"Отзываю согласие на обработку персональных данных". Письмо, после которого в компании вспоминают про уволенную ассистентку
Приходит такое письмо, и начинается театр: юрист пересылает маркетологу, маркетолог подрядчику, подрядчик открывает тикет, и через месяц выясняется, что ассистентка, уволившаяся
два года назад, единственная знала пароль от базы. Знакомая картина? Тогда разберем, как это должно работать по 152-ФЗ и как обычно работает на самом деле.
Сначала важное. Отзыв согласия это право субъекта, и оно безусловное. Человек ничего не должен объяснять: ни причину, ни скан паспорта, ни ждать конца квартала. Написал, отправил, и с этого момента у вас появляются конкретные обязанности, срок которых Роскомнадзор отсчитывает от даты получения отзыва. Ваше внутреннее расписание его интересует в последнюю очередь.
Что должно произойти после получения отзыва:
▪️ прекратить обработку данных этого человека, если нет иного законного основания: договора, закона, судебного решения
▪️ уничтожить данные в срок до 30 дней, если обработка шла только по согласию
▪️ подтвердить факт прекращения обработки и уничтожения
▪️ передать требование об уничтожении всем, кому вы передавали данные: рассылки, аналитика, коллцентр, облачная CRM
И вот здесь начинается самое интересное. На бумаге
"уничтожить" это нажать кнопку удаления. В реальности данные человека живут минимум в пяти местах: форма на сайте, CRM, почтовый ящик менеджера, таблица для отчетности, бэкап. Про бэкапы забывают первыми.
Признавайтесь, у кого тоже.Проверьте сегодня же три вещи. Первая: есть ли у вас реестр согласий, где видно, кто, когда и на что соглашался, и какими каналами пришел отзыв. Вторая: знаете ли вы физически, куда утекли данные конкретного человека за время работы с ним. Третья: за сколько дней вы способны закрыть весь цикл от получения отзыва до письменного подтверждения. Если на третий вопрос ответ
"ну, зависит от сезона", то уязвимость у вас процессовая, и штраф по
статье 13.11 КоАП начнется от 80 тысяч рублей за каждый факт, а с отягчающими доходит до шести миллионов.
Шаблон реакции, который можно взять за основу регламента:
1. Зафиксировать дату и канал получения отзыва в реестре
2. Проверить другие основания обработки: договор в силе, значит часть данных сохраняется по закону
3. Составить перечень систем и получателей, где лежат данные
4. Погасить данные из живых систем, отправить требования субподрядчикам
5. Написать ответ субъекту: что прекращено, что уничтожено, что и почему сохранено
Отзыв согласия закрывает обработку, но требований договора и закона он не отменяет: эту балансировку придется объяснять в письме, умалчивать нельзя.Замечу как аудитор: чаще всего компании ошибаются в дозировке. Удаляют слишком мало, когда заявка живет в почте у менеджера
еще год. Удаляют слишком много, когда вместе с согласием стирают бухгалтерские документы, которые обязаны храниться по налоговому законодательству.
Удалить все и закрыть вопрос и тогда претензия придет уже от налоговой.
Автоматизируется это обычным процессом. Входящее письмо с ключевыми словами ловится обработчиком, по человеку собирается карта упоминаний во всех системах, формируется чек-лист погашения, и подтверждение уходит субъекту без ручного пересыпания писем между отделами. Мы в PROMAREN такие маршруты собираем кодом на Python, и занимает это у команды меньше времени, чем один штраф.
Расскажите, как у вас это устроено сейчас: есть живой регламент на отзыв согласия или ждете первого письма от Роскомнадзора?
▶ видео