Захист персональних даних: аудит і документи для бізнесу

Ви поставили на сайт форму заявки, підключили аналітику й розсилку, ведете клієнтську базу в CRM — а політика конфіденційності скопійована з чужого сайту й описує процеси, яких у вас немає. Ризик тут не теоретичний: людина, чиї дані ви обробляєте, може подати скаргу Уповноваженому Верховної Ради України з прав людини, і розбір почнеться з простого питання — на якій підставі ви взагалі зібрали ці відомості та де це зафіксовано. Ми з’ясовуємо, як дані рухаються у вашому бізнесі насправді, і приводимо документи у відповідність до цих процесів, а не навпаки.

Закон України «Про захист персональних даних» від 1 червня 2010 року № 2297-VI тримається на трьох опорах. Перша — мета обробки: склад даних має бути відповідним, адекватним і ненадмірним щодо визначеної мети, а самі дані обробляються не довше, ніж це необхідно для законних цілей, у яких їх зібрали. Друга — підстава обробки за статтею 11: згода людини, дозвіл на обробку, наданий законом, укладення та виконання правочину, захист життєво важливих інтересів, виконання передбаченого законом обов’язку володільця або захист його законних інтересів. Третя — права суб’єкта даних за статтею 8: знати про джерела збирання й місцезнаходження своїх даних, отримати до них доступ, вимагати зміни чи знищення незаконно оброблюваних даних, відкликати згоду, звернутися зі скаргою до Уповноваженого або до суду. Поверх цього закон розмежовує ролі: володілець визначає мету, склад даних і процедури обробки, розпорядник обробляє їх від імені володільця, і доручення обробки розпоряднику оформлюється договором у письмовій формі.

Чим ми допоможемо

• Проведемо аудит обробки персональних даних: разом з ІТ-фахівцем складемо карту потоків — які форми стоять на сайті, які поля вони збирають, куди йдуть заявки, хто з працівників має доступ до бази, які сторонні сервіси (хостинг, аналітика, розсилка, CRM, платіжний провайдер) отримують дані ваших клієнтів.
• Перевіримо, чи є у вас підстава зі статті 11 закону для кожного окремого виду обробки і чи не збираєте ви більше даних, ніж потрібно для заявленої мети.
• Напишемо політику конфіденційності та повідомлення про обробку під ваші реальні процеси: мета, склад даних, строки зберігання, перелік осіб, яким дані передаються, порядок реалізації прав людини.
• Підготуємо форми згоди — на сайті, у договорі, в анкеті, у кадрових документах — так, щоб згода була добровільною, конкретною та підтверджуваною, а не галочкою, від якої не лишається сліду.
• Розробимо внутрішній порядок обробки та захисту персональних даних, наказ про відповідальну особу, зобов’язання працівників про нерозголошення, облік операцій і доступу, план дій на випадок несанкціонованого доступу — з опорою на Типовий порядок обробки персональних даних, затверджений наказом Уповноваженого від 8 січня 2014 року № 1/02-14.
• Складемо договори з підрядниками, які обробляють дані від вашого імені: письмовий документ із зазначенням мети та обсягу обробки — умова, без якої передавання даних розпоряднику незаконне.
• Перевіримо, чи підпадає ваша обробка під повідомлення Уповноваженого як така, що становить особливий ризик — до ризикових належать дані про стан здоров’я, статеве життя, біометричні та генетичні дані, расове й етнічне походження, переконання, притягнення до відповідальності, місцеперебування та шляхи пересування особи, — і за потреби підготуємо таке повідомлення.
• Оцінимо, чи поширюється на вас Загальний регламент ЄС про захист даних (GDPR): він застосовується до компаній поза межами ЄС, які пропонують товари чи послуги особам у ЄС або відстежують їхню поведінку в межах ЄС.
• Супроводимо перевірку Уповноваженого, відповідь на запит або скаргу суб’єкта даних: підготуємо пояснення й документи, а за наявності підстав оскаржимо припис чи постанову.

