Без рисков и штрафов: собираем согласия на обработку персональных данных правильно

Содержание

• Что такое “персональные данные” и их обработка?
• Согласие на обработку данных ≠ согласие на получение рекламы
• Что входит в согласие на обработку персональных данных
• Избегаем штрафов и недовольств со стороны клиентов
• Мы получили жалобу, что делать?
• Заключительные мысли

Пока все активно обсуждают новые законы о маркировке рекламы, не стоит забывать о правилах сбора согласий и обработки персональных данных (ПД). Штрафы за неверные действия, такие как рассылка сообщений без согласия пользователя, исчисляются десятками и сотнями тысяч и представляют реальный риск для компании. Сегодня обсудим все тонкости и нюансы сбора согласий и обработки персональных данных, чтобы помочь вам соблюсти правила и избежать жалоб и недовольства клиентов.

К персональным данным относятся любые сведения, прямо или косвенно помогающие идентифицировать человека. Это могут быть ФИО, адрес проживания, номер телефона, фотографии, но так же к ПД относится такая информация как религиозные взгляды, профессия и доходы.

Обработкой считаются любые действия с персональными данными, например сбор, запись, передача, хранение, извлечение, изменение, уточнение, анализ, и даже удаление. По общему правилу, обработка персональных данных может осуществляться с согласия субъекта персональных данных и должна быть немедленно прекращена по требованию.

Компаниям важно помнить, что клиенты, дающие согласие на обработку персональных данных, например при получении медицинских услуг, не дают автоматически согласия на рекламные рассылки и звонки от медцентра. Для этого потребуется отдельное согласие.

Модуль верификации

В форму согласия на обработку ПД необходимо включить пункты, которые предусмотрены законом. В некоторых случаях форма согласия обязательно должна быть письменной. Но если говорить о согласии в электронном виде (клиент заходит на сайт и, например, у формы обратной связи ставит «галку» напротив текста «Я соглашаюсь с политикой конфиденциальности и предоставляю [название компании] согласие на обработку моих персональных данных»), то важно не забывать добавлять на сайт политику конфиденциальности. При этом в политику  нужно включить следующие основные пункты:

1. Цели обработки ПД (компания не может обрабатывать ПД в целях рекламных рассылок , если она не указала эти действия).
2. Сроки обработки, в т.ч. хранения персональных данных.
3. Перечень ПД, которые будут собираться и обрабатываться.
4. Список действий, которые будут осуществляться с данными, например анализ или передача третьим лицам.
5. Наименование оператора ПД, адрес электронной почты для связи с оператором.

Ниже собрали советы, которые помогут оптимизировать процесс, избежать ошибок и рисков штрафов:

• Обязательно храните электронные или бумажные экземпляры согласий вплоть до их отзыва. В случае спорной ситуации вы легко сможете доказать, что получили все необходимые согласия и не нарушили закон. Не забудьте, что форма должна позволить идентифицировать клиента.
• Если согласие на сбор персональных данных даётся в электронном виде, укажите в тексте согласия ссылку на политику конфиденциальности.
• Укажите в политике конфиденциальности программное обеспечение (ПО), с помощью которого будут обрабатываться данные, если вы пользуетесь автоматизацией или планируете начать в ближайшем будущем.
• Добавьте возможность отозвать согласие на получение рекламы в самой форме на получение согласия. Не стоит бояться, что клиенты будут массово отзывать свои подписи. Скорее наоборот, эта опция добавит пользователям уверенности в вашей компании как в благонадёжной, не пытающейся никого обмануть.
• Убедитесь, что алгоритм исключения пользователей из базы налажен и работает исправно. Простейший способ получить штраф – продолжать писать и звонить клиенту, когда он отозвал согласие на обработку данных или согласие на получение рекламы. Убедитесь, что рабочий процесс подразумевает быстрое и простое исключение таких клиентов из базы.
• Пропишите все каналы, которые будут использоваться для коммуникаций и добавьте формулировку, дающую вам гибкость, например “включая, но не ограничиваясь”.
• Добавьте в согласие на обработку ПД возможность выбрать те типы коммуникаций, которые вы планируете осуществлять. Это могут быть, например, оповещения по статусу заказов и программы лояльности, информация о скидках, обратная связь. Давая пользователю выбрать подходящие ему опции, вы значительно снизите риски негатива в будущем.
• Подготовьте своих сотрудников. Ознакомьте всех с принципами работы с ПД, желательно предоставив документ-справку с детальными подробностями. Ограничьте доступ к ПД, чтобы исключить случайности и злоупотребления.

Подключить шлюз для безопасной маршрутизации данных

Вы делали всё по правилам, но всё равно получили жалобу или запрос от Федеральной антимонопольной службы (ФАС)? Не беда, следуйте простому порядку действий и не забывайте об установленных сроках.

Получив жалобу, ФАС может либо лично прийти с запросом в вашу компанию, либо обратиться к оператору сотовой связи, если клиенту поступали нежелательные рассылки по СМС.

В первом случае, составление ответа следует поручить юристу, который предоставит:

• Подтверждение получения согласия (сканы либо лог-файлы при получении согласия в электронном виде).
• Ссылки на законы, подтверждающие правомерность ваших действий.

Если ФАС удовлетворяется официальным ответом, рассмотрение жалобы прекращается. Если же нет, служба может возбудить административное дело и запрашивать дополнительные пояснения. Итогом такого дела может стать штраф за рассылку рекламы без согласия клиента (ст. 14.3 Кодекса об административных правонарушениях).

Если же запрос от ФАС поступает в компанию, осуществляющую рассылку от вашего лица, то последняя предоставляет согласие клиента оператору связи.

Соблюдать правила по сбору согласий и обработке персональных данных не так сложно, главное, проявить внимание на этапе составления форм согласий и политики конфиденциальности. Если вы делаете это впервые, обязательно заручитесь поддержкой юриста и посоветуйтесь с опытными коллегами из индустрии.

Большинство рисков можно избежать, помня о простых правилах:

1. Согласие на обработку данных и согласие на получение рекламных сообщений – не одно и то же.
2. Нельзя использовать заранее проставленные галочки в чекбоксах согласия.
3. Важно предоставлять возможность отозвать согласие на обработку ПД и согласия на получение рекламы;  возможность отписаться от всех рассылок.
4. Собирайте только те данные, которые вам необходимы для осуществления деятельности. Больше данных – больше рисков.
5. Храните подтверждения согласий в формате сканов или лог-файлов.

Команда I-Digital собрала для вас все основные правила и советы по сбору согласий и обработке персональных данных. Ещё мы запускаем быстрые и эффективные рассылки. Обратитесь к нам сегодня, чтобы получить бесплатное демо и узнать подробности о сервисе.