощью иных программных средств.
3. Требования к получению согласия на обработку данных
Это самый важный практический аспект для вашей деятельности.
Если вы обрабатываете данные (в том числе используете их для рассылок) для продвижения своих товаров и услуг, вы обязаны получить предварительное согласие клиента. >"Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи... допускается только при условии предварительного согласия субъекта персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 15).
Что это значит для вас:
- Нельзя просто взять номер телефона из чата и добавить человека в список для рассылки без его явного согласия.
- Если клиент оставляет заявку на конкретный товар или просмотр квартиры, это согласие на обработку данных для этой конкретной цели. Для последующих маркетинговых рассылок нужно отдельное согласие.
- Согласие должно быть информированным и конкретным. В идеале — в письменной форме или в форме электронного документа. Закон предъявляет к содержанию такого согласия строгие требования. >"Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9).
Если клиент потребует прекратить обработку его данных для рассылок, вы обязаны это сделать немедленно. >"Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 15).
4. Дополнительные обязанности оператора
Как оператор вы также обязаны:
- Обеспечить безопасность данных: Принимать необходимые организационные и технические меры для защиты данных от утечек и неправомерного доступа. >"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры... для защиты персональных данных от неправомерного или случайного доступа к ним" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 19).
- Информировать субъектов данных: По требованию клиента вы должны предоставить информацию о том, какие его данные и для каких целей вы обрабатываете. >"При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 18).
- Соблюдать принципы обработки: Например, хранить данные не дольше, чем это необходимо для заявленных целей, обеспечивать их актуальность. >"Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 5).
5. Рекомендации и дальнейшие действия
- Подготовьте и получите согласия: Разработайте простую форму согласия на обработку ПДн для маркетинговых рассылок (можно в виде сообщения в мессенджере, на которое клиент отвечает "Согласен"). Для уже имеющейся базы контактов запросите согласие при первом же контакте.
- Подайте уведомление в Роскомнадзор: Заполните форму уведомления (доступна на сайте Роскомнадзора) и направьте его. Это можно сделать онлайн.
- Организуйте минимальные меры безопасности: Установите пароль на компьютер/телефон, где хранятся данные, используйте антивирусное ПО, не пересылайте базы контактов посторонним.
- Ведите учёт: Фиксируйте, от кого и когда получено согласие на обработку.
- Будьте готовы реагировать на запросы: Если клиент просит удалить его данные из рассылки или сообщить, какие данные у вас есть, выполните это.
Важно: Нарушение требований закона о персональных данных влечёт административную (ст. 13.11 КоАП РФ) и даже уголовную ответственность в особых случаях, а также обязанность возместить причинённый вред. >"Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 24).
Учитывая специфику и объем обязательств, для корректного оформления всех документов и построения процессов рекомендуется обратиться к адвокату или специалисту в области compliance.
