Що таке персональні дані

Поговоримо про те, що таке персональні дані та що до них належить.

Персональні дані (ПДн) - це інформація, яка стосується конкретної людини та дозволяє її ідентифікувати.

Що вважається персональними даними, визначено у N 152-ФЗ РФ.

Бізнес збирає персональні дані, щоб робити клієнтам вигідніші пропозиції.

Наприклад, якщо ми знаємо історію покупок чи середній чек, то запропонуємо покупцеві знижки та цікаву добірку товарів.

Інший приклад - через додаток у смартфоні компанія знає як мінімум ПІБ клієнта, номер його телефону та адресу електронної пошти. А ще — адреси доставки, транзакції по карті, дату народження, склад сім'ї і купу всього.

Третій приклад – компанія проводить опитування, використовуючи наші квізи. Запитує різне – від смаків у їжі та одязі до періодичності відвідувань стоматолога.

А що з перерахованого є ПД?

Що стосується персональних даних, а що ні

Тут визначимо, що персональними даними.

Персональні дані, що до них належать

У законі N 152-ФЗ немає точного визначення, що стосується персональних даних людини, є лише вказівка ​​на можливість ідентифікації людини за цими даними.

Те, що точно дозволяє ідентифікувати клієнта, це:

- реквізити банківського рахунку,

Деякі дані про людину, наприклад номер телефону або його ім'я, окремо не дозволяють його ідентифікувати, проте якщо компанія має доступ до них у сукупності, це зробити просто. На ім'я «Іван Петров» не можна визначити особистість, але якщо ми знаємо його місце роботи, наприклад, ТОВ «Альянс Плюс», ми зможемо знайти його серед співробітників цієї компанії.

Далі розповімо, що найчастіше входить до персональних даних фізичної особи.

Що входить до персональних даних

➕ Ім'я, прізвище, по батькові

➕ Контактна інформація: адреса, номери телефонів, електронна пошта, поштові адреси.

➕ Ідентифікаційні номери: номери паспорта, ІПН, СНІЛЗ та інші ідентифікаційні коди.

➕ Інформація про місцезнаходження людини: GPS-координати.

➕ Фінансова інформація: банківські реквізити, номери карток, інформація про доходи, витрати, кредити.

➕ Медична інформація: дані про здоров'я та медична історія.

➕ Інформація про роботу та освіту: місце роботи, посада, освіта.

Ось так виглядає персональна інформація, зібрана за допомогою квізу з підбору заміського будинку в оренду. Клієнт витратив на проходження квиза лише одну хвилину, і залишив багато корисних відомостей.

Що не є персональними даними

➖ Анонімні дані: інформація не може бути пов'язана з конкретною людиною. Наприклад, ми проводимо анонімне опитування щодо якості обслуговування серед наших клієнтів

➖ Агреговані дані: дані узагальнені та не можуть бути використані для ідентифікації окремої людини. Приклад - компанія використовує дані CRM, щоб скласти середній портрет цільової аудиторії

➖ Загальні контактні дані: загальні адреси електронної пошти або телефонні номери компаній, як правило, не вважаються персональними даними, якщо вони не пов'язані з конкретними людьми

☝ А як же дані із соціальних мереж? Користувачі вказують багато особистої інформації, але вона є загальнодоступною, навіть якщо доступ відкритий всім. Збирати досьє на людину із соцмереж не дозволяється

Навіщо бізнесу збирати персональні дані

Бізнес збирає персональні дані з різних причин, і це може бути корисним як для самих компаній, так і для клієнтів.

Ось деякі основні цілі збору персональних даних бізнесом:

1. Персоналізація — для створення персоналізованих пропозицій, послуг та рекомендацій на основі переваг та інтересів клієнтів.

За допомогою квіза клієнти легко діляться планами про покупку квартири.

2. Маркетинг та реклама — для налаштування таргетованої реклами та маркетингових кампаній на певну аудиторію на основі даних про користувачів та їх інтереси.

