Какие документы нужны вашему проекту, чтобы работать с персональными данными легально и спокойно
Вы ведёте консультации, продаёте онлайн-курсы, оказываете услуги, продаёте товары, собираете заявки через сайт, формы, чат-боты или мессенджеры?
Тогда, скорее всего, вы уже обрабатываете персональные данные.
И для этого не обязательно иметь большую компанию, штат сотрудников и огромную клиентскую базу.
Достаточно получить от человека его имя, телефон, e-mail, никнейм или другую информацию, по которой его можно определить, — например, когда он оставляет заявку на консультацию.
- кто действительно является оператором персональных данных;
- в каких случаях персональные данные вообще не обрабатываются в смысле закона;
- какие документы могут понадобиться эксперту, ИП или самозанятому;
- где размещать эти документы, если у вас нет сайта;
- как правильно собирать персональные данные через формы, сайт, чат-бот и мессенджеры;
- почему Google Forms может создать дополнительные риски;
- когда нужно уведомлять Роскомнадзор;
- какие ошибки чаще всего допускают эксперты;
- почему просто скачать документы из интернета недостаточно.
1. Сначала определите: вы вообще оператор персональных данных?
Это первый вопрос, с которого нужно начинать.
Потому что нельзя просто скачать комплект документов, разместить его на сайте и считать, что требования закона выполнены.
Сначала необходимо понять, какие данные вы собираете, каким способом, для каких целей и какие действия с ними совершаете.
Если вы самостоятельно определяете цели и способы обработки персональных данных, вы, как правило, выступаете оператором персональных данных.
И вот здесь у экспертов часто возникает ошибка:
«У меня же маленький проект. Я просто консультирую людей».
Размер бизнеса значения сам по себе не имеет.
Если в процессе работы вы собираете и используете персональные данные клиентов, необходимо оценивать требования законодательства о персональных данных.
2. Кто точно должен обратить внимание на требования о персональных данных?
Разберём на конкретных примерах.
Если вы записываете клиентов на услугу через мессенджеры
«Хочу записаться на консультацию».
В этот момент вы получаете персональные данные.
И здесь важно учитывать не только сам факт обработки, но и сервис, через который вы их собираете и передаёте.
Использование иностранных или запрещённых законом мессенджеров для соответствующих способов коммуникации может создавать отдельные правовые риски.
«Все эксперты собирают данные в мессенджерах, значит, и я могу»
Нужно оценивать конкретный мессенджер, способ его использования и действующие ограничения законодательства.
3. Вы собираете заявки через формы? Вы тоже обрабатываете персональные данные
«Запишитесь на бесплатную консультацию»
Это обработка персональных данных.
Особенно внимательно нужно относиться к тому, какой сервис используется для сбора данных и где находятся базы данных.
Например, если вы используете Google Forms, нельзя исходить из логики:
«Это просто форма, значит, никаких проблем нет».
Использование иностранного сервиса может повлечь трансграничную передачу персональных данных и дополнительные обязанности и риски. В данном случае вы рискуете получить штраф до 5 миллионов за трансграничную передачу персональных данных.
Для российского бизнеса в качестве альтернативы можно использовать российские сервисы, например Яндекс Формы, предварительно настроив их с учетом требований к персональным данным.
4. У вас есть сайт? Даже одностраничник?
Тогда нужно проверить обработку персональных данных на сайте.
И неважно, большой у вас интернет-магазин или простой одностраничный лендинг.
Например, на сайте есть форма:
«Оставьте номер телефона, и мы свяжемся с вами».
Вы получаете персональные данные.
Следовательно, необходимо проверить:
- какие данные собираются;
- для какой цели;
- какое правовое основание используется;
- какие документы размещены на сайте;
- как оформлено получение согласия;
- куда поступают данные;
- где они хранятся;
- какие сервисы подключены к сайту.
Закон прямо предусматривает обязанность оператора, который осуществляет сбор персональных данных с использованием информационно-телекоммуникационных сетей, разместить политику в соответствующей сети и обеспечить к ней доступ.
5. Есть чат-бот? Проверьте его отдельно
Чат-бот тоже может участвовать в сборе персональных данных.
Ваше имя?
Ваш номер телефона?
Какой продукт вас интересует?
Оставьте e-mail для получения материала.
Все эти процессы необходимо оценивать с точки зрения законодательства о персональных данных.Также почти все боты автоматически собирают при старте ID пользователя, никнейм и другие. Это необходимо учитывать.
