Законно обрабатывать данные клиентов можно двумя способами: либо у вас есть их согласие, либо вы исполняете договор. Статья 6 152-ФЗ прямо это разрешает. Не каждый клик по форме требует отдельной галочки — если человек сам заказал товар, обработка его ФИО и адреса для доставки уже законна как исполнение обязательств по договору.
На каком основании
Самый простой случай — договор. Клиент покупает товар, подписывает оферту или просто оформляет заказ на сайте. Для исполнения этого договора оператору нужны имя, телефон, адрес. Согласие по отдельности не требуется — основанием становится сам факт договорных отношений. Это зафиксировано в ст. 6.
Если же вы хотите использовать данные для рассылки новостей, маркетинга или передачи третьим лицам — тогда нужно отдельное согласие. Оно должно быть конкретным, информированным и однозначным (ст. 9). Как построить законную базу для коммуникаций с клиентами — в материале законная база для рассылок.
Минимум данных
Даже если основание есть, нельзя запрашивать всё подряд. Часть 5 статьи 5 требует минимизации: собирайте только те сведения, которые действительно необходимы для конкретной цели. Для доставки — адрес и телефон. Для оформления гарантийного талона — дата покупки и серийный номер товара. Паспортные данные или СНИЛС клиента в розничной продаже излишни.
- Каждое поле в форме должно иметь обоснование.
- Нельзя брать данные «на всякий случай».
- Если цель — исполнение договора, лишние поля становятся нарушением ст. 5 ч. 5.
Сколько хранить
Хранить клиентские данные можно только до тех пор, пока они нужны для заявленной цели (ст. 5 ч. 7). После того как товар доставлен, гарантийный срок истёк или клиент отказался от услуг — считайте, цель достигнута. Закон даёт на уничтожение до 30 дней (ст. 21 ч. 4). Просрочка хранения без цели — такое же нарушение, как и изначально избыточный сбор. Конкретные сроки и процедуру разобрали в статье сроки хранения.
Права клиента
Статья 14 закрепляет за субъектом персональных данных несколько ключевых прав:
- Получить доступ к своим данным, которые у вас хранятся.
- Уточнить их, если они неполные или устаревшие.
- Заблокировать или удалить данные.
На любое такое обращение вы обязаны ответить в течение 10 рабочих дней. Если ответ требует дополнительного обоснования, можете продлить срок ещё на 5 дней, но с обязательным мотивированным уведомлением. Как правильно работать с такими запросами и не нарушить сроки — в руководстве права субъекта данных.
Передача данных подрядчикам
Если вы привлекаете третьих лиц — курьерскую службу, колл-центр, сервис email-рассылок — это передача данных по поручению (ст. 6). Она возможна только с согласия субъекта и при наличии договора с подрядчиком. Оператор (то есть вы) остаётся ответственным перед клиентом за все действия исполнителя. Поэтому в договоре с курьером должны быть чётко прописаны обязанности по защите ПДн.
Практическое правило: проведите аудит клиентских форм и договоров. Для каждого набора данных ответьте: это необходимо для договора или требует отдельного согласия? Если второе — получите его до начала обработки.
Итог: основание, минимум, срок хранения, права клиента и порядок передачи подрядчикам — пять точек, в которых малый бизнес чаще всего спотыкается. Закройте их документально и фактически, и вы сможете обрабатывать клиентские данные без риска штрафов и претензий.
Вопросы про данные клиентов
Что является основанием для обработки данных клиента без его отдельного согласия?
Основанием может быть договор, стороной которого является клиент (ст. 6 152-ФЗ). Например, для исполнения обязательств по доставке товара, заказанного клиентом, согласие отдельно не требуется.
Какие права есть у клиента на его персональные данные?
Клиент вправе запросить доступ к своим данным, их уточнение, блокирование или уничтожение (ст. 14). Ответ оператора должен быть дан в течение 10 рабочих дней, в отдельных случаях срок может быть продлён до 15 дней.
Сколько можно хранить данные клиента после окончания договора?
Хранить можно только пока это требуется для цели обработки (ст. 5 ч. 7). После достижения цели данные необходимо уничтожить в срок до 30 дней (ст. 21 ч. 4).
Нужно ли получать согласие клиента, чтобы передать его данные курьерской службе?
Да. Передача данных по поручению третьим лицам возможна только с согласия субъекта и по договору (ст. 6). Ответственность перед клиентом за действия курьера несёте вы как оператор.
Похожие материалы
Источники
- 152-ФЗ, ст. 5, 6, 14, 21 (основания, права, хранение) — consultant.ru
Основания обработки (ст. 6), права субъекта и срок ответа 10 рабочих дней (ст. 14), сроки хранения (ст. 21 ч. 4) сверены с текстом 152-ФЗ.