Угода на використання cookie з'являється у вигляді спливаючого вікна на головній сторінці Марквіз

3. Управління відносинами із клієнтами - для покращення взаємодії з клієнтами, кращого обслуговування та підтримки.

Дізнатися у покупців, що вони про вас думають – це корисно для бізнесу та приємно для клієнта. Щоб зібрати всі відповіді в одному місці та залучити більше респондентів, скористайтесь готовим шаблоном квіза

4. Аналіз даних та дослідження — для розуміння споживчих тенденцій та розробки нових стратегій.

Як дізнатися зворотний зв'язок про захід, якщо учасників було понад тисячу? Щоб покращувати продукт відповідно до запитів клієнтів, можна провести онлайн-опитування за допомогою готового шаблону квиза для збирання думок

5. Безпека та захист — для забезпечення безпеки та автентифікації користувачів.

При повторному вході в конструктор Марквіз система підставить пошту та пароль автоматично

6. Дослідження та розробка продуктів — для аналізу даних про переваги та потреби клієнтів.

Для стартапу важливо з'ясувати, чи потрібен людям новий продукт і що вони від нього чекають. Тут підійде шаблон квиза для дослідження ринку

7. Надання послуг - для доставки товарів чи медичного обслуговування.

Який косметичний догляд радити клієнткам? Щоб дізнатися, які проблеми вони хочуть вирішити, можна запропонувати квіз та персональну добірку косметики. Готовий шаблон є у Галереї

8. Освіта та навчання - для аналізу успішності учнів чи студентів.

Навчання іноземної мови починається з визначення знань студента. За допомогою квіза можна зробити це в ігровій формі, якщо скористатися готовим шаблоном

9. Контроль працівників компанії можуть збирати дані для контролю робочої активності та оцінки продуктивності співробітників.

Важливо інформувати клієнтів про цілі збору даних та отримати від них згоду на обробку персональних даних.

Що таке згоду на обробку персональних даних?

Згода на обробку персональних даних - це однозначний дозвіл від конкретної людини на те, щоб компанія могла обробляти його персональні дані.

Згода на обробку персональних даних повинна відповідати таким критеріям:

✅ Повинно бути чітко вказано, для яких цілей дані використовуватимуться. Це може бути надання певних послуг, розсилання чи реклама.

✅ Людина має явно висловити згоду на обробку своїх персональних даних.

✅ Потрібно вказати, які дані будуть збиратися: ім'я, адреса, номер телефону, адреса електронної пошти тощо.

✅ Вказано терміни обробки персональних даних.

✅ Прописані права користувача на доступ до даних, право на виправлення неточностей, право на видалення даних та ін.

✅ Якщо дані передаватимуться третім особам, це також має бути зазначено у згоді.

✅ Потрібно отримати окрему згоду на маркетингові комунікації.

Якщо дані будуть використовуватися для маркетингових цілей, користувач повинен надати окрему згоду на це. Те саме стосується згоди на використання «cookies».

✅ Вказано можливість скасувати згоду.

✅ Вказано контактну інформацію оператора.

Повинні бути надані контактні дані відповідальної особи, щоб користувач міг звернутися до запитань або запитів.

✅ Оформлено поінформовану згоду.

Згода має бути запропонована після того, як людина отримала всю необхідну інформацію і повністю розуміє, як її дані використовуватимуться.

Усі ці пункти збирають у два окремі документи — Політику конфіденційності та Згоду на обробку персональних даних.

☝ Правила щодо отримання згоди на обробку ПД прописані в Загальному регламенті про захист даних (GDPR) у Європейському Союзі та Федеральному законі РФ «Про персональні дані» від 27.07.2006 N 152-ФЗ.

Суб'єкти та оператори

Розберемо терміни, що використовуються у законодавстві захисту персональних даних.

Суб'єкти персональних даних – це користувачі, у яких запитують якісь дані.

Оператори персональних даних - це компанії, які збирають та обробляють отримані дані.

