Одно письмо с ФИО – и вы уже оператор персональных данных

<p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> На почту пришло письмо, содержащее чьи-то персональные данные, – вы автоматически стали оператором персональных данных (ПДн). Даже если вы не знакомы с отправителем. Любое действие с письмом считается «обработкой» по 152-ФЗ: получение, чтение, сохранение, удаление, пересылка. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Разберём на примерах. </p> <h2>Сценарий 1: Клиент сам написал на общий e-mail, указав свои данные</h2> <p align="left" style="text-align: justify;"> </p> <div class="card-body card-custom-md font-size-md my-2"> <p style="text-align: justify;"> Клиент написал на корпоративную почту: представился, оставил телефон, просит связаться. Компания заранее не запрашивала сведения и специальных форм для сбора не делала. </p> </div> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> С этого момента компания – оператор персональных данных. По закону достаточно получить на почту письмо с именем и телефоном клиента. Действия с таким письмом – уже обработка:</p> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="symbol-marker-list font-size-md" style="text-align: justify;"> <li>сохранение на сервере – сбор и хранение;</li> <li>чтение и извлечение информации, добавление в адресную книгу – использование;</li> <li>пересылка, ответ или звонок – использование;</li> <li>удаление письма – уничтожение данных (форма обработки).</li> </ul> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Согласие клиента не требуется (п.5 ч.1 ст.6 152-ФЗ): обработка происходит по его инициативе. Обращение – согласие на использование контактов для ответа или заключения договора. Рассылка рекламы или передача информации третьим лицам – отдельное согласие. </p> <h2>Сценарий 2: Соискатель отправил резюме</h2> <p align="left"> </p> <div class="card-body card-custom-md font-size-md my-2"> <p style="text-align: justify;"> Соискатель сам отправил резюме на почту компании – узнал о вакансии или предложил себя. В письме указал ФИО, контакты, дату рождения, образование, опыте работы. Компания данные не запрашивала – они поступили напрямую от соискателя по электронной почте. </p> </div> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> С момента получения резюме компания становится оператором ПДн. Действия с письмом – это операции обработки. </p> <p style="text-align: justify;"> Резюме направляется для участия в конкурсе на должность, т.е. для заключения трудового договора (п.5 ч.1 ст.6). Согласие не требуется: обработка нужна для потенциального трудового договора. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Важно:</b> подтвердите, что резюме прислал сам соискатель. Роскомнадзор ещё в 2012 году разъяснил: работодателю следует убедиться в этом – перезвонить, ответить на e-mail или пригласить на встречу. Иначе есть риск, что кто-то отправил чужие данные без согласия. Если проверку не провели – уничтожьте резюме в день получения. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <b>Правила работы с резюме:</b> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> </p> <ul class="symbol-marker-list font-size-md" style="text-align: justify;"> <li>дать доступ к резюме только сотрудникам, участвующим в найме;</li> <li>пересылать только при необходимости и по защищённым каналам (лучше в корпоративном домене);</li> <li>не отправлять резюме третьим лицам без согласия;</li> <li>хранить резюме в безопасном месте: распечатку – в закрытом шкафу, письмо в почте – в отдельной папке;</li> <li>уничтожить данные в течение 30 дней, если кандидату отказали или он сам отказался;</li> <li>оставить резюме на будущее можно только с письменного разрешения.</li> </ul> <p style="text-align: justify;"> </p> <p align="left" style="text-align: justify;"> Резюме пришло от рекрутингового агентства или с сайта-работодателя </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Если данные переданы с согласия кандидата – уведомлять не нужно. Если без документов – свяжитесь с кандидатом сами. </p> <h2>Сценарий 3: «Холодное» письмо с персональными данными, но компания его не использует</h2> <p align="left" style="text-align: justify;"> </p> <div class="card-body card-custom-md font-size-md my-2"> <p style="text-align: justify;"> На корпоративную почту пришло письмо с коммерческое предложение от частного консультанта или просьба о сотрудничестве с контактами отправителя или спам с подписью менеджера. Компания эти данные не собирала, не использует и не планирует применять (не отвечает, не сохраняет в базу, игнорирует). </p> </div> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Письмо лежит в почте – компания хранит персональные данные и становится их оператором. Бездействие не освобождает от статуса оператора. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> Если компания не собирается использовать данные – лучше сразу удалить письмо так, чтобы не оставалось копий (очистить «Удалённые» в почте). Потому что при проверке обнаружат даже «ненужное» письмо с ПДн. Вы обязаны либо обрабатывать по правилам, либо удалить. </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> <i>Пример: </i> </p> <i> </i> <p style="text-align: justify;"> <i> </i> </p> <i> </i> <p style="text-align: justify;"> <i> Пришло письмо «Здравствуйте, я предлагаю вам услуги дизайнера, мои работы во вложении, мои ФИО, телефон…». Услуги не нужны. Нужно сразу везде удалить письмо (и вложения), не сохраняя персональную информацию – обработка компанией прекращается почти сразу после сбора (соответствует требованию закона уничтожать ПДн при утрате необходимости).</i> </p> <p style="text-align: justify;"> </p> <p style="text-align: justify;"> На практике никто не проверяет содержание уже удалённых писем. Поэтому можно считать, что при немедленном удалении риски минимальны. Уведомлять субъекта о том, что «удалили ваши данные» – не требуется. </p> <h2>Минимальные обязанности оператора и как их выполнить:</h2> <p> </p> <ul class="symbol-marker-list font-size-md" style="text-align: justify;"> <li>Назначьте ответственного за ПДн (директор или сотрудник).</li> <li>Опубликуйте Политику обработки ПДн. Даже если данные обрабатываются только в переписке – документ обязателен (п.2 ч.1 ст.18.1 152-ФЗ).</li> <li>Дайте доступ к рабочей почте только уполномоченным сотрудникам.</li> <li>Храните почту в РФ: проверьте, где физически находятся ящики, архивы и резервные копии.</li> <li>Отвечайте на запросы клиентов в течение 30 дней. По требованию – покажите, исправьте или удалите данные (ст.14, 15 152-ФЗ).</li> </ul> <div class="card-body card-custom-md font-size-md my-2"> <div class="my-3"> <h2>Не рискуйте бизнесом и репутацией – доверьте защиту данных профессионалам</h2> <p style="text-align: justify;"> Мы поможем соблюдать требования законодательства, сохранить репутацию компании и избежать крупных штрафов. </p> <a href="https://www.forus.ru/cifrovizaciya-gos-sektora/informatsionnaya-bezopasnost/zashchita-personalnykh-dannykh/" target="_blank" class="btn standart-btn me-4 py-2">Узнать подробнее</a> </div> </div> <br>