Кому це підходить

• Інтернет-магазинам і онлайн-сервісам із формами заявки, реєстрацією користувачів, кошиком і підключеною аналітикою.
• Компаніям і фізичним особам — підприємцям у Харкові та Харківській області, які ведуть клієнтську базу в CRM або в таблицях і жодного разу не оформлювали це документально.
• Медичним центрам, стоматологіям, лабораторіям і психологічним практикам: вони обробляють дані про стан здоров’я, для яких закон встановлює окремі, суворіші вимоги.
• Роботодавцям із відділом кадрів — анкети кандидатів, копії документів, відомості про членів сім’ї працівників, відеоспостереження в офісі.
• Освітнім і навчальним проєктам, які збирають дані учнів, зокрема неповнолітніх.
• Маркетинговим агенціям, розробникам і кол-центрам, які обробляють дані за дорученням замовника і фактично є розпорядниками.
• Бізнесу, який продає товари чи надає послуги клієнтам у країнах ЄС і не розібрався, чи діють щодо нього європейські правила.
• Тим, хто вже отримав запит суб’єкта даних, скаргу або повідомлення про перевірку і має відповісти у визначений строк.

Як ми працюємо

1. Розбір ситуації. З’ясовуємо, чим ви займаєтесь, які дані збираєте, від кого, де вони зберігаються і хто з підрядників має до них доступ. Уже на цьому етапі стає видно, де ви володілець даних, а де — розпорядник, і що з цього випливає для документів.
2. Технічний аудит. ІТ-фахівець, з яким ми працюємо в парі, перевіряє сайт і сервіси: поля форм, скрипти аналітики та піксели, куки, адресати заявок, права доступу співробітників, резервні копії, захищеність з’єднання, строки зберігання журналів. Результат — карта реальних потоків даних, а не опис із ваших слів.
3. Правова оцінка. Зіставляємо карту потоків із вимогами закону: для кожної мети визначаємо підставу обробки, перевіряємо адекватність складу даних, строки зберігання, законність передавання третім особам і потребу повідомити Уповноваженого. Ви отримуєте перелік розбіжностей із поділом на те, що виправляється технічно, і те, що закривається документами.
4. Комплект документів. Готуємо політику конфіденційності, форми згоди, внутрішній порядок обробки, наказ про відповідальну особу, зобов’язання про нерозголошення, договори з підрядниками, шаблон відповіді на запит суб’єкта даних. Формулювання погоджуємо з вами, а не надсилаємо готовий шаблон.
5. Впровадження. Документи мають запрацювати: тексти й чекбокси розміщуються на сайті, зайві поля прибираються, доступи розмежовуються, працівники підписують зобов’язання. Пояснюємо відповідальній особі, як приймати й реєструвати запити людей та в які строки на них відповідати.
6. Супровід далі. Консультуємо, коли з’являється новий сервіс, нова форма чи новий напрям діяльності; готуємо відповіді на запити та скарги; у разі перевірки Уповноваженого супроводжуємо її, а за наявності підстав оскаржимо припис.

Часті питання

Чи треба реєструвати базу персональних даних?

Ні. Обов’язкової реєстрації баз персональних даних чинний закон не передбачає — цю вимогу скасовано. Натомість діє інший механізм: володілець повідомляє Уповноваженого Верховної Ради України з прав людини про обробку, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, упродовж тридцяти робочих днів з дня початку такої обробки. Окремо Уповноваженого повідомляють про структурний підрозділ або відповідальну особу, що організовує роботу із захисту даних. Чи потрапляєте ви в ці категорії — питання складу даних, який ми перевіряємо під час аудиту.

Чи потрібна нам відповідальна особа за захист персональних даних?

Залежить від того, що саме ви обробляєте. Стаття 24 закону вимагає створити структурний підрозділ або визначити відповідальну особу в органах державної влади та місцевого самоврядування, а також у володільців і розпорядників, чия обробка підлягає повідомленню Уповноваженого. Для решти бізнесу це не пряма вимога, але на практиці корисно: хтось має приймати запити людей, стежити за строками відповіді й тримати документи в актуальному стані. Фізичні особи — підприємці, а також лікарі, адвокати й нотаріуси, що провадять діяльність індивідуально, за законом забезпечують захист даних особисто. Ми подивимось на ваші процеси й скажемо, це обов’язок чи ваш вибір.

