Оговорка вместо вступления
Мы не юристы и не выдаём это за юридическую консультацию. Мы делаем корпоративные мессенджеры и постоянно слышим один и тот же вопрос от собственников: «нам вообще можно вести переписку с клиентами в обычных мессенджерах?».
Дальше - инженерный взгляд на вопрос: где в переписке возникают персональные данные, где риск, что с этим делают на практике. Формулировки для документов всё равно писать с юристом.
Персональные данные появляются сами
Собственники часто думают, что 152-ФЗ - это про анкеты и базы. На деле данные попадают в переписку без всяких форм.
Клиент прислал адрес доставки. Менеджер уточнил телефон. В чате обсудили фамилию и дату визита. Бухгалтер скинула скан паспорта для договора. Всё это персональные данные, и они уже лежат в вашей переписке.
Отсюда простая мысль: вопрос не в том, обрабатываете ли вы персональные данные, а в том, где они лежат и кто ими управляет.
Что закон требует по сути
Если убрать формулировки, требований три.
Данные российских граждан при сборе должны записываться в базы на территории России. Отсюда весь разговор про местоположение серверов.
Компания должна понимать, какие данные она собирает, зачем и на каком основании, и уметь это показать.
Компания должна обеспечивать сохранность данных: ограничивать доступ, вести учёт, реагировать на утечки.
Ключевое слово во всех трёх пунктах - «компания». Ответственность лежит на организации, а не на сотруднике, который открыл чат в своём телефоне.
Где возникает зона риска
Разберём по местам, без паники.
Личные аккаунты сотрудников. Компания не знает, что там лежит, не может закрыть доступ при увольнении, не может ничего показать при проверке. Самая уязвимая точка, и она же самая распространённая.
Зарубежные облачные сервисы. Часть данных о клиентах оказывается на серверах, местоположение которых компания не выбирает и не контролирует.
Экспорт и пересылка. Выгрузки в таблицы, отправленные себе в личку файлы, скриншоты в общих чатах. Данные расползаются, и карты этого расползания ни у кого нет.
Отсутствие правил. Даже с правильным инструментом сотрудники будут делать так, как удобно, если им не сказано иначе.
Что обычно делают компании
Порядок действий, который мы видим у клиентов, довольно стандартный.
Первое: переносят внутренние коммуникации в инструмент, который принадлежит компании. Наш корпоративный мессенджер стоит 5 990 рублей в месяц за компанию: данные на серверах в России, доступ закрывается при увольнении, история остаётся у вас. Запуск за 5 дней, поддержка и обновления входят.
Второе: описывают, где что хранится. Список систем, в которых оказываются данные клиентов, - основа для любых дальнейших документов.
Третье: закрывают документы с юристом. Политика обработки персональных данных, согласия, положение о коммерческой тайне, правила работы с рабочими каналами связи.
Четвёртое: наводят порядок в привычках. Правило для новых сотрудников с первого дня работает лучше, чем перевоспитание старых. Как проходит такой переезд, мы описали по шагам.
Что спрашивают партнёры и клиенты
Отдельный практический повод навести порядок - не проверка, а контрагенты.
Крупные клиенты и юрлица всё чаще включают вопросы о данных в свои процедуры: где хранится переписка, кто имеет доступ, что происходит при увольнении вашего менеджера. Ответ «у нас всё в телеграме у Димы» закрывает такие сделки быстрее любого прайса.
Медицина, финансы, образование, работа с детьми - там требования жёстче, и там об этом спрашивают первым делом.
Готовый ответ звучит скучно и убедительно: внутренние коммуникации в корпоративном мессенджере на серверах в России, доступ по ролям, при увольнении закрывается, история остаётся у компании. Одна фраза, которая снимает половину вопросов.
Три вопроса к любому сервису
Когда выбираете инструмент для переписки, спросите поставщика три вещи и получите ответ письменно.
Где физически хранятся данные и что написано об этом в договоре.
Что происходит с данными при расторжении: можно ли выгрузить, за какой срок удаляют.
Какие права у администратора компании: видит ли он переписку, может ли закрыть доступ, ведётся ли журнал действий.
Если поставщик отвечает общими словами про «надёжную защиту», это само по себе ответ.
Чего делать не надо
Пара реакций, которые встречаются и вредят.
Не надо запрещать мессенджеры целиком. Клиенты пишут туда, куда им удобно, и запрет означает потерю клиентов, а не решение по данным.
Не надо покупать «сертифицированное решение» на всякий случай, не разобравшись, что именно у вас происходит с данными. Инструмент без правил и без понимания процессов - это дорогая иллюзия защищённости.
И не надо пугаться до паралича. Требования закона выполнимы для малого бизнеса, порядок наводится за несколько недель.
Что до сих пор путают
Коммерческая тайна и персональные данные - разные режимы. Первый защищает информацию компании, второй - данные людей. Регулируются разными законами, вводятся разными документами, и одно другое не заменяет.
Ещё путают хранение и передачу. Данные могут ходить через мессенджер, но храниться у вас в системе, а могут накапливаться в самом чате годами. Второе - и есть та самая ситуация, которая всех беспокоит.
С чего начать
Составьте список: где сейчас лежат данные ваших клиентов. Мессенджеры, почта, таблицы, CRM, личные телефоны. Час работы, зато после этого разговор с юристом займёт не три встречи, а одну.
А дальше по порядку: сначала внутренние чаты компании, потом клиентские каналы, потом документы. Порядок важнее спешки.
