Персональные данные клиентов: что бизнесу нужно знать про 152-ФЗ
Любая форма на сайте, переписка в мессенджере и строчка в CRM — это уже обработка персональных данных. Разбираем без юридического тумана: что закон считает данными, что нужно иметь бизнесу, который собирает заявки, и где чаще всего прокалываются. Это обзор для ориентации, а не юридическая консультация — по спорным вопросам идите к профильному юристу.
Что считается персональными данными
Персональные данные — это любая информация, относящаяся к определённому человеку. Не только паспорт: имя вместе с телефоном, email, история покупок, привязанная к клиенту, записи разговоров, переписка в мессенджере. Если по набору сведений можно понять, о ком речь, — это персональные данные со всеми вытекающими обязанностями.
Отдельная категория — специальные данные: здоровье, вероисповедание, судимости. Их обрабатывать сложнее, а требования строже. Для медицинских клиник, стоматологий и реабилитационных центров это не абстракция, а ежедневная работа: диагноз в карточке пациента — как раз такой случай.
Что нужно иметь бизнесу
- —Политику обработки персональных данных — опубликованную и доступную с любой страницы, где есть форма
- —Согласие пользователя на обработку — осознанное действие, а не заранее проставленная галочка
- —Уведомление в Роскомнадзор о том, что вы обрабатываете данные
- —Понимание, где данные физически хранятся и кто из сотрудников имеет к ним доступ
Ключевой момент про согласие: галочка, проставленная по умолчанию, согласием не считается. Пользователь должен поставить её сам, а рядом — понятная формулировка и ссылка на политику. Это самая частая и самая легко устранимая ошибка на сайтах услуг.
Где чаще всего прокалываются
Первое — форма есть, политики нет или ссылка на неё битая. Второе — данные клиентов лежат в личных таблицах и переписках сотрудников: уволился менеджер, и база ушла вместе с ним, а вы даже не знаете, у кого что было. Третье — рассылки по базе, которая собиралась без согласия на рекламные сообщения: согласие на обработку заявки и согласие на маркетинг — это разные вещи.
Четвёртое, о чём вспоминают в последнюю очередь, — подрядчики. Если данными клиентов оперирует внешний колл-центр, маркетинговое агентство или сервис автоматизации, отношения с ними нужно оформлять, а не просто выдавать доступ к CRM.
Что это значит для автоматизации
Автоматизация не создаёт новых юридических обязанностей — она делает существующие заметнее. Когда заявки со всех каналов собираются в одном месте, а не расползаются по личным перепискам, становится видно, какие данные у вас есть, кто их видит и что с ними происходит. Это как раз то состояние, в котором на вопрос проверяющего можно ответить, а не гадать.
Практический ориентир: собирайте минимум необходимого, храните в контролируемом месте, разграничивайте доступ сотрудников и умейте удалить данные по запросу клиента. Как навести порядок в самом потоке заявок, разбирали в материале регламент обработки заявок.
Порядок в данных — это не про страх перед проверкой, а про то, что вы вообще знаете, что у вас есть и кто это видит.
Частые вопросы
Да. Как только вы собираете имя и телефон, вы обрабатываете персональные данные. Политика должна быть опубликована, а ссылка на неё — доступна рядом с формой.
Галочка нужна, но она не должна быть проставлена заранее: согласие — это осознанное действие пользователя. Рядом должна быть понятная формулировка и работающая ссылка на политику.
Только если получено согласие именно на рекламные сообщения. Согласие на обработку данных для выполнения заказа не даёт права слать маркетинг — это разные основания.
Покажем на бесплатном аудите, где ваш бизнес теряет заявки и деньги, и что даст быстрый рост.
Получить бесплатный аудит