Наприклад, дівчина Маша – суб'єкт ПД – вирішує зробити покупку у нашому інтернет-магазині. Для цього їй необхідно зареєструватися на сайті магазину та оформити замовлення.

Наш інтернет-магазин — оператор ПД — збирає інформацію про Машу:

Маша читає та приймає політику конфіденційності, перевіряє на сайті угоду про обробку персональних даних.

Інтернет-магазин обробляє дані Маші для оформлення замовлення та доставки товарів.

Маша отримує підтвердження про замовлення та інформацію про доставку на свою пошту. Вона також може ставити запитання про замовлення або попросити видалити дані після завершення угоди.

Як оператору працювати з персональними даними

Як правильно працювати з персональними даними, зазначено у 5 статті ФЗ 152.

Визначимо основні етапи:

1. Збір персональних даних.

Наприклад, коли користувач реєструється в соціальній мережі та вказує своє ім'я та адресу електронної пошти, це збирання персональних даних.

2. Обробка персональних даних.

На цьому етапі дані аналізуються чи перетворюються. Так, якщо програма рекомендує музику на основі того, що клієнт слухав раніше, це обробка даних.

3. Зберігання персональних даних.

Після збору та обробки дані мають десь зберігатися. Можна зберігати на серверах або базах даних.

4. Захист персональних даних.

Компанії зобов'язані дбати про безпеку даних та запобігати витоку або злому. Це включає прогноз погроз безпеки та шифрування.

5. Знайомство з документами та правилами.

Компанія має надавати документи, які визначають, як вони працюють із даними. Це політика конфіденційності та процедури для дотримання законів про захист даних.

Оператори персональних даних несуть відповідальність за правильну та законну обробку інформації.

☝ Що вимагає Європейське законодавство у сфері захисту персональних даних, розповідаємо у статті Що таке GDPR

Зібрали в таблицю найпоширеніші випадки, коли виникає питання про правильність збору ПД:

Яких умов зобов'язаний дотримуватись оператор при обробці персональних даних

Компанія зобов'язана подати заяву до Роскомнагляду до початку збору ПД. Це можна зробити через держпослуги, подати заяву особисто чи через сайт відомства.Після подання заяви протягом 30 днів компанію включать до реєстру операторів, що здійснюють обробку персональних даних.

☝ Також заяву потрібно подавати, якщо відомості з минулої заяви зміняться або якщо збір ПД буде припинено.

Перед поданням заяви слід визначити відповідального співробітника, а потім вказати її в заяві.

Марквіз є оператором персональних даних та включений до Реєстру операторів.

Ще потрібно скласти Політику конфіденційності для користувачів та Положення про обробку та забезпечення безпеки персональних даних для внутрішнього користування.

Також знадобиться форма згоди на обробку ПД.

У квізах ми вказуємо чекбокс із положенням про обробку ПД та політикою конфіденційності, щоб збирати дані про клієнтів законно.

Дотримання цих умов і правил є важливим для захисту приватного життя людей.

Висновок

Квізи збирають ті персональні дані, які потрібні компанії для просування своїх товарів або послуг. За допомогою цього інструменту люди самі розповідають про себе важливу інформацію.

Ми дбайливо зберігаємо отриману інформацію. За останні 6 років роботи у нас не трапилося жодного витоку.

Реєструйтеся у конструкторі Марквіз та спробуйте зібрати квіз для вашого бізнесу.

Що стосується персональних даних: нюанси роботи з персональними даними

У статті розберемося, що стосується персональних даних і як правильно працювати з такою інформацією, щоб не порушувати чинний закон.

Згідно з прийнятим у 2006 році Федеральним законом № 152-ФЗ, організації зобов'язані захищати будь-яку інформацію про своїх співробітників і клієнтів.Оператором персональних даних (ПД) вважається будь-яка організація, яка має хоча б одного співробітника чи клієнта. Відповідальність за порушення цього закону може понести й фізична особа — наприклад, самозайнятий, який працює з приватними клієнтами та зберігає відомості про них. Великі компанії зазвичай містять штат юристів, які знають нюанси роботи з ПД. На які моменти варто звернути увагу невеликій фірмі?

