Интернет-магазин просит имя, телефон и адрес, чтобы оформить и доставить заказ. Но тот же телефон бизнес хочет использовать еще и для рекламы. Данные одни, а «цели обработки персональных данных» уже разные.
Цель отвечает на вопрос «зачем компании нужны эти сведения». Именно от нее зависят состав данных, правовое основание, срок хранения и допустимые действия с ними.
Сегодня же разберем, как сформулировать цель без общих слов, можно ли использовать данные для новой задачи и что делать после достижения результата.
О понятии
Итак, цель обработки персональных данных — это конкретный результат или задача, ради которой оператор работает со сведениями о человеке. Например, это может быть оформление заказа, ответ на обращение или ведение кадрового учета.
Оператор — тот, кто определяет, зачем и как обрабатывать данные. Подробнее этот статус мы разобрали в отдельной статье.
Обращаясь к первоисточнику, отдельного определения «цели обработки» Закон № 152-ФЗ не дает. Однако статья 5 требует, чтобы цели были конкретными, заранее определенными и законными. Кроме того, нельзя обрабатывать данные способом, несовместимым с целями их сбора.
Проще говоря, цель задает границы всей обработки. Если компания собирает телефон для звонка по заявке, это еще не разрешает использовать номер для любой другой задачи.
Пример ситуации
Допустим, клиент оставил имя и телефон, чтобы мастер перезвонил и согласовал ремонт. Для этой цели обычно не нужен паспорт. Если компания все равно требует его данные без отдельной причины, объем сведений может оказаться избыточным.
Поэтому цель лучше определять до создания формы, анкеты или базы.
Почему цель влияет почти на всю обработку
Сначала компания решает, какую задачу хочет решить. Затем под эту задачу выбирают данные, основание и срок работы с ними.
Например, для обратного звонка обычно достаточно имени и номера телефона. А для заключения конкретного договора могут понадобиться дополнительные сведения.
Статья 5 Закона № 152-ФЗ запрещает собирать данные «на всякий случай». Содержание и объем должны соответствовать заявленной цели.
Кроме того, статья 18.1 Закона № 152-ФЗ требует описывать каждую цель во внутренних документах. С ней связывают категории и перечень данных, сроки, способы обработки и порядок уничтожения.
То есть одна короткая формулировка влияет сразу на несколько документов и реальных процессов.
Цель и правовое основание — не одно и то же
Эти понятия легко перепутать. Цель объясняет, зачем нужны данные. Правовое основание показывает, почему закон разрешает их обрабатывать.
Например, цель — исполнить договор доставки. Основанием может быть договор с самим человеком, если обработка действительно нужна для его исполнения.
А для рекламных сообщений ситуация другая. Если бизнес напрямую продвигает товары через телефон или электронную почту, статья 15 Закона № 152-ФЗ требует предварительного согласия.
| Что определяем | На какой вопрос отвечаем | Пример |
|---|---|---|
| Цель | Зачем нужны данные | Доставить заказ |
| Правовое основание | Почему обработка разрешена | Исполнение договора с покупателем |
| Действия | Что делают с данными | Собирают, хранят и передают курьеру |
Поэтому фразы «хранение персональных данных» или «обработка по согласию» сами по себе не описывают цель.
Как правильно сформулировать цель
Хорошая формулировка дает понять, какой результат получает компания или человек. При этом она не должна быть шире реального процесса.
Например, вместо «ведение деятельности организации» лучше назвать конкретную задачу. Это может быть обработка заявки, исполнение договора, подбор кандидата или ведение кадрового учета.
А вот формулировки вроде «для любых законных целей» практически не задают границ. То же касается фразы «для деятельности компании», если из нее нельзя понять реальную задачу.
Цель не должна превращаться в универсальное разрешение на будущее. Чем шире формулировка, тем сложнее обосновать, какие именно данные действительно нужны.
Удобно проверять цель через три вопроса:
- Какой результат нужен. Например, обработать обращение клиента и дать ему ответ.
- Какие данные необходимы. Если для результата достаточно телефона, паспорт добавлять без причины не стоит.
- Когда задача закончится. Нужно заранее понимать, в какой момент цель будет достигнута.
Если на третий вопрос нет ответа вообще, стоит отдельно проверить срок хранения и основания для дальнейшей обработки.
Можно ли использовать одни данные для нескольких целей
Да, одни и те же сведения могут участвовать в нескольких процессах. Но каждую цель нужно оценивать отдельно.