Причём недостаточно просто разместить политику на сайте.
Если основные продажи и сбор заявок происходят через бота, документы и информация о порядке обработки должны быть доступны пользователю именно в рамках соответствующего пользовательского сценария.
6. Вы публикуете отзывы и кейсы клиентов?
Здесь тоже есть отдельный момент.
В зависимости от того, какие сведения вы размещаете и для какой цели, может потребоваться отдельное правовое основание, а в ряде случаев — согласие на распространение персональных данных.
согласие на обработку персональных данных
согласие на распространение персональных данных.
Если вы хотите не просто использовать данные внутри своего проекта, а сделать их доступными неограниченному кругу лиц — например, разместить фотографию и ФИО клиента в открытом аккаунте или на сайте, — нужно отдельно оценивать требования к распространению персональных данных.
7. А когда вы можете не быть оператором?
Здесь есть важное исключение, которое часто упускают.
Вы заключаете договор с клиентом.
вы получаете только на бумаге и используете исключительно для исполнения договора.
При этом обработка осуществляется без использования средств автоматизации.
В таком случае необходимо отдельно оценивать применение законодательства о персональных данных к конкретной ситуации, поскольку законодательство предусматривает исключения для обработки без использования средств автоматизации в установленных законом случаях.
- хранить эти сведения в электронной таблице;
- отправлять договор по электронной почте;
- пересылать его через мессенджер;
- заносить данные в CRM;
- использовать электронную базу клиентов,
«Я просто заключаю договор, значит, персональные данные меня не касаются».
Нужно смотреть, как именно вы получаете, храните и используете данные клиента.
8. Какие документы нужны эксперту?
Не существует единого набора документов, который одинаково подходит всем.
- чем вы занимаетесь;
- кто ваши клиенты;
- какие данные вы собираете;
- для каких целей;
- через какие сервисы;
- есть ли сайт;
- есть ли чат-бот;
- есть ли рассылки;
- публикуете ли вы отзывы и кейсы;
- есть ли сотрудники;
- передаёте ли данные третьим лицам;
- используете ли иностранные сервисы.
Но есть документы, необходимость которых встречается у большинства проектов.
9. Политика обработки персональных данных
Это один из базовых документов оператора.
В политике должно быть понятно:
- какие персональные данные вы обрабатываете;
- чьи данные обрабатываете;
- для каких целей;
- каким способом;
- на каком основании;
- где храните;
- кому передаёте;
- сколько храните;
- когда уничтожаете;
- какие права есть у субъектов персональных данных.
политика должна соответствовать вашей реальной деятельности.
Если в ней написано, что вы собираете только имя и телефон, а на самом деле анкета запрашивает ещё дату рождения, адрес, Telegram и другую информацию, документ уже не отражает реальную обработку.
Закон требует от оператора принимать необходимые и достаточные меры для соблюдения законодательства, а при сборе данных через интернет — обеспечить доступ к политике в соответствующей информационной сети.
Поэтому политика «из интернета» с чужими целями обработки — не защита.
10. Согласие на обработку персональных данных
Если основанием обработки является согласие, его нужно правильно получить и уметь подтвердить.
Причём оператор должен иметь возможность доказать, что согласие было получено либо что существовало иное законное основание для обработки.
Например, при заполнении формы можно использовать отдельный пустой чек-бокс:
☐ Согласен(а) на обработку персональных данных
и предоставить пользователю доступ к тексту соответствующего согласия.
Важно: согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые подтверждает или подписывает человек. Это особенно важно учитывать при разработке форм и пользовательских сценариев.
И ещё одна распространённая ошибка:
«Поставлю одну галочку: согласен со всем».
Так делать нельзя без анализа конкретных целей и правовых оснований.
Для разных целей могут потребоваться разные документы и отдельные согласия.
11. Согласие на распространение персональных данных
Если вы хотите публиковать персональные данные клиента в открытом доступе, одной обычной фразы:
«Согласен на обработку персональных данных»
Например, вы хотите разместить:
В таких случаях необходимо отдельно оценивать необходимость согласия на распространение персональных данных и его содержание.
Это особенно важно для экспертов, которые активно используют отзывы и кейсы в социальных сетях.
вам необходимо юридически оформить отношения с клиентами.
Одним из вариантов является публичная оферта.
