Разбираемся, что включает обработка персональных данных: от сбора до удаления. Узнаете, какие операции требуют согласия, как регистрироваться в Роскомнадзоре и какие риски грозят нарушителям.
Обработка персональных данных — это основной термин в 152-ФЗ, и каждый бизнес сталкивается с ней: собираете ли вы имя клиента в форме, ведёте журнал сотрудников или отправляете рассылку. По закону обработка персональных данных это — любое действие с данными человека: сбор, запись, хранение, использование, передача или удаление. Важно понимать, что это не только компьютерная работа; даже бумажный журнал с фамилиями — уже обработка. Рассказываем, какие виды обработки бывают, что требует закон, какие штрафы грозят, и что делать прямо сейчас.
Обработка персональных данных — это не одна операция, а целая цепочка действий. Закон говорит чётко: если вы что-то делаете с информацией о человеке, это уже обработка. Даже если это происходит в течение одного дня и никуда больше не идёт. Самый простой пример: клиент позвонил в салон красоты и назвал своё имя. Администратор записала его в тетрадь. Это уже три операции — сбор, запись и хранение. Вместе они составляют одну обработку.
Разберёмся, что такое персональные данные: это любая информация, которая напрямую или косвенно указывает на конкретного человека. ФИ, номер телефона, адрес электронной почты, IP-адрес, cookies в браузере, фото, видео, информация о месте работы, зарплате, состоянии здоровья. Государственный регистрационный номер автомобиля сам по себе, по разъяснению Роскомнадзора, не является персональными данными, так как идентифицирует транспортное средство, а не человека; он может приобрести этот статус, только если используется вместе с другой информацией, позволяющей определить владельца (например, ФИО или адресом). Обработка этих данных регулируется строго: нельзя просто брать чужую информацию и делать с ней что угодно.
Когда говорят об обработке, имеют в виду весь жизненный цикл данных в компании. Начинается со сбора (форма на сайте, звонок, документ), затем идёт запись (в базу, в файл, в журнал), систематизация (разложили по папкам), хранение (держите на сервере или в архиве), использование (отправили письмо, проанализировали), передача кому-то ещё (отдали подрядчику, отправили партнёру), а заканчивается удалением или архивированием. Все эти шаги — части одной обработки.
Закон не разбивает обработку на жёсткие типы, но на практике говорят об операциях, из которых она складывается. Виды обработки персональных данных включают основные операции.
Сбор — получение информации от человека или из открытых источников. Самый частый вид: заполнение формы на сайте, телефонный звонок, анкета при приёме на работу, данные из соцсетей. Сбор — первый шаг, и он считается обработкой, даже если вы потом не делаете ничего с этой информацией.
Запись и систематизация — занесение в компьютер, журнал, таблицу. Без этого данные остались бы в устной речи, но как только вы их записали — это уже обработка. Даже временная запись на стикере — обработка.
Накопление и хранение — держите базу данных, архив папок, сервер. Если вы ничего не делаете с данными активно, просто хранить их — уже обработка. Нужно позаботиться о защите и установить, сколько времени их хранить.
Уточнение и обновление — изменили номер телефона клиента, обновили должность сотрудника. Если меняется информация — это тоже обработка.
Использование — применение данных в целях, на которые вы их собрали. Отправили рассылку, провели анализ, создали отчёт.
Передача и распространение — отдали информацию подрядчику, пересказали коллеге, опубликовали в открытом доступе. Это одна из самых серьёзных операций, потому что передача увеличивает количество людей, которые имеют доступ к данным.
Удаление и уничтожение — стёрли информацию, уничтожили бумаги. Это тоже обработка, но последняя.
Важный момент: обработка данных по 152-ФЗ может быть и с использованием компьютера, и вручную. Электронная таблица, система управления, облако — да. Но и ручное ведение журнала с именами клиентов тоже считается обработкой. Закон не делит по технологиям.
| Операция | Определение | Требует согласия | Пример |
|---|---|---|---|
| Сбор | Получение информации | Да | Форма на сайте, звонок, опрос |
| Запись | Занесение в документ или систему | Зависит | Журнал, базу данных |
| Хранение | Ведение архива данных | Зависит | Сервер с данными клиентов |
| Использование | Применение в целях обработки | Да | Рассылка писем, анализ поведения |
| Передача | Отдача другому лицу | Да, в большинстве | Подрядчик, аналитик, реклама |
| Удаление | Стирание или уничтожение | Зависит | Архивирование старых записей |
Обработка данных по 152-ФЗ — это не просто теория, это набор конкретных обязанностей для бизнеса. Если вы обрабатываете персональные данные, вы автоматически становитесь оператором. А оператор должен соответствовать требованиям.
Определить цель обработки — зачем вам эти данные. Не потому, что интересно, а для конкретной функции: доставка товара, расчёты с сотрудником, маркетинг. Если позже захотите использовать данные не по этой цели, нужно новое согласие.
Получить согласие — если обработка не попадает под исключения. Примеры исключений: данные сотрудника для трудового договора, мать и отец ребёнка в контактном листе школы, данные покупателя для доставки (если она обязательна для договора).
