Данные клиентов из формы попадают в CRM, рассылку, телефонию и к подрядчикам. Разбираем, как закон называет такую передачу и что требует оформить.
Коротко
- Передача подрядчику — поручение обработки.
- Состав поручения задан законом.
- Подрядчик не обязан получать согласие.
- Перед клиентом отвечает оператор.
Как закон называет такую передачу
Статья 3 различает два разных действия. Предоставление персональных данных — «действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц». Распространение — «действия, направленные на раскрытие персональных данных неопределенному кругу лиц». Передача подрядчику — это первое.
| Ситуация | Как устроена по закону |
|---|---|
| Данные уходят в CRM-сервис | Обработка по поручению оператора |
| Данные уходят в сервис рассылок | То же |
| Подрядчик ведёт вашу рекламу | То же, если обрабатывает данные |
| Данные уходят за границу | Дополнительно трансграничная передача |
Что должно быть в поручении
Статья 6 часть 3 задаёт состав поручения довольно подробно. В нём «должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки», установлена обязанность соблюдать конфиденциальность, требования части 5 статьи 18 и статьи 18.1, обязанность по запросу оператора предоставлять документы и информацию, подтверждающие принятие мер, обязанность обеспечивать безопасность и требования к защите по статье 19.
| Что определяется в поручении | Единица |
|---|---|
| Перечень персональных данных | Какие именно передаёте |
| Перечень действий | Что подрядчик с ними делает |
| Цели обработки | Зачем |
| Обязанность конфиденциальности | Прямо устанавливается |
| Требования к хранению и мерам | Часть 5 статьи 18 и статья 18.1 |
| Подтверждение мер по запросу | Документы и информация |
| Требования к защите | По статье 19 |
Шестая строка — та, о которой почти не думают при выборе сервиса. Поручение должно устанавливать обязанность подрядчика по запросу предоставлять документы, подтверждающие принятие мер, — то есть у вас должна быть возможность это спросить и получить. Договор присоединения, который сервис не меняет, такую возможность не всегда даёт.
Нужно ли подрядчику согласие
Статья 6 часть 4 отвечает однозначно: «Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных».
| Кто | Что делает с согласием |
|---|---|
| Оператор | Получает согласие и доказывает его получение |
| Обработчик по поручению | Согласие получать не обязан |
Отсюда практический вывод: нельзя «переложить» получение согласия на сервис. Форма на сайте ваша, согласие собираете вы, доказательство его получения лежит на вас. Сервис лишь выполняет поручение. Про доказательство — в статье про согласие в форме заявки.
Кто отвечает перед клиентом
Это самая важная норма для выбора подрядчиков. Статья 6 часть 5: «В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором».
| Связь | Перед кем отвечает |
|---|---|
| Оператор — субъект | Оператор отвечает за действия подрядчика |
| Подрядчик — оператор | Подрядчик отвечает перед оператором |
| Иностранный подрядчик | Отвечают и оператор, и подрядчик |
Третья строка — часть 6 той же статьи, добавленная в 2022 году: если обработка поручена иностранному физическому или юридическому лицу, ответственность перед субъектом несут и оператор, и это лицо. В остальных случаях перед клиентом отвечает ваша компания — независимо от того, чей сервис дал сбой.
Какие инструменты попадают под это
| Инструмент | Что в него попадает |
|---|---|
| CRM | Имя, телефон, переписка, история |
| Сервис рассылок | Адрес, имя, факт согласия |
| Телефония и коллтрекинг | Номер, записи звонков |
| Конструктор форм и квизов | Всё, что ввёл посетитель |
| Чат и чат-бот | Переписка и контакты |
| Подрядчик по рекламе | Доступ к CRM и выгрузкам |
| Бухгалтерия на аутсорсе | Данные для документов |
Шестая строка — та, которую забывают чаще всего. Агентство, которому дали доступ к CRM для настройки передачи конверсий, работает с персональными данными клиентов. Отношения оформляются так же, как с любым другим обработчиком. Про саму передачу конверсий — в статье про то, как связать Директ, Метрику и CRM.
Что проверить у себя
Составить список обработчиков
Все сервисы и подрядчики с доступом.
Проверить, что передаёте каждому
Перечень данных и действий.
Найти основание в договоре
Поручение должно быть оформлено.
Сверить состав поручения
По части 3 статьи 6.
Отметить иностранных подрядчиков
Для них особые нормы.
Отдать перечень юристу
Оценка договоров — его работа.
Первый шаг обычно даёт неожиданный результат. Список выходит длиннее, чем помнят в компании: к CRM и рассылке добавляются конструктор форм, чат, телефония, аналитика, подрядчики и фрилансеры с доступами. Это же перечень пригодится для политики и уведомления — в статье про уведомление в Роскомнадзор.
Частые вопросы
Как закон называет передачу данных в CRM или сервис рассылок?
Это обработка по поручению оператора. Статья 6 задаёт, что должно быть определено в поручении: перечень данных, перечень действий, цели и ряд обязанностей обработчика.
Должен ли сервис сам получать согласие клиентов?
Нет. Статья 6 часть 4 прямо говорит, что лицо, обрабатывающее данные по поручению оператора, не обязано получать согласие субъекта.
Кто отвечает, если данные утекли у подрядчика?
Перед субъектом за действия подрядчика отвечает оператор, а подрядчик отвечает перед оператором. При поручении иностранному лицу ответственность перед субъектом несут оба.
Нужно ли оформлять отношения с агентством, у которого есть доступ к CRM?
Если агентство обрабатывает персональные данные, это обработка по поручению, и к ней применяются требования статьи 6.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
