Персональные данные: как организовать обработку и хранение по 152-ФЗ

Политика конфиденциальности на сайте и галочка в онлайн-форме еще не означают, что компания соблюдает 152-ФЗ. Ведь персональные данные часто продолжают обрабатываться в Excel или онлайн-таблицах, почте, мессенджерах и других сервисах. Работа с каждым каналом требует проверки.

Кроме того, в компаниях не всегда уделяют внимание информационной безопасности. Так, сотрудники часто имеют неограниченный доступ к важным сведениям, могут сохранять файлы на личные устройства и работать с ними через незащищенные сети. Все это повышает риск утечек и штрафов за несоблюдение законодательства.

В этой статье разбираем, какие требования 152-ФЗ должна выполнять компания, что проверить в IT-инфраструктуре и как выстроить системную работу с персональными данными в Битрикс24.

Персональные данные (ПДн) — это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу. Такая формулировка закреплена в пункте 1 статьи 3 Федерального закона № 152-ФЗ «О персональных данных».

Иными словами, персональными могут быть не только паспортные данные или ФИО. К ним относится любая информация, по которой можно установить конкретного человека — самостоятельно или в сочетании с другими сведениями.

Например:

• Контактные данные — номер телефона, email, домашний адрес
• Идентификационные сведения — ФИО, дата рождения, паспортные данные, СНИЛС, ИНН
• Рабочая информация — должность, место трудоустройства, резюме
• Данные о взаимодействии с компанией — история заказов и обращений, записи звонков, переписка, сведения о заявках
• Цифровые идентификаторы — IP-адреса, cookie и данные об активности на сайте

Важно: закон не устанавливает конкретный перечень персональных данных. Даже отдельные сведения, которые сами по себе не раскрывают личность, могут стать персональными в сочетании с другой информацией. Например, номер телефона или история заказа, если их можно связать с конкретным клиентом.

Также стоит добавить два уточнения:

• Персональные данные относятся к физическим лицам, а не организациям. Например, название и юридический адрес компании сами по себе не являются ПДн. Но сведения о конкретном сотруднике уже могут ими быть.
• Не каждый IP-адрес или файл cookie автоматически считается персональными данными. Это также зависит от того, позволяет ли такая информация прямо или косвенно определить конкретного человека.

Персональные данные редко собраны в одном месте. В зависимости от задач компании они могут одновременно обрабатываться в нескольких системах и сервисах, среди них:

• CRM, ERP и HRM-системы — контакты клиентов, история сделок и обращений, резюме, кадровые сведения
• Электронные таблицы — списки клиентов, сотрудников, зарплат, контактов и заявок
• Корпоративная почта, соцсети, мессенджеры — переписка, договоры, сканы документов, файлы и контактные данные
• Облачные диски и папки на компьютерах — копии документов, базы контактов, отчеты и выгрузки из других систем
• Сайты и онлайн-формы — сведения, которые посетители оставляют при регистрации, оформлении заказа или отправке заявки
• Сервисы телефонии, рассылок и аналитики — контактные номера, записи разговоров, адреса электронной почты и данные о взаимодействии

Само по себе использование нескольких инструментов не означает нарушение закона. Риски возникают, когда компания не контролирует весь путь персональных данных: не знает, где хранятся оригиналы и копии, кто может их просматривать и изменять, кому они передаются и когда должны удаляться.

На практике это создает несколько типичных рисков:

• Несанкционированный доступ — сотрудники видят больше данных, чем нужно для работы, а доступы уволенных коллег или подрядчиков могут оставаться активными
• Утечки информации — файлы пересылают в личные мессенджеры, сохраняют на домашних компьютерах и мобильных устройствах, копируют на внешние носители
• Потеря данных — важные сведения остаются в личных таблицах и переписках, а при увольнении сотрудника или поломке устройства компания может лишиться к ним доступа
• Нарушение требований 152-ФЗ — компания не может подтвердить законность обработки, обеспечить безопасность данных, проконтролировать сроки хранения или выполнить требования об их уничтожении

Поэтому важно знать, где хранятся и обрабатываются персональные данные в вашей компании. При этом также стоит контролировать, кто из сотрудников и для каких целей работает с этими сведениями. В противном случае, если пустить все на самотек, растет риск штрафов и попадания конфиденциальной информации к мошенникам.