Регистрироваться в Роскомнадзоре — как правило, оператор обязан уведомить Роскомнадзор о начале обработки персональных данных граждан РФ (ст. 22 Закона № 152-ФЗ), за исключением случаев, перечисленных в ч. 2 этой статьи. Закон не применяется к обработке данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных (ч. 2 ст. 1 152-ФЗ). Подайте уведомление об обработке — это не сложно.
Защитить данные — организовать архив или базу так, чтобы посторонние не имели доступ. Это не означает, что нужна дорогая система; достаточно пароля, ограничения доступа, резервных копий.
Сохранить данные ровно столько, сколько нужно — есть сроки хранения. Для одних данных — пока действует договор, для кадровых документов срок зависит от вида документа и определяется архивным законодательством (ст. 22.1 Закона № 125-ФЗ и приказ Росархива № 236); единого трёхлетнего срока для всех трудовых данных нет. Персональные данные, для которых срок хранения законом не установлен, нужно уничтожить в течение 30 дней после достижения цели обработки.
Если вы не соответствуете требованиям, Роскомнадзор может выписать предписание. А если проигнорируете предписание — штраф или даже блокировка сайта. Это не запугивание: это просто реальность.
Начните с инвентаризации данных, определите цели обработки, подготовьте согласия и регистрацию в Роскомнадзоре. Поможем разобраться.
Здесь важно разобраться: согласие не требуется во всех случаях. Закон перечисляет ситуации, когда обработка идёт без согласия:
— Выполнение трудового договора (данные сотрудника для зарплаты, налогов, кадрового учёта). — Выполнение гражданско-правовых обязательств (доставка товара, оказание услуги). — Исполнение требований закона или суда (налоговая проверка, юридические документы). — Защита жизни и здоровья человека (скорая помощь, спасатели). — Выполнение задач в интересах общества (например, организация спасает людей при ЧП). — Законная деятельность органов власти.
Во всех остальных случаях нужно согласие. Если вы хотите отправлять рассылку, использовать данные в маркетинге, делиться информацией с третьей стороной (не подрядчиком) — согласие обязательно. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным; оно может быть дано в любой форме, позволяющей подтвердить факт его получения (письменная форма обязательна лишь в случаях, прямо предусмотренных законом, например для специальных категорий данных), и оформляется отдельно от иных документов (ст. 9 152-ФЗ). Если клиент просто оставил данные в форме, это не значит, что согласился на рассылку. Нужно отдельное согласие именно на рассылку.
Вот тут часто допускают ошибки. Человек заполнил форму заказа — согласился ли он на маркетинг? Нет. Согласился ли он на передачу данных рекламной сети? Тоже нет. Согласие должно быть конкретным и предметным, а для разных целей обработки, как правило, требуются отдельные согласия (например, исполнение договора и рекламные рассылки). Если обработка необходима для исполнения договора или есть иное правовое основание, отдельное согласие не нужно; обязательно оно, например, на распространение персональных данных (ст. 10.1 152-ФЗ). Готовые документы и согласия помогут организовать это правильно.
Используйте чек-лист для самостоятельной проверки: сопоставьте сайт, сведения в реестре Роскомнадзора, документы и фактические процессы работы с персональными данными.
Роскомнадзор проверяет компании плановыми проверками и по жалобам. Если обнаружат нарушения, выпишут предписание. Если предписание проигнорировать — штраф. Размеры штрафов зависят от серьёзности нарушения и размера компании. Штрафы за нарушения в сфере персональных данных зависят от вида нарушения (ст. 13.11 КоАП РФ) и размера компании.
Кроме штрафа Роскомнадзор может выписать предписание на исправление, блокировать сайт, или передать дело в прокуратуру. Ещё может быть гражданский иск от самого человека, если его данные использовали незаконно и он понёс убытки.
А ещё репутационный риск. Если данные клиента утекут, это будет стресс и для них, и для вас. Люди заметят, что их данные работают в интернете, и потеряют доверие. Если вы собираете данные на сайте и не защитили их от взлома — это неприятно и дорого.
Один момент, который часто упускают: если вы передали данные подрядчику без договора или на плохих условиях, и он их потерял — ответственность несёте вы. Подрядчик (например, сервис аналитики на сайте) — это не ваше лицо, но это ваш риск.
Шаг 1. Инвентаризация. Поймите, какие данные вы собираете. Имена, телефоны, почты, IP-адреса, информацию о покупках. Даже если это бумажные журналы — это данные. Даже если это аналитика на сайте (Google Analytics, Яндекс.Метрика) — это тоже персональные данные (IP, cookie).
Шаг 2. Определение целей. Зачем вы их собираете? Доставка, связь, маркетинг, аналитика. Каждая цель — отдельное согласие, если нет исключений. Обработка для маркетинга и обработка для операционных целей — это разные вещи.
Шаг 3. Проверка согласий. Есть ли у вас письменные согласия на каждую цель? Если нет — нужно привести процесс в порядок. Проверьте, что каждый пункт в согласии ясен и конкретен.
