Персональные данные: база клиентов как ответственность

Чтобы бизнес стал оператором персональных данных, хватит одного из пяти: таблицы клиентов с именами и телефонами, CRM с записями администратора, рассылки в WhatsApp по старым клиентам «у нас акция», камеры в зале или анкеты «оставьте номер — подарим скидку». Не «айтишная корпорация», не «банк», а салон, магазин, кофейня. Закон не делает скидку на размер: обязанности возникают из факта работы с данными живых людей, а не из масштаба бизнеса.

Принцип первый: согласие

Данные человека собираются и используются с его согласия — и согласие должно покрывать то, что ты реально делаешь. Здесь живёт самая массовая ошибка: номер, оставленный клиентом для записи на маникюр, — это согласие на звонок о записи, а не на пожизненную рекламную рассылку. «У нас есть его номер» и «у нас есть право слать ему рекламу» — 2 разных утверждения, и второе из первого не следует. Лечится это одной строкой в анкете или форме записи: явное согласие на получение информационных и рекламных сообщений, галочка, дата. Скучно — и снимает основную массу будущих жалоб, потому что жалуются именно на нежеланные рассылки: это самый видимый для клиента способ узнать, что его данные «гуляют».

Принцип второй: целевое использование и защита

Данные собираются под понятную цель и не должны жить дальше и шире неё. Передать базу «партнёру по акции», выгрузить таблицу подрядчику-таргетологу без всяких обязательств, хранить анкеты годами в шкафу, доступном всем сотрудникам, — каждое из этих будничных действий означает, что данные ушли за пределы цели и твоего контроля. Минимальная гигиена та же, что с коммерческой тайной из прошлой главы (и это не совпадение — часто это одна и та же таблица): ограниченный доступ, понимание, у кого база есть, и письменные обязательства у тех, кому ты её доверяешь.

Принцип третий: прозрачность

Камера в зале — нормальная практика безопасности, но люди должны знать о съёмке, и табличка о видеонаблюдении — не вежливость, а часть законного сбора данных. Тот же принцип с любым сбором: человек вправе понимать, что о нём собирают и зачем, и вправе потребовать прекратить — запрос «удалите мой номер и не пишите мне» исполняется, а не игнорируется.

Цена нарушения

По КоАП для малого бизнеса незаконный сбор или обработка данных стоит 60 МРП, несоблюдение мер защиты — 300 МРП, а если из‑за этого данные утекли или ушли к посторонним — 750 МРП.