152-ФЗ «О персональных данных» — закон, который устанавливает правила сбора, использования, хранения и передачи сведений о клиентах. Его главная цель — защитить права и свободы человека при обработке сведений о нем, в том числе право на неприкосновенность частной жизни и личную тайну. Это закреплено в статье 1.

Персональные данные (ст. 3, п. 1) — это любая информация, которая прямо или косвенно относится к конкретному человеку или позволяет его определить. Здесь имеется в виду не только паспорт: достаточно просто имени с телефоном.

Обработка (ст. 3, п. 3) — любое действие с этими данными: сбор, запись, накопление, хранение, изменение, передача, удаление. То есть закон начинает действовать, как только вы просто сохранили контакт клиента.

Оператором (ст. 3, п. 2) называется тот, кто организует обработку и решает, зачем она нужна и какие данные собирать. Это любая организация или предприниматель, а не только крупные компании, госучреждения и банки.

Например, компания становится оператором персональных данных, когда собирает и хранит:

• Имена и телефоны клиентов, адреса электронной почты
• Данные покупателей и историю их заказов
• Сведения о сотрудниках и соискателях
• Контакты представителей заказчиков и партнеров, если по ним можно определить конкретного человека

Не имеет значения, где именно находятся сведения: в CRM, Excel, корпоративной почте или бумажной картотеке. Закон распространяется на цифровые и физические документы, если взаимодействие с ними организовано так, что позволяет искать и использовать данные по определенной системе (ст. 1, ч. 1).

Статья 1, часть 2 152-ФЗ устанавливает несколько исключений. Закон не распространяется на обработку персональных данных:

• Физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права других людей
• При организации хранения и использования документов Архивного фонда РФ и других подобных документов в соответствии с законодательством об архивном деле
• Если сведения отнесены к государственной тайне в установленном порядке

Для коммерческой деятельности эти исключения ничего не меняют. Если компания собирает контакты клиентов, ведет базу покупателей, хранит резюме или кадровые документы, она должна учитывать требования закона. Даже небольшой объем данных не освобождает от его соблюдения.

За несоблюдение требований закона предусмотрена административная ответственность по статье 13.11 КоАП РФ «Нарушение законодательства Российской Федерации в области персональных данных». Размер штрафа зависит от характера нарушения, количества затронутых субъектов и того, совершалось ли оно повторно.

Вот несколько примеров санкций для организаций:

Размеры штрафов показывают, что требования 152-ФЗ — не формальность. Если компания работает с персональными данными клиентов и сотрудников, ей необходимо контролировать весь процесс: от получения сведений до хранения и уничтожения информации.

Закон не дает готового списка мер: оператор сам определяет, какие действия для соблюдения установленных норм необходимы и достаточны (ст. 18.1, ч. 1). Среди основных и универсальных шагов выделим несколько, которые следует выполнить любому бизнесу.

Определите, какие сведения о клиентах, сотрудниках и партнерах собирает компания, где они хранятся, кто имеет к ним доступ и кому они передаются. Проверить нужно не только CRM и HRM, но и онлайн-таблицы, почту, мессенджеры, облачные диски.

Для каждой категории данных установите, зачем она нужна и на каком основании обрабатывается. Не собирайте лишнюю информацию и не используйте ее для целей, не предусмотренных изначально (ст. 5−6 152-ФЗ).

Разработайте политику обработки персональных данных и внутренние регламенты, определите порядок доступа, хранения и удаления сведений. Назначьте ответственного за организацию обработки ПДн (ст. 18.1 и 22.1 152-ФЗ).

При сборе информации о гражданах РФ необходимо соблюдать требования локализации баз данных (ст. 18, ч. 5). Если вы поручаете обработку внешнему сервису, проверьте и закрепите обязанности исполнителя в договоре (ст. 6, ч. 3).