Шаг 4. Регистрация в Роскомнадзоре. Если вы обрабатываете данные граждан РФ — подайте уведомление об обработке. Это не сложно, но обязательно. Нельзя ждать проверки. Как правило, уведомление нужно подавать и ООО, и ИП, если обработка не подпадает под исключения из ч. 2 ст. 22 152-ФЗ.
Шаг 5. Защита данных. Убедитесь, что доступ ограничен. Если это компьютер — пароль, если база — разграничение прав доступа, если бумаги — закрытый шкаф. Данные должны быть защищены от случайного доступа и от хакеров.
Если вы ИП или малый бизнес, сервис помогает подготовить документы и уведомление. Не нужно разбираться во всех деталях самостоятельно — аналитик посмотрит на ваш процесс и поддержит.
Подробнее по теме: Аудит персональных данных по 152-ФЗ | Роском 24.
Нет, обработка персональных данных сама по себе не преступление. Это обычная часть бизнеса. Данные о национальной принадлежности, религиозных и политических взглядах, как правило, можно обрабатывать только с письменного согласия субъекта или при иных законных основаниях (ст. 10 152-ФЗ); за нарушение возможна ответственность, вид которой зависит от обстоятельств (административная, а в отдельных случаях уголовная), но называть саму обработку без согласия преступлением в общем виде некорректно. Если вы обрабатываете данные честно, согласно закону — это законно.
Как правило, оператор обязан уведомить Роскомнадзор о начале обработки персональных данных граждан РФ (ст. 22 Закона № 152-ФЗ), за исключением случаев, перечисленных в ч. 2 этой статьи. Закон не применяется к обработке данных физическими лицами исключительно для личных и семейных нужд (например, список гостей на свадьбу), если при этом не нарушаются права субъектов персональных данных (ч. 2 ст. 1 152-ФЗ). Если это деятельность для бизнеса — ООО, ИП, самозанятые — уведомление, как правило, нужно. Объём данных не имеет значения. Даже если вы обрабатываете контакты пяти клиентов — это уже персональные данные.
Это зависит от целей обработки. Если это кадровые документы — срок зависит от вида документа и определяется архивным законодательством (ст. 22.1 Закона № 125-ФЗ и перечень, утверждённый приказом Росархива от 20.12.2019 № 236); единого трёхлетнего срока для всех трудовых данных нет. Если это данные клиента для доставки — столько, сколько действует договор, потом можно удалить. Если это маркетинговые данные и человек не купил ничего — можно хранить столько, сколько вы планировали использовать для маркетинга, но не больше чем разумный срок. Лучше установить чёткую политику и придерживаться её.
Подрядчик — это компания или сервис, которому вы доверяете обрабатывать данные по вашему заданию. Например, сервис рассылки, хостинг, аналитика сайта (Яндекс.Метрика, Google Analytics), система CRM. Если вы отдали данные подрядчику, вы несёте ответственность за то, как он их обрабатывает. Важно подписать договор обработки данных и убедиться, что подрядчик обеспечивает защиту и не передает данные третьим лицам.
Как правило, передача персональных данных третьим лицам требует согласия субъекта, оформленного отдельно от других документов (ст. 9 152-ФЗ), но не во всех случаях. Если человек согласился на обработку вашей компанией, это не означает согласие на передачу его данных другой компании. Исключение — если вы подрядчик и компания, которая передала вам данные, уже получила согласие. При поручении обработки по договору (ч. 3 ст. 6 152-ФЗ) отдельное согласие на передачу может не требоваться, а закон не обязывает оформлять отдельное согласие на каждого получателя или каждую цель. Продажа или передача списков контактов — это нарушение.
Да, продажа списка — это передача персональных данных. Если люди в списке не согласились на передачу их данных третьей стороне, это нарушение. Каждый пункт согласия должен быть явным. «Я согласен на обработку» не равно «Я согласен на продажу моих данных маркетологам». Это распространённая ошибка, которая ведёт к штрафам.
Штрафы за нарушения в сфере персональных данных зависят от вида нарушения (ст. 13.11 КоАП РФ) и размера компании. Кроме штрафа Роскомнадзор может выписать предписание на исправление, блокировать сайт, или передать дело в прокуратуру. Ещё может быть гражданский иск от самого человека, если его данные использовали незаконно и он понёс убытки.
Аудит сайта включает проверку форм, согласий, политики конфиденциальности, cookie, аналитических сервисов и виджетов. Это поверхностная проверка соответствия требованиям закона в части, связанной с сайтом. Если нужна полная проверка процессов, реестров, доступов сотрудников и подрядчиков — это аудит всего бизнеса.
---
Если вы не уверены, соответствуете ли требованиям 152-ФЗ, начните с анкеты. Расскажите, какие данные вы обрабатываете и зачем. На основе этого подготовим уведомление в Роскомнадзор или пакет документов для вашего бизнеса. Заполните заявку — первый анализ бесплатный.
Расскажите, какие данные обрабатывает ваш бизнес. Мы подготовим уведомление в Роскомнадзор и документы, необходимые для соответствия требованиям закона.
