Обработка персональных данных: что это, цели, основания, сроки

Три слова определяют, законна ли работа с данными: цель, основание и срок. Если оператор не может внятно ответить по каждому, обработка нарушает закон, даже когда согласие формально получено.

Что такое обработка

Обработка — это любое действие с персональными данными: сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление. То есть даже просто хранить заявку в почте — уже обработка. Кто вообще становится оператором такой обработки, разобрано в статье «Кто такой оператор ПД».

Цель: зачем вы собираете данные

Закон требует, чтобы данные собирались для конкретных, заранее определённых и законных целей. Нельзя собирать «на всякий случай». Для сайта цели обычно такие:

• обработка заявки и связь с клиентом;
• исполнение договора (доставка заказа);
• рассылка новостей и акций (только с отдельным согласием);
• ведение аналитики посещаемости.

Цель нельзя менять задним числом: собрали телефон для доставки — не имеете права без нового согласия слать по нему рекламу.

Основание: на каком праве вы обрабатываете

У обработки должно быть законное основание. Чаще всего это:

• согласие субъекта;
• исполнение договора, стороной которого он является;
• требование закона.

Когда достаточно договора, а когда нужно именно согласие, подробно разобрано в статье «На каком основании вы вправе обрабатывать данные».

Принцип минимизации

Собирать можно только то, что действительно нужно для цели. Просить паспорт ради подписки на рассылку — нарушение принципа минимизации. Лишние поля в форме — это лишний риск.

Сроки хранения

Данные хранят не дольше, чем требует цель. Как только цель достигнута (заказ исполнен, договор закрыт) или отозвано согласие — данные нужно удалить или обезличить. Как снизить риски через обезличивание — в отдельной статье.

Что зафиксировать у себя

По каждому набору данных пропишите: какая цель, какое основание, какой срок. Эти же формулировки войдут в политику обработки ПД и в уведомление Роскомнадзору. Проверить, что сайт вообще собирает и не хранит ли лишнего, поможет автоматический аудит.