- что именно вы продаёте;
- стоимость;
- порядок оплаты;
- порядок оказания услуг;
- права и обязанности сторон;
- порядок отказа и возврата;
- ответственность;
- порядок использования результата;
- другие существенные условия.
оферта и документы по персональным данным — это разные документы.
Оферта не заменяет согласие на обработку персональных данных.
И согласие на обработку персональных данных не заменяет договор.
Если у вас есть сайт, необходимо отдельно проверить, какие cookies и другие технологии используются.
«Наш сайт использует cookies».
Нужно понимать, какие именно технологии используются и какие данные при этом обрабатываются.
Информация о применяемых технологиях должна быть согласована с вашей политикой и фактическими процессами.
И вот здесь мы подходим к той части, о которой сейчас говорят особенно много.
Во многих случаях оператор должен уведомить Роскомнадзор о намерении осуществлять обработку персональных данных.
За невыполнение или несвоевременное выполнение обязанности по уведомлению предусмотрена административная ответственность. Для юридических лиц по ч. 10 ст. 13.11 КоАП РФ штраф составляет от 100 000 до 300 000 рублей.
Не нужно начинать с уведомления.
Самая распространённая ошибка:
«Услышал про штраф — срочно подал уведомление».
Потому что перед подачей уведомления необходимо понимать, что именно вы обрабатываете и как.
В уведомлении указываются сведения о вашей обработке.
И они должны соответствовать вашей реальной деятельности и другим документам.
Поэтому правильная последовательность:
Определяем, какие персональные данные вы собираете.
2. Определение целей и оснований.
Понимаем, зачем вам каждый вид данных и на каком основании вы их обрабатываете.
Сайт, формы, CRM, чат-боты, аналитика, рассылки, мессенджеры и другие инструменты.
Политика, согласия, документы по распространению, локальные документы и другие необходимые документы.
Документы должны не просто существовать в виде файлов, а реально использоваться в процессе работы.
6. И только после этого — уведомление Роскомнадзора.
Так вы сначала приводите в порядок саму обработку, а затем сообщаете о ней государственному органу.
15. А если у меня вообще нет сайта?
Это не значит, что документы вам не нужны.
И здесь есть очень простое решение.
Если вы продаёте через социальные сети, мессенджеры или личные сообщения, можно организовать сбор заявок через форму.
Например, вы размещаете ссылку:
Человек переходит в форму и самостоятельно заполняет:
Перед отправкой формы он знакомится с необходимыми документами и проставляет предусмотренные согласия.
А у вас остаётся информация о том, что человек заполнил форму и какие действия совершил.
Для такого сценария можно использовать российские сервисы, например Яндекс Формы, при условии их корректной настройки под ваши процессы.
16. Как разместить документы, если сайта нет?
Не обязательно срочно создавать сайт только ради политики.
Документы можно разместить там, где происходит взаимодействие с клиентом.
Если продажи идут через форму
В форме можно разместить ссылки на:
- политику обработки персональных данных;
- согласие на обработку персональных данных;
- оферту;
- другие необходимые документы.
Если продажи идут через чат-бот
Документы можно встроить непосредственно в сценарий бота.
Перед началом заполнения заявки:
«Ознакомьтесь с политикой обработки персональных данных».
После этого пользователь совершает необходимые действия, предусмотренные вашим сценарием получения согласия.
Если продажи идут через сайт
Документы размещаются непосредственно на сайте и должны быть доступны пользователю в соответствующих местах сбора данных.
То есть вам не нужен огромный интернет-магазин, чтобы организовать всё это юридически грамотно.
Главное — чтобы документы были доступны человеку там и в тот момент, когда вы собираете его персональные данные, а сам механизм был согласован с вашими юридическими документами.
17. Отдельно проверьте иностранные сервисы
Это один из самых недооценённых рисков.
Вы можете иметь идеальную политику, правильные согласия и уведомление Роскомнадзора.
А потом выяснить, что данные клиентов передаются через иностранный сервис.
Здесь нужно отдельно проверять вопрос трансграничной передачи.
Причём трансграничная передача — это не просто «у меня иностранный сервис».
- какие данные передаются;
- кому;
- в какое государство;
- для какой цели;
- на каком основании;
- какие требования применяются к такой передаче.
После изменений законодательства порядок работы с трансграничной передачей требует отдельной оценки и, в предусмотренных законом случаях, уведомления Роскомнадзора.