Що таке персональні дані

Відповідно до закону № 152-ФЗ, персональними даними (ПД) вважається будь-яка інформація, яка прямо чи опосередковано відноситься до певної чи визначеної фізичної особи. Дія закону поширюється як у громадян РФ, і на іноземців. Персональними даними є лише ті відомості, на основі яких можна зрозуміти, про яку саме фізичну особу йдеться. Наприклад, компанія, що управляє, може вивісити в під'їзді список квартир, що мають борги за комунальні платежі. А ось вказувати в ньому прізвища боржників та суму заборгованості вже не можна: це буде розголошенням конфіденційних відомостей.

Які дані є персональними

• Загальні. Це основні відомості про фізичну особу: П. І. О., дата народження, номери документів, що підтверджують особу, місця роботи або навчання, адресу та телефон, громадянином якої країни є людина, чи одружена.
• Спеціальні. Тут йдеться про особистість суб'єкта: його расу і національність, релігійні та політичні погляди, особисте життя. Сюди належить інформація про особливості фізичного здоров'я.
• Біометричні. Такими даними є всі біологічні особливості: зовнішність, результати дактилоскопії, колір шкіри та очей, ріст, вага, група крові.
• Інші.Це всі дані, які не можна зарахувати до попередніх груп: наприклад, належність до певного соціуму, захоплення, відомості про фінансове становище.

Будь-яка комбінація понять, що входять до цього переліку та дозволяють визначити конкретного суб'єкта, є ПД та охороняється законом. Але все не так однозначно. Наприклад, серед не лише юристів, але навіть чиновників Роскомнагляду немає однозначної думки, чи вважати просто прізвище, ім'я та по батькові людини персональними даними. Все залежить від цілей, контексту та того, з якими ще даними використовуються ПІБ.

У яких випадках потрібно збирати персональні дані

Найчастіше компаніям доводиться збирати відомості про своїх співробітників та замовників. Відомості про працівників необхідні ведення діяльності підприємства, інформація про клієнтів зазвичай необхідна реалізації маркетингових кампаній. Інколи ж для вдосконалення процесів потрібно знати більше про представників партнерських організацій. У будь-якому випадку суб'єкти повинні надати згоду на всі дії з персональними даними, до яких належать збір, передача, запис та зберігання.

Таким чином, левова частка компаній, які ведуть свою діяльність, стає операторами ПД. Реєстр операторів веде Роскомнагляд, порядок потрапляння туди – заявний. Організація сама повідомляє регулятору, що веде обробку ПД. Але відсутність компанії у реєстрі не звільняє її від виконання закону.

ПД співробітників потрапляють до компанії ще до підписання трудового договору: робота менеджера з персоналу в тому числі має на увазі ведення бази кандидатів, де є відомості про професію, номер телефону та імена.Сервіси з пошуку роботи іноді захищають роботодавців, включають пункт про використання інформації з резюме в угоду користувача, проте вважається, що краще взяти згоду на обробку ПД у кандидата ще раз, на етапі співбесіди.

Що стосується збору відомостей про клієнтів, необхідно знайти баланс між бажанням компанії дізнатися якнайбільше про своїх замовників, щоб робити їм релевантні пропозиції, та вимогами законодавства. Правові відносини можуть вважатися розпочатими вже в момент, коли людина вперше зайшла на сайт компанії та схвалила cookies (це файли, де зберігається інформація про поведінку користувача в мережі).

Збір інформації юридичних осіб не входить у текст закону № 152-ФЗ. Однак часто компанії ведуть бази, в яких містяться особисті відомості про представників їхніх партнерів. Наприклад, багато хто зберігає дати народження керівників та ключових співробітників своїх контрагентів, щоб вітати їх. Цей випадок також стосується ситуацій, коли потрібно отримати дозвіл від суб'єктів ПД або хоча б не зберігати цю інформацію в робочих програмах.

