Кому нужны документы по персональным данным — и почему одного согласия мало

Персональные данные — сведения о прямо или косвенно определённом либо определяемом человеке. Это не только паспорт: имя с телефоном, адрес доставки, зарплата, резюме и история заказов тоже могут быть персональными данными. Общие реквизиты ООО сами по себе к ним не относятся, но контакты его директора и менеджеров требуют отдельной оценки.

Обработка начинается не с покупки CRM. Записать телефон в блокнот, сохранить переписку, открыть карточку клиента, передать адрес курьеру или удалить запись — действия с данными. Бумажная форма и отсутствие сайта не отменяют обязанности. Мастер, который принимает заявки в чате и выезжает по адресам клиентов, обрабатывает данные так же, как сервис с онлайн-записью.

Оператор определяет цели и порядок обработки. Обычно это организация, ИП или физлицо, собирающее сведения для своей работы. Облачная CRM может действовать по его поручению, но не принимает на себя все обязанности заказчика. Публичность контакта также не даёт безусловного права использовать его для любой цели, например включать в рекламную базу.

Исключение для личных и семейных нужд не распространяется автоматически на платные услуги. Статистика, которая не позволяет определить человека, может не являться персональными данными; однако обезличенный итоговый отчёт не доказывает, что при его подготовке не собирались идентификаторы посетителей.

Для записи на ремонт нужны контакт и время визита, для доставки — адрес. Копия паспорта обычно не нужна. Сведения, необходимые для заключения договора по инициативе клиента и его исполнения, могут обрабатываться на договорном основании. Согласие «на всё» не заменяет проверки цели и состава данных.

Рабочие контакты нельзя бессрочно хранить «на всякий случай». Договорные документы и базу для продвижения разделяют по цели, основанию и сроку. Рекламная рассылка бывшим клиентам не становится законной только потому, что они когда-то оплатили услугу. Публикация отзыва с именем или фотографии заказчика также требует отдельного основания.

Отсутствие формы не означает отсутствие обработки. Счётчик аналитики, вебвизор, чат и сторонние виджеты могут получать сведения о посетителях. Значение имеют состав данных, возможность идентификации человека и получатели. Политика должна описывать реальную работу инструментов, а не обещать отсутствие сбора при установленных счётчиках.

Заказ, доставка и реклама — разные цели. Для исполнения покупки используют необходимые сведения и подходящее основание; для рекламы проверяют предварительное согласие по статье 18 Закона о рекламе и требования статьи 15 Закона № 152-ФЗ. Роли курьера, банка и CRM определяются фактическими отношениями: не каждый получатель действует по поручению магазина.

Если аналитика работает на основании согласия, посетитель должен сделать выбор до начала такой обработки. Один баннер cookie не исправляет ни запуск счётчиков заранее, ни недостоверную политику. Для публикации отзыва с данными клиента отдельно оценивают требования к распространению; права на изображение человека также имеют значение.

Кадровый учёт, начисление зарплаты и обязательная отчётность во многом основаны на законе. Согласие не должно подменять эти основания. Публикация фотографии работника, сохранение резюме для будущих вакансий и доступ внешнего бухгалтера — отдельные ситуации, которые нельзя автоматически включить в обычный кадровый учёт.

Юридическое лицо назначает ответственного за организацию обработки, устанавливает применимые правила, ограничивает доступ по обязанностям и знакомит работников с этими правилами. После увольнения доступ закрывают, но документы не уничтожают все сразу: сроки зависят от вида документа и применимых требований к хранению.

Даже без покупателей-физлиц компания обычно хранит имена, телефоны и адреса почты представителей контрагентов. Если она дополнительно ведёт клиентскую базу заказчика, собственную обработку нужно отличать от обработки по его поручению.

Поручение по части 3 статьи 6 Закона № 152-ФЗ определяет данные, действия, цели, конфиденциальность и требования к защите. Общей фразы «стороны соблюдают законодательство» недостаточно. Нужно также понимать, кто имеет доступ к базе, как сообщается об инциденте и что происходит с копиями после прекращения договора.

Закон устанавливает обязанности, а не одинаковое число файлов для каждого бизнеса. Комплект ИП с записью на услуги отличается от комплекта работодателя с кадровой системой и видеонаблюдением. Не каждый документ юридического лица следует переносить на физлицо без проверки применимости.

Политика, согласие и уведомление Роскомнадзора не взаимозаменяемы. Политика информирует, согласие подтверждает волю человека, уведомление сообщает регулятору сведения об обработке. С 1 сентября 2025 года согласие оформляется отдельно от иных подтверждаемых или подписываемых документов и информации. Но необходимость согласия сначала проверяют по основанию конкретной обработки.

Главный риск шаблона — не чужое название в шапке, а чужая схема работы. Документ может обещать отсутствие передачи при подключённой CRM, не учитывать внешний доступ или содержать невыполнимые сроки удаления. Юридическая папка полезна только тогда, когда её правила соответствуют работе и исполняются.

По общему правилу статьи 22 Закона № 152-ФЗ уведомление подают до начала обработки. Небольшой оборот, отсутствие сотрудников, договорная работа и кадровый учёт сами по себе не дают общего освобождения. Старые рекомендации «для работников уведомление не нужно» нельзя использовать без проверки действующих норм.

Сохраняются специальные исключения, в частности для обработки исключительно без средств автоматизации. Если наряду с бумажными договорами используются электронная база, CRM или таблица клиентов, нельзя объявить всю обработку бумажной. Применимость исключения оценивают по фактическим операциям.

Уведомление — не разрешение на обработку и не проверка качества документов регулятором. Если обязательное уведомление не подано вовремя, поздняя подача необходима для исправления ситуации, но не гарантирует освобождения от ответственности за прошлое нарушение.

Единого штрафа «за отсутствие комплекта» нет. Статья 13.11 КоАП разделяет нарушения: недоступную политику, отсутствие обязательного письменного согласия, неподачу уведомления, нарушения при утечке. Важны конкретная обязанность, статус нарушителя, повторность и обстоятельства.

Для коммерческого юридического лица отсутствие необходимого доступа к политике может повлечь штраф 30–60 тысяч рублей по части 3, отсутствие обязательного письменного согласия — 300–700 тысяч по части 2 при первом нарушении. Неподача или просрочка обязательного уведомления о начале обработки предусмотрена частью 10: 100–300 тысяч рублей.

Эти суммы не складываются автоматически и не переносятся на всех операторов. Например, по части 10 ИП отвечает как юридическое лицо, а за нарушение обязанности обеспечить доступ к политике для ИП установлен диапазон 10–20 тысяч рублей. Для выбора санкции нужны полный текст нормы и примечания.

При предусмотренном законом инциденте статья 21 устанавливает уведомление регулятора в течение 24 часов с момента выявления и сообщение результатов внутреннего расследования в течение 72 часов. Нарушение этой обязанности выделено отдельно: для юридического лица часть 11 статьи 13.11 предусматривает 1–3 миллиона рублей. Это не штраф за любую отсутствующую политику.

Он закрепляет понятный порядок: зачем нужны данные, кто их видит, на каком основании используются и когда удаляются. Не нужно заранее подписывать акты о событиях, которых не было, или оформлять процессы, отсутствующие в бизнесе. При этом сам документ не закрывает доступ бывшему сотруднику и не останавливает незаконную рассылку.

Основа подбора — реальные задачи, сайты, сотрудники, системы и получатели. Чем точнее они описаны, тем меньше лишних форм и противоречий. Покупка готовых документов не гарантирует отсутствие штрафов: соответствие фактической обработке и выполнение правил остаются необходимыми.