Как снизить риски работы с персональными данными

Содержание

Вопросы снижения рисков при работе с персональными данными. Мы выделили три группы специальных способов, которые позволяют так или иначе снизить эти риски.

Упрощение клиентского пути

Очень часто, когда мы проводим аудит той или иной компании, видим, что предприниматель — оператор персональных данных — сам не знает, зачем он собирает такой набор данных. Например, для консультации или обратного звонка достаточно просто имени и телефона. Не обязательно собирать почту целиком, какие-нибудь ники, ссылки и так далее.

Поэтому первое, что мы рекомендуем, — пройтись по клиентскому пути, минимизировать набор собираемых данных и упростить все формы сбора. Достаточно часто на сайте встречается несколько форм сбора, которые по факту дублируют друг друга и не имеют отдельного смысла, но занимают место и создают на сайте загруженность. Чаще всего это происходит потому, что набор форм просто накапливается, а за UX на сайте никто не следит. Такой простой аудит позволяет и улучшить предпринимательскую часть бизнеса, и защитить вас как оператора персональных данных.

От согласия — к другим основаниям обработки

Второй момент: по итогу аудита всё равно остаются зоны, в которых обработка персональных данных нужна на 100% — регистрация личного кабинета, использование функций сервиса или приложения, непосредственно использование сайта тем или иным способом.

Эти зоны очень часто воспринимаются как зоны простых решений: раз мы где-то собираем данные — значит, нужен чекбокс с согласием. И в каждой такой точке появляется чекбокс, чекбокс, чекбокс. Это не всегда правильно. Одно из важных нововведений, о котором в прошлом году говорил Роскомнадзор, — сам регулятор рекомендует уходить от согласия как правового основания обработки персональных данных к другим основаниям, например к обработке персональных данных по договору.

Кто вы — оператор или обработчик

Третий момент — пожалуй, самая сложная, глубинная часть, в которой нужен профессиональный взгляд и в которой самостоятельно оператору будет сложно разобраться: определение своей роли — оператор вы или обработчик.

Достаточно часто, если вы получаете данные из колтрекинга, из холодных звонков, из маркетинговых агентств, которые работают на вас, вы не являетесь оператором этих данных — вы обработчик. При системном подходе к выстраиванию этих ролей ответственность можно значительно снизить: подписав специальные документы, например поручение на обработку, вы снимаете с себя большой набор требований, которые предъявляются к оператору, и остаётесь просто обработчиком.

Это, пожалуй, одна из самых важных частей нашей работы при ведении проекта — постараться минимизировать ответственность, а если есть вендоры, которые предоставляют услуги, выстроить с ними отношения так, чтобы переложить ответственность на них или хотя бы разделить её с ними.

• Документы для цифровой платформы: что должны составить юристы?
• Аудит IT деятельности: что видит ФНС, когда вы применяете льготы
• Все статьи колонки "Налоговые риски IT-компаний — авторская колонка Кирилла Тена"