Обробка персональних даних та її особливості

Організація може збирати, передавати, записувати, зберігати, вилучати та знеособлювати відомості про своїх клієнтів та співробітників.

Усі ці операції мають здійснюватися згідно із законом. Це означає, що суб'єкт ПД повинен підписати згоду на кожну з перерахованих вище операцій. Наприклад, якщо ви практикуєте передачу списків співробітників для оформлення перепусток адміністрації бізнес-центру, в якому розташований офіс, потрібно врахувати цей факт під час підготовки паперів на працевлаштування.

При отриманні згоди важливо визначити цілі, для яких будуть використані ПД.Відступати від них не можна. Якщо ви зберегли телефони клієнтів виключно для надсилання повідомлень про статус замовлення, не варто надсилати на них рекламні розсилки. І, очевидно, не можна надавати базу даних партнерським організаціям: це вважається грубим порушенням. Щоправда, донедавна штрафи за це були мізерними. Але в грудні 2023 року Путін підписав закон №589, який вносить зміни до КОАП та встановлює штраф до 1 млн рублів за порушення при поводженні з біометричними персональними даними та за обробку ПД без згоди до 700 тис. рублів для юросіб.

Персональні дані Що до них відноситься

Захист персональних даних відіграє величезну роль у сучасному світі, оскільки з розвитком інтернету та цифрових технологій все більше інформації про людей стає доступною для сторонніх осіб. Тому важливо усвідомлювати, що за відомості про себе-улюблених ми виносимо до суспільного простору.

Що таке персональні дані

Персональні дані - це будь-яка інформація про людину, яка може бути використана для її ідентифікації. Це може бути ім'я та прізвище, адреса, номер телефону, адреса електронної пошти, фотографії та інші відомості про людину.

Кожна людина також має виявляти обережність, оперуючи інформацією про себе. Тому краще не ділитися своїми особистими даними з невідомими особами, не відкривати спам та не переходити за підозрілими посиланнями. Також важливо не використовувати однакові паролі для різних облікових записів і регулярно їх змінювати (паролі в сенсі), щоб захистити свій особистий інформаційний простір.

Згода на обробку персональних даних

Це документ, який містить обов'язкові елементи:

- Вказівка ​​цілей обробки даних,

- перелік самих даних,

- термін та місце дії згоди,

- інформацію про особу, яка відповідає за обробку даних.

Як правило, цей формуляр широко використовується у сфері комерційної діяльності: компанії, організації та підприємці зобов'язані отримати на обробку даних згоду клієнтів. Це стосується різних галузей бізнесу, включаючи інтернет-магазини, медичні установи, банки, страхові компанії тощо.

Важливо зазначити, що згода на обробку даних також використовується у сфері освіти, медицини та трудових відносин. Наприклад, це трапляється під час вступу до навчальних закладів, проведення медичних процедур та укладення договорів про працевлаштування. Згода має бути законною, тобто явною і добровільною.

Закон про захист персональних даних

Це юридичний документ, який регулює порядок збирання, зберігання, використання та захисту персональних даних громадян. У Росії він називається «Федеральний закон від 27 липня 2006 року № 152-ФЗ «Про персональні дані».

Суть у тому, що він забороняє несанкціонований доступом до особистої інформації громадян. Це якщо коротко. Закон про захист персональних даних працює в Росії з 1 січня 2007 року.

Що стосується персональних даних

1. Інформація про особу

До цієї категорії належить інформація, яка дозволяє встановити особу людини, наприклад, її ім'я, прізвище, дату народження, адресу проживання та інші ідентифікуючі дані.

2. Контактна інформація

Це включає номери телефонів, адреси електронної пошти, а також будь-яку іншу інформацію, яка дозволяє зв'язатися з конкретною людиною.

3. Фінансова інформація

Сюди відносяться дані про банківські рахунки, номери кредитних карток, інформація про доходи та витрати, а також будь-яка інша інформація про фінансове становище людини.

4. Медична інформація

Це дані про стан здоров'я, медичні історії, результати обстежень, інформація про ліки та інше, які можуть бути використані для ідентифікації конкретної людини.

