Форма обратной связи просит телефон, дату рождения, адрес и паспортные данные. Но для ответа клиенту компании нужен только способ связи. Именно с такими ситуациями связана «минимизация персональных данных».
Минимизация не означает, что оператор всегда должен собирать один или два поля. Смысл другой: каждое обрабатываемое сведение должно быть связано с конкретной целью, а общий объем данных не должен быть для нее избыточным.
Сегодня же разберем, как определить достаточный объем сведений и почему согласие человека не разрешает собирать все подряд. Кроме того, посмотрим, как этот принцип работает на сайте, в отношениях с клиентами и при работе с персоналом.
О понятии
Итак, минимизация персональных данных — это подход, при котором оператор обрабатывает только те сведения и в том объеме, которые нужны для конкретной цели.
При этом сам Закон № 152-ФЗ не использует отдельное определение «минимизация персональных данных». Термин удобно описывает сразу несколько требований статьи 5.
Обращаясь к первоисточнику, части 4 и 5 статьи 5 Закона № 152-ФЗ требуют обрабатывать только данные, которые отвечают целям обработки. Кроме того, их содержание и