Предоставляйте сотрудникам только те права, которые необходимы для работы. Контролируйте действия пользователей, защищайте устройства и каналы передачи данных, регулярно пересматривайте актуальность выданных доступов (ст. 19 152-ФЗ).

Данные уничтожают в течение 30 дней после достижения цели (ст. 21, ч. 4), факт фиксируют актом (приказ Роскомнадзора № 179). Не храните персональные данные дольше, чем этого требуют цели обработки или закон.

Уведомление о намерении обрабатывать ПДн подают до начала процесса (ст. 22). Также нужно регулярно проверять соблюдение внутренних регламентов и заранее определить порядок действий при утечках и других инцидентах (ст. 18.1 и 21).

Таким образом, безопасное хранение персональных данных — это система организационных и технических мер. Чем меньше разрозненных хранилищ и неконтролируемых копий файлов используют в компании, тем проще управлять доступом, защищать информацию и выполнять требования закона.

Когда ПДн хранятся в десятках разных сервисов, контролировать их обработку и защищать от утечек становится сложнее. Битрикс24 помогает навести порядок: объединить клиентскую и корпоративную информацию в одном пространстве, разграничить права доступа, отслеживать действия сотрудников.

Разбираем, какие возможности платформы помогают компании выполнять требования 152-ФЗ.

В Битрикс24 можно запрашивать согласия непосредственно в тех каналах, через которые компания получает данные клиентов: на сайте, в онлайн-формах и мессенджерах. Полученные подтверждения сохраняются в CRM, где можно проверить, когда и через какой канал клиент дал согласие.

→ Через CRM-формы

Если клиент оставляет заявку на сайте или заполняет другую CRM-форму, добавьте в нее соглашение на обработку персональных данных. Для этого:

• Перейдите в «CRM» → «Продажи» → «Каналы продаж» → «CRM-формы» и откройте либо создайте нужную форму
• В каждую форму по умолчанию добавляется пункт для сбора согласий на обработку ПДн. Его можно скорректировать на вкладке «Правовые документы»

→ В Открытых линиях

Если клиенты обращаются в компанию через подключенные мессенджеры и соцсети, запрос согласия можно настроить отдельно для каждой Открытой линии и каждого канала. Для этого:

• Перейдите в «CRM» → «Клиенты» → «Контакт-центр» и выберите нужный канал

→ Проверить список полученных от пользователей согласий можно следующим образом:

Через CRM-формы:

• Перейдите в раздел «CRM» → «Продажи» → «Управление продажами» → «Центр продаж» → «Соглашения»
• Откройте пункт «Список согласий»

Через Открытые линии:

• Перейдите в «CRM» → «Клиенты» → «Контакт-центр» → Нужный канал → «Настроить»

Данные облачных Битрикс24 в доменной зоне .ru размещаются в российских дата-центрах АО «Корп Софт» и ООО «Цифровое облако». Это позволяет автоматически выполнять требование о локализации баз данных при сборе персональной информации граждан РФ (ст. 18, ч. 5 152-ФЗ) в рамках корпоративных порталов.

В коробочной версии Битрикс24 компания самостоятельно выбирает, где развернуть систему: на собственном сервере или у хостинг-провайдера. Это позволяет определить, в какой стране будут храниться данные, кто получит доступ к серверной инфраструктуре и как организовать ее защиту.

При этом ответственность за настройку сервера, резервное копирование, обновления и другие меры безопасности лежит на самой организации или привлеченном ею подрядчике.

В CRM можно создавать роли для разных отделов и сотрудников, определять, какие данные они будут иметь возможность просматривать, изменять, удалять и экспортировать. Например, менеджеры могут работать только со своими сделками, а руководитель отдела — видеть данные всей команды. Это позволяет ограничить доступ к информации в соответствии с рабочими обязанностями.

