Почему сегодня практически любой бизнес становится оператором персональных данны

Сегодня практически любой бизнес становится оператором персональных данных.

Достаточно минимального набора: сайт с формой заявки, CRM-система, база клиентов, e-mail или мессенджер-рассылки, анкеты соискателей, запись на услуги или даже обычная рабочая переписка с клиентами в Telegram. Как только компания собирает, хранит или использует информацию о физлицах, она подпадает под требования законодательства о персональных данных.

В частности, организация должна:

— определить, какие именно персональные данные она обрабатывает и с какой целью;
— иметь законные основания для обработки (например, договор или согласие);
— оформить политику обработки персональных данных и внутренние документы;
— в установленных случаях получать согласие субъектов;
— обеспечить защиту данных от утечек и неправомерного доступа;
— и, что особенно важно, уведомить Роскомнадзор о начале обработки персональных данных.

После изменений законодательства круг исключений существенно сократился. Если раньше некоторые категории обработки (например, в рамках трудовых отношений) не требовали уведомления, то теперь это правило больше не действует. В результате обязанность уведомлять Роскомнадзор распространяется на значительно большее количество компаний.

Если компания собирает персональные данные, но не привела процессы в соответствие с законом, это повышает вероятность проверок и нарушений.

— Во-первых, это административная ответственность. За нарушения в сфере персональных данных предусмотрены штрафы, в том числе за отсутствие или несвоевременную подачу уведомления в Роскомнадзор, если оно обязательно. Размер санкций в последние годы существенно увеличен.

— Во-вторых, жалобы со стороны клиентов, сотрудников или соискателей. Любой человек вправе запросить у компании информацию о том, какие его данные обрабатываются, на каком основании и кому они передавались. Также он может потребовать прекратить обработку или удалить данные, если законных оснований больше нет.

— В-третьих, репутационные риски. В условиях, когда вопросы защиты данных становятся чувствительной темой, любая утечка, жалоба или публичное обвинение в некорректной работе с персональными данными может серьезно ударить по доверию к компании.