Представим, что магазин получил телефон покупателя для доставки. После заказа компания решила отправлять на этот номер рекламные предложения. Это уже новая цель, и основание для первоначальной обработки ее автоматически не покрывает.
Телефон, который законно получили для исполнения заказа, нельзя считать универсальной базой для рекламы. Для прямого продвижения через средства связи нужно предварительное согласие.
При этом новая цель не всегда означает новое согласие. Например, обработка может опираться на другое основание из закона. Сначала оператор определяет задачу, а уже потом проверяет подходящее основание.
Кстати, у нас на сайте отдельно разобрана передача персональных данных третьим лицам. Если новая цель предполагает передачу подрядчику, нужно проверить и основание передачи, и необходимый объем сведений.
Кроме того, закон не разрешает объединять базы, если цели обработки несовместимы между собой.
Где нужно указывать цели обработки
Цель существует не только во внутренней таблице компании. Например, она появляется сразу в нескольких документах.
В частности, ее фиксируют:
- политика обработки персональных данных — описывает цели вместе с правилами работы с данными;
- локальные акты оператора — связывают цель с перечнем данных, сроками и порядком уничтожения;
- уведомление Роскомнадзора — раскрывает сведения отдельно по каждой заявленной цели;
- письменное согласие — включает цель, когда закон требует именно такую форму согласия.
Форма уведомления Роскомнадзора построена по тому же принципу. В частности, для каждой цели отдельно указывают категории данных, субъектов, правовое основание, действия и способы обработки.
Кстати, у нас на сайте есть статья про политику конфиденциальности. Ее содержание должно совпадать с реальными целями, а не с чужим шаблоном.
Если компания опирается на письменное согласие, статья 9 Закона № 152-ФЗ прямо требует включать в него цель обработки.
Что делать, если цель изменилась
Нельзя просто взять старую базу и начать использовать ее для новой задачи. Если задача изменилась, сначала нужно проверить, совместима ли новая обработка с прежней целью и есть ли для нее законное основание.
Например, компания собирала резюме только для закрытия конкретной вакансии. Если она хочет сохранить кандидата в кадровом резерве, появляется другая задача. Значит, нужно отдельно проверить основание и документы для такого хранения.
Если меняются сведения из уведомления Роскомнадзора, оператор сообщает об изменениях. По статье 22 Закона № 152-ФЗ это делают не позднее 15-го числа месяца, следующего за месяцем изменений.
Если прежнее согласие охватывало только старую цель, расширять его задним числом нельзя. Для новой обработки нужно найти самостоятельное основание и при необходимости получить новое согласие.
Кроме того, после изменения цели стоит сверить политику, локальные акты, договоры с обработчиками и сами информационные системы.
Что происходит после достижения цели
Цель влияет и на окончание обработки. В частности, по общему правилу хранить сведения бессрочно нельзя.
Статья 21 Закона № 152-ФЗ требует прекратить обработку и уничтожить данные не позднее 30 дней после достижения цели. Но из этого правила есть исключения.
Например, сведения могут продолжать храниться, если срок следует из закона или подходящего договора. Поэтому окончание доставки не означает, что компания должна в тот же день удалить всю информацию о покупке.
Пример ситуации
Допустим, интернет-магазин доставил заказ. Цель использования телефона для связи с курьером достигнута. Но часть сведений о покупке компания обязана сохранять по другим законным основаниям. Значит, нужно разделить данные и цели, а не удалить всю запись целиком без проверки.
Если уничтожить сведения в основной срок невозможно, закон предусматривает блокирование. Затем данные уничтожают в установленном порядке.
Как проверить свои цели обработки
Начинать лучше не с шаблона политики, а с реальных процессов компании.
Проверку можно провести так:
- Выпишите задачи. Например, продажи, доставка, подбор работников и ответы на обращения.
- Разделите разные результаты. Не объединяйте рекламу и исполнение заказа одной общей формулировкой.
- Подберите данные. Для каждой цели оставьте только необходимый перечень.
- Найдите основание. Это может быть закон, договор, согласие или другое основание статьи 6.
- Определите срок. Зафиксируйте момент достижения цели и дальнейшую судьбу данных.
- Сверьте документы. Политика, уведомление и реальные процессы не должны противоречить друг другу.
В итоге цель обработки должна отвечать на простой вопрос: зачем компании нужны конкретные сведения о конкретном человеке. Если ответ получается расплывчатым, границы обработки тоже становятся расплывчатыми.