Защита персональных данных для автосервиса
Автосервис ведёт заказ-наряды с именем и телефоном клиента, историей ремонтов и данными автомобиля. Госномер и VIN сами по себе указывают на владельца, поэтому это тоже персональные данные. Разберём, что нужно оформить.
Знакомые ситуации
- •В заказ-нарядах имя, телефон, госномер и VIN — что из этого персональные данные.
- •Рассылаем напоминания о ТО и предложения о скидках.
- •По гарантии передаём данные дистрибьютору или производителю.
Что нужно по 152-ФЗ
Что здесь персональные данные
Персональные данные — любые сведения, относящиеся к определённому или определяемому человеку (пункт 1 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ). Госномер и VIN в паре с заказ-нарядом позволяют определить владельца, поэтому база клиентов и историй ремонта — это персональные данные, а не «только техника».
Основания: ремонт, напоминания, реклама
Приём в ремонт и расчёты — исполнение договора, согласия для этого обычно не требуется. Напоминание о готовности автомобиля укладывается в ту же цель, а предложения о скидках и сезонных акциях — реклама: на неё берут отдельное согласие, которое клиент вправе отозвать.
Передача по гарантии
Если сведения о ремонте передаются дистрибьютору или производителю, определяют, как именно: он действует по заданию сервиса (тогда это поручение на обработку по части 3 статьи 6) или как самостоятельный оператор (тогда фиксируют состав передаваемых данных и основание передачи).
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом.
Политика обработки
Политику обработки публикуют и дают к ней доступ там, где собираются данные — на сайте и в форме записи на сервис (часть 2 статьи 18.1 того же закона). Политика отвечает на вопрос, что и зачем вы обрабатываете, поэтому её текст пишется под ваши процессы, а не берётся с чужого сайта.
Объём данных и сроки
Копии паспорта и свидетельства о регистрации автомобиля собирают только там, где это нужно для договора или отчётности: данные должны соответствовать цели и не быть избыточными (часть 5 статьи 5). По достижении цели обработку прекращают, а данные уничтожают (часть 4 статьи 21).
С чего начать
Нужно ли уведомлять Роскомнадзор →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Что должно быть в согласии на рекламную рассылку: два основания сразу — часть 1 статьи 15 152-ФЗ и часть 1 статьи 18 закона «О рекламе», каналы связи, срок и порядок отзыва. Кто доказывает наличие согласия.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Госномер и VIN — это персональные данные?
В связке с заказ-нарядом и договором — да: по ним можно определить владельца, а персональные данные — это любые сведения, относящиеся к определяемому лицу (пункт 1 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ). Обезличенный технический список без привязки к клиенту персональными данными не является.
Нужно ли согласие на СМС о готовности автомобиля?
Нет: это часть исполнения договора на ремонт. Отдельное согласие нужно на рекламные сообщения — предложения скидок, сезонных акций и услуг, которые клиент не заказывал.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.