В Битрикс24 предусмотрено несколько уровней технической защиты данных:

• Шифрование информации. Данные передаются по защищенному соединению SSL. Это снижает риск утечек, например при работе через публичную сеть Wi-Fi.
• Двухфакторная аутентификация. При входе сотрудник дополнительно подтверждает личность через мобильное приложение, СМС или email. Даже если пароль станет известен постороннему, этого будет недостаточно для подключения.
• Веб-фаервол (WAF). Анализирует входящие запросы онлайн, чтобы своевременно блокировать подозрительный трафик и попытки атак на веб-приложение.
• Резервное копирование файлов. Бэкапы документов автоматически сохраняются в облаке и остаются доступными на протяжении 7 дней, поэтому их можно восстановить при сбоях или заражении устройства вирусами.
• Ограничение доступа по IP-адресам. Администратор может разрешить вход сотрудникам только с определенных IP-адресов. Это помогает ограничить доступ к корпоративным данным из посторонних сетей.

По закону оператор персональных данных — это организация или физическое лицо, которые определяют, зачем обрабатывается информация, какие именно сведения собираются и какие действия с ними выполняются. Такое определение дано в п. 2 ст. 3 152-ФЗ.

Таким образом, если вы используете Битрикс24 для работы с клиентами, сотрудниками и партнерами, оператором остается именно ваша компания или ИП. Платформа в рамках облачной версии позволяет соблюдать требования о локализации, но по закону не отвечает за то, с какой целью и какие именно данные вы решаете обрабатывать и хранить.

Регулируется это следующими положениями в Поручении на обработку персональных данных компании «1С-Битрикс»:

• Оператором выступает компания-клиент либо любое иное лицо, действующее от его имени
• Обработчиком является компания «1С-Битрикс», которая получает данные для выполнения определенных технических операций, в частности хранения и передачи информации по указанию оператора
• Поручение вступает в силу с момента заключения Лицензионного соглашения между вашей компанией и «1С-Битрикс»
• Оператор несет ответственность за все действия, совершенные в рамках соответствующей учетной записи, а также за последствия этих действий
• Ответственность перед клиентами, в том числе за действия обработчика, по закону несет оператор. Однако обработчик несет ответственность перед оператором в рамках обозначенных в договоре условий сотрудничества

Согласно ч. 1 ст. 22 152-ФЗ, оператор обязан направить уведомление в Роскомнадзор до начала обработки персональных данных. После получения сведений об операторе ведомство вносит их в реестр.

В свою очередь, согласно Поручению на обработку персональных данных, оператором выступает компания-клиент либо любое иное лицо, действующее от его имени. Поэтому обязанность уведомить Роскомнадзор лежит именно на вас.

Требования к оператору не ограничиваются отправкой первого уведомления:

• Если сведения, указанные в нем, изменились, нужно сообщить об этом Роскомнадзору не позднее 15-го числа месяца, следующего за месяцем изменений
• Если компания прекращает обработку персональных данных, уведомить ведомство об этом необходимо в течение 10 рабочих дней (ч. 7 ст. 22 152-ФЗ)

Соблюдение 152-ФЗ — это постоянная работа: компания должна знать, какие персональные данные собирает, зачем и на каком основании их использует, где хранит, кому предоставляет доступ и когда удаляет.

Битрикс24 позволяет решить часть этих задач. Здесь вы можете вести работу с данными в рамках одной платформы, собирать и фиксировать согласия клиентов, разграничивать права сотрудников и использовать механизмы технической защиты.

Кроме того, в облачной версии Битрикс24 данные порталов в доменной зоне .ru размещаются в российских дата-центрах. Это позволяет обеспечить локализацию баз данных без самостоятельного поиска и настройки серверной инфраструктуры.

При этом ни одна версия платформы не гарантирует автоматического соответствия всем требованиям 152-ФЗ. Законность обработки, правовые основания и взаимодействие с Роскомнадзором остаются ответственностью компании-пользователя Битрикс24.

Нужна помощь с внедрением и настройкой Битрикс24? Пожалуйста, оставьте заявку в форме ниже. Будем рады ответить на возникшие вопросы и взять на себя всю техническую часть, чтобы превратить ваш корпоративный портал в мощный инструмент для развития компании.