Самозанятый мастер и персональные данные клиентов

Это обзор для ориентира, а не юридическая консультация. Законодательство о персональных данных часто меняется: перед тем как принимать решения, сверьтесь с актуальной редакцией закона или проконсультируйтесь с юристом.

Вы — оператор персональных данных

По Федеральному закону № 152-ФЗ «О персональных данных» персональные данные — это любая информация, относящаяся к человеку, которого по ней можно определить (ст. 3). Имя и номер телефона клиента под это определение подходят, история визитов — тоже.

Оператор — тот, кто сам решает, зачем и как обрабатывать эти данные. Оператором может быть и обычный человек, не только компания. Закон не распространяется на обработку данных гражданами для личных и семейных нужд (ч. 2 ст. 1), но запись клиентов на платные услуги — это работа, а не личные нужды. Поэтому самозанятый мастер или ИП, который ведёт клиентскую базу, — оператор персональных данных. Не важно, где хранится база: в тетради, в заметках телефона, в таблице или в сервисе записи.

На каком основании обрабатывать данные

Обрабатывать персональные данные можно только при наличии законного основания (ст. 6). Для записи клиентов самое понятное основание — согласие клиента (п. 1 ч. 1 ст. 6). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9): клиент должен понимать, кто и зачем будет обрабатывать его данные.

На практике это значит: перед первой записью клиент видит, кто оператор, какие данные собираются и для чего, и явно соглашается — например, нажимает кнопку.

Что нужно сделать мастеру

1. Опубликовать политику обработки персональных данных

Оператор, который собирает данные через интернет, обязан опубликовать свою политику обработки персональных данных и обеспечить к ней доступ (ч. 2 ст. 18.1). Онлайн-запись — это сбор данных через интернет, так что политика нужна. В ней указывают, кто оператор, какие данные и зачем обрабатываются, как долго хранятся и как клиент может их удалить.

2. Получать согласие клиентов

Согласие — до начала обработки, то есть до первой записи. Сохраняйте подтверждение: когда и на каких условиях клиент согласился. Если клиент отзывает согласие, его данные нужно перестать обрабатывать и удалить, если нет другого законного основания их хранить.

3. Уведомить Роскомнадзор

Перед началом обработки оператор направляет уведомление в Роскомнадзор (ст. 22). Исключений из этого правила немного, а с 2022 года их стало ещё меньше; онлайн-запись клиентов на услуги под них, как правило, не подпадает. Уведомление подаётся бесплатно, в том числе в электронном виде — через портал персональных данных Роскомнадзора. В нём указывают, какие данные и с какой целью вы обрабатываете, где они хранятся и как защищаются.

4. Хранить данные в России

При сборе персональных данных граждан России их запись, хранение и обновление должны вестись в базах данных, находящихся в России (ч. 5 ст. 18). Если вы пользуетесь сервисом записи, проверьте, где находятся его серверы.

5. Защищать данные и отвечать на запросы

Оператор принимает меры для защиты данных от утечки и неправомерного доступа (ст. 19). Для частного мастера это простые вещи: не держать базу клиентов в открытой таблице по ссылке, не пересылать её в чаты, защитить телефон паролем. Если клиент спрашивает, какие его данные у вас есть, или просит их удалить, ответить нужно в течение 10 рабочих дней (ст. 14, ст. 20, ст. 21).

Если вы пользуетесь сервисом онлайн-записи

Сервис записи хранит данные ваших клиентов, но оператором остаётесь вы. Сервис в этом случае — лицо, которое обрабатывает данные по вашему поручению (ч. 3 ст. 6): он действует по вашему заданию и обязан соблюдать конфиденциальность и защищать данные. Поручение оформляется договором — обычно это часть пользовательского соглашения сервиса.

Хороший сервис записи берёт рутину на себя: показывает клиенту политику и спрашивает согласие перед первой записью, хранит данные в России и помогает подготовить документы. Но уведомление в Роскомнадзор оператор подаёт сам — его не может подать за вас сервис.

Как это устроено в «Твоём мастере»

• Политика обработки данных и текст согласия формируются автоматически из ваших реквизитов — ФИО, ИНН и адреса, которые вы указываете в кабинете.
• Перед первой записью бот показывает клиенту ссылки на политику и согласие и просит подтвердить согласие кнопкой.
• Сервис собирает только то, что нужно для записи: имя, телефон, идентификатор в мессенджере и сведения о записях.
• Данные хранятся на серверах в России.

Коротко

1. Ведёте базу клиентов — вы оператор персональных данных.
2. Нужны политика обработки данных и согласие клиента до первой записи.
3. Подайте уведомление в Роскомнадзор.
4. Храните данные в России и защищайте их.
5. На запросы клиентов о данных отвечайте в течение 10 рабочих дней.

За нарушения закона о персональных данных предусмотрена ответственность по ст. 13.11 КоАП РФ, и в последние годы штрафы заметно выросли. Выполнить эти пять пунктов проще, чем потом разбираться с жалобой клиента.