Поэтому иностранные сервисы нельзя подключать по принципу:
«Все используют — значит, можно».
Google Analytics и другие иностранные инструменты аналитики нельзя использовать. Обязательно отключаем.
19. Самые распространённые ошибки экспертов
Вот что я чаще всего вижу у проектов.
❌ «Я маленький эксперт, поэтому закон на меня не распространяется».
❌ «Я просто собираю имя и телефон в Telegram».
❌ «У меня только лендинг, поэтому документы не нужны».
❌ «У меня нет сайта — значит, мне не нужна политика».
❌ «Я скачал политику из интернета».
❌ «У меня есть политика, значит, всё хорошо».
❌ «Поставил галочку — значит, согласие есть».
❌ Галочка уже установлена заранее.
❌ Одним согласием пытаются закрыть все цели обработки.
❌ Оферту используют вместо согласия на обработку персональных данных.
❌ Отзыв клиента публикуют без проверки требований к распространению персональных данных.
❌ Уведомление в Роскомнадзор подают, не проверив фактическую обработку.
❌ В уведомлении указаны одни данные, а фактически собираются другие.
❌ Используют иностранные формы и сервисы, не проверяя трансграничную передачу.
❌ В документах написано одно, а технически на сайте происходит другое.
20. Почему нельзя просто скачать комплект документов из интернета?
Потому что документы должны соответствовать вашему бизнесу.
Условный психолог, астролог, маркетолог, онлайн-школа и интернет-магазин могут совершенно по-разному обрабатывать персональные данные.
Очевидно, что одинаковый набор документов в этих двух ситуациях работать не будет.
И даже хороший юридический шаблон может стать бесполезным, если вы не внедрили его в реальную работу.
21. Какой порядок действий я рекомендую?
Если вы решили привести персональные данные в порядок, не начинайте с поиска шаблона или подачи уведомления.
Шаг 1. Определите, какие данные вы собираете
Имя? Телефон? E-mail? Дата рождения? Адрес? Фото? Видео?
Шаг 2. Определите, откуда они поступают
Сайт? Яндекс Форма? Чат-бот? Мессенджер? Телефон? Бумажный договор?
Шаг 3. Проверьте, где они хранятся
CRM? Таблица? Почта? Облачное хранилище? Компьютер? Платформа?
Шаг 4. Проверьте сторонние сервисы
Аналитика, формы, CRM, рассылки, виджеты и другие инструменты.
Шаг 5. Определите правовые основания
Для каждой цели обработки должно быть понятное правовое основание.
Шаг 6. Подготовьте необходимые документы
Не только политику, но и другие документы, которые требуются именно вашему проекту.
Шаг 7. Внедрите документы
Проверьте формы, чек-боксы, сайт, бота, порядок получения согласий и другие точки сбора данных.
Шаг 8. После этого проверьте уведомление Роскомнадзора
И приведите сведения в уведомлении в соответствие с вашей реальной обработкой.
22. Главное, что нужно запомнить
Персональные данные — это не только большая анкета с паспортом.
Это может быть обычная заявка:
«Оставьте имя и телефон, и я свяжусь с вами».
- сообщение клиента;
- форма записи;
- чат-бот;
- база клиентов;
- договор;
- отзыв с фотографией;
- видеоотзыв;
- анкета;
- CRM.
Поэтому вопрос должен звучать не:
«Нужны ли мне документы по персональным данным?»
«Как именно я обрабатываю персональные данные и какие требования применяются к моему способу работы?»
И только после ответа на этот вопрос можно определить, какие документы действительно нужны вашему проекту.
Хотите понять, что нужно именно вам?
Я приглашая на бесплатную 20-минутную консультацию для экспертов и онлайн-бизнеса.
✔️ разобрать ваш сайт, форму, чат-бот или способ продаж;
✔️ определить, являетесь ли вы оператором и какие процессы обработки у вас есть;
✔️ определить, какие документы необходимы именно вашему проекту;
✔️ проверить основные риски по персональным данным;
✔️ обсудить уведомление Роскомнадзора;
✔️ проверить, как сейчас у вас собираются и хранятся данные;
✔️ определить, какие документы и настройки необходимо доработать.
В результате вы получите понятный план действий, а не просто папку из шаблонов.
Если хотите разобраться со своими персональными данными, напишите мне в Telegram:https://t.me/business_lawyer_a