5. Генетична інформація

Це інформація про генетичний код людини, результати генетичних аналізів, дані про генетичні захворювання та спадковість.

6. Біометричні дані

Сюди входять відбитки пальців, сканування сітківки ока, голосові дані та інша інформація, яка дозволяє ідентифікувати людину за її унікальними фізіологічними особливостями.

7. Інформація про місцезнаходження

Це дані про місцезнаходження людини в реальному часі або в певний час, наприклад, відомості про місцезнаходження за допомогою GPS, мобільних пристроїв і т.д.

8. Соціальна інформація

До цієї категорії можна віднести дані про соціальний статус, громадянство, сімейний стан, освіту, місце роботи та інші подібні відомості.

Суб'єкти та оператори персональних даних

Суб'єктами персональних даних вважаються громадяни, чиї персональні дані піддаються обробці різними організаціями та особами. Це може бути як фізичні особи, і підприємства, організації та установи. Суб'єкти мають права. Ось вони:

Право на доступ

Суб'єкти можуть і повинні знати, яка інформація про них обробляються оператором.

Право на виправлення

Можуть вимагати від оператора виправити дані про себе, які стали неповними, неточними або упс застаріли.

Право на видалення

Можуть вимагати видалення даних у випадку, якщо вони більше не потрібні для тих цілей, для яких вони були зібрані.

Право на обмеження обробки

Можна також обмежити обробку даних у деяких випадках. Наприклад, при заперечуванні точності інформації.

Відповідно, оператори персональних даних — це зазвичай організації, які працюють безпосередньо з персональними даними громадян, а саме — збирають інформацію, зберігають її та застосовують відповідно до закону. Обов'язки операторів включають збирання та обробку інформації в законних цілях, охорону конфіденційності даних, у тому числі несанкціонований до них доступ. Крім того, оператори повинні отримувати згоду громадян, а також забезпечити доступ цих громадян до своїх персональних даних.

Робота з персональними даними: основні етапи

1. Збір персональних даних

Оператори мають чітко визначити цілі, для яких необхідно збирати інформацію із громадян. У цьому збір має здійснюватися з законних підставах (див. вище).

2. Обробка персональних даних

Оператори зобов'язані забезпечити безпечне зберігання, використання та захист персональних даних громадян великої країни. А використання отриманої інформації здійснюється ними тільки для цілей, зазначених під час збору даних.

3. Надання доступу та забезпечення прав суб'єктів

Не будемо повторюватися — про це ми вже написали вище.

4. Знищення персональних даних

- Після закінчення терміну дії даних або після досягнення мети їхньої обробки, як правило, вони знищуються. Ретельно — так, щоб унеможливити їх відновлення третіми особами.

Штраф за витік персональних

Це покарання, яке може бути накладено на організацію або організацію, якщо конфіденційна інформація про людей була неправильно використана або потрапила в чужі руки. Іншими словами, це як штраф за те, що ваші секрети були розкриті без вашого дозволу.

Якщо компанія не змогла захистити особисті дані своїх клієнтів від витоку, вона може бути зобов'язана заплатити велику суму грошей як штраф. Це високий штраф, тому що втрата особистих даних може призвести до серйозних проблем для людей, таких як крадіжка ідентичності чи шахрайство.

Робота з персональними даними вимагає суворого дотримання законодавства про захист даних та поваги до прав громадян на конфіденційність інформації. Оператори повинні здійснювати всі етапи обробки даних з максимальною відповідальністю та увагою до дотримання принципів нерозголошення та безпеки особистої інформації.

Читайте також, що таке Ростест (РСТ):

Що таке Ростест для телефону Які ви отримаєте переваги, набуваючи нового девайсу з таким знаком, і чи варто за нього переплачувати

Знак РСТ, поставлений на телефоні, для багатьох є запорукою якості та того, що апарат, який був куплений з ним, працюватиме гарантовано добре. Розбираємось, наскільки вірне це твердження