Ми взяли політику конфіденційності з іншого сайту. Чим це погано?

Тим, що вона описує чужі процеси. Скопійована політика зазвичай згадує сервіси, яких у вас немає, і мовчить про ті, якими ви користуєтесь; називає мету, під яку ви дані не збираєте; не містить ані строків зберігання, ані порядку реалізації прав людини. Під час перевірки або розгляду скарги розбіжність між текстом і фактичними діями працює проти вас: документ підтверджує не дотримання закону, а те, що питанням ніхто не займався. Тому ми спершу дивимося на фактичні потоки даних і лише потім пишемо текст.

Клієнт вимагає видалити свої дані. Що робити?

Спершу перевірити, чи є у вас підстава зберігати їх далі: бухгалтерські та кадрові документи зберігаються за окремими правилами, і відкликання згоди не скасовує обов’язку, встановленого законом. Далі — визначити, чи є підстава для знищення: закон називає серед них закінчення строку зберігання, припинення правовідносин, припис Уповноваженого Верховної Ради з прав людини та рішення суду. Окремого строку саме на задоволення вимоги про видалення закон не встановлює — натомість про знищення даних суб’єкта треба повідомити протягом десяти робочих днів. Не плутайте це із запитом на доступ: там діють власні строки розгляду. Ми готуємо шаблони відповідей і розбираємо нестандартні запити окремо.

Чи діє GDPR для українського бізнесу?

Не для всього. Європейський регламент застосовується до компаній за межами ЄС у двох випадках: коли вони пропонують товари або послуги особам, які перебувають у ЄС, — незалежно від того, чи стягується плата, — і коли відстежують поведінку таких осіб у межах ЄС. Сам факт, що ваш сайт відкривається з Європи, цього ще не означає: значення мають мова інтерфейсу, валюта, умови доставки, спрямованість реклами. Якщо регламент застосовується, його вимоги додаються до українських — зокрема обов’язок повідомити наглядовий орган про інцидент із даними без невиправданої затримки і, за можливості, не пізніше ніж за 72 години після того, як про нього стало відомо. Ми оцінимо ваш випадок і скажемо, який набір документів вам потрібен.

Що загрожує за порушення?

Кодекс України про адміністративні правопорушення містить статтю 188-39 «Порушення законодавства у сфері захисту персональних даних». Склади різні: неповідомлення або несвоєчасне повідомлення Уповноваженого, недодержання встановленого порядку захисту даних, невиконання законних вимог Уповноваженого щодо запобігання порушенням чи їх усунення. Протоколи складають представники Уповноваженого, а рішення про стягнення ухвалює суд. Окремо людина, чиї права порушено, може вимагати в суді відшкодування майнової та моральної шкоди. Який саме склад можуть застосувати до вашої ситуації, ми оцінюємо за конкретними обставинами.

Як проходить перевірка Уповноваженого?

Перевірки бувають планові й позапланові, виїзні та безвиїзні. Позапланова найчастіше починається зі скарги людини або з розголосу навколо витоку даних. Перевіряють, чи відповідає ваш процес обробки вимогам Конституції та закону: підстави обробки, зміст і наявність документів, порядок доступу працівників до даних, договори з підрядниками. За результатами складається акт, у разі виявлення порушень — припис про їх усунення, а за наявності складу правопорушення — протокол. Підготуватися можна, і це найдешевший етап: привести документи та фактичні процеси у відповідність до перевірки коштує менше, ніж усувати порушення за приписом.

Захист персональних даних — це не папка «на випадок перевірки», а стан, коли написане в політиці збігається з тим, що насправді відбувається у вашій базі клієнтів. Адвокатське бюро «Керімов і партнери» у Харкові проводить аудит обробки персональних даних у парі з ІТ-фахівцем, готує комплект документів під ваші реальні процеси, супроводжує запити суб’єктів даних і спілкування з Уповноваженим Верховної Ради України з прав людини. Працюємо з клієнтами з Харкова, Харківської області та по всій Україні, зокрема дистанційно.