Бизнес переходит в MAX разберитесь с персональными данными клиентов

Компании массово переводят чаты с клиентами, ботов и рассылки в мессенджер MAX, но часто просто меняют ссылку в шапке сайта. Согласия, договоры с подрядчиками и права доступа к переписке при этом остаются прежними. Разбираем, что нужно проверить оператору персональных данных, чтобы новый канал связи не стал поводом для штрафа по 152-ФЗ.

Компании одна за другой переносят общение с клиентами в мессенджер MAX. Переезд обычно выглядит просто. В шапке сайта появляется новая иконка, менеджеры получают доступ к рабочему аккаунту, бот из WhatsApp или Telegram переезжает на новую платформу. На этом миграцию часто считают законченной.

С точки зрения 152-ФЗ история только начинается. Компания как обрабатывала персональные данные клиентов, так и продолжает это делать, только через другой канал. Имя, номер телефона, содержание переписки, а иногда фото документов и геолокация. Всё это персональные данные, и на них действуют те же требования закона, что действовали в прежнем мессенджере.

MAX подчиняется тем же правилам 152-ФЗ, что и любой другой канал связи

Разница между WhatsApp, Telegram и MAX для 152-ФЗ непринципиальна. Оператором остаётся компания, которая собирает и хранит переписку, а не разработчик мессенджера. Поэтому на новый канал распространяются те же обязанности, что действовали для старого. Компании по-прежнему нужны законное основание обработки, актуальная политика обработки персональных данных и меры защиты.

При переезде чаще всего допускают одну ошибку. Обновляют техническую часть и забывают про документы. Бот подключили, рассылку настроили, а согласие на обработку персональных данных так и осталось сформулировано для старого канала три года назад.

Что проверить при подключении MAX для бизнеса

Основание обработки

Компания вправе писать клиенту в мессенджер, только если у неё есть законное основание. Это согласие субъекта или обработка, необходимая для исполнения договора с ним. Если раньше клиент соглашался на переписку в WhatsApp, а формулировка согласия не привязана к конкретному сервису, менять её не обязательно. Если же в тексте прямо назван мессенджер или способ связи, согласие стоит переформулировать или собрать заново.

Политика обработки персональных данных

Политику на сайте нужно свериться с фактическим списком каналов связи. Если в документе перечислены конкретные мессенджеры, а MAX среди них нет, это несоответствие фактуре. При проверке инспектор сравнивает документы с тем, что реально происходит в компании.

Договор с подрядчиком, который настраивает бота

Чат-бота в MAX редко делают своими силами. Чаще эту работу отдают интегратору или платформе для рассылок. Как только подрядчик получает доступ к переписке или базе контактов, он становится лицом, которому поручена обработка персональных данных. На это нужен отдельный договор поручения с перечнем действий, которые подрядчику разрешено выполнять с данными, и требованием соблюдать конфиденциальность.

Доступ сотрудников к переписке

Рабочий аккаунт в MAX часто ведут несколько менеджеров с общего устройства или через единую панель. Стоит зафиксировать, кто именно имеет доступ к диалогам с клиентами, и убрать этот доступ у сотрудников, которым он не нужен по работе. Список удобно оформить как приложение к внутреннему положению о персональных данных.

Сроки хранения переписки

Диалоги в мессенджере имеют свойство копиться годами без всякой цели. Нужно определить, сколько компания хранит переписку после того, как клиент перестал обращаться, и удалять данные по истечении этого срока, а не оставлять архив бессрочно.

Технические меры защиты

Если переписка попадает в информационную систему персональных данных, например выгружается в CRM, меры защиты этой системы должны соответствовать требованиям, которые устанавливает ФСТЭК России. Отдельный мессенджер сам по себе не отменяет эту обязанность.

Проверить разом все перечисленные пункты удобнее не на глаз, а по чек-листу:

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Частые вопросы

Нужно ли собирать новое согласие клиента, если раньше он писал в WhatsApp, а теперь пишет в MAX?

Если формулировка согласия не привязана к конкретному сервису и описывает цель обработки в общем виде, новое согласие не требуется. Политику обработки персональных данных при этом лучше обновить, чтобы список каналов связи соответствовал действительности.

Кто отвечает за утечку переписки, если бота в MAX настраивал подрядчик?

Перед клиентом и Роскомнадзором отвечает оператор, то есть компания, которая ведёт переписку, а не подрядчик, который её технически обслуживает. Это не освобождает подрядчика от ответственности перед компанией по договору, но не переносит на него обязанности оператора.

Нужно ли уведомлять Роскомнадзор о переходе на новый мессенджер?

Само переключение канала связи не требует отдельного уведомления. Обновить сведения в реестре операторов нужно, если вместе с переездом изменились категории обрабатываемых данных или цели обработки. Например, бот в MAX стал запрашивать данные, которых раньше не собирали.

Можно ли перенести базу контактов из старого мессенджера в MAX без дополнительных действий?

Перенос базы не создаёт нового основания для обработки. Годится то же основание, на котором данные собирались изначально. Если основания не было или оно устарело, перенос контактов в новый канал эту проблему не решает.

Дальше стоит пройтись по документам компании и свериться с полным списком требований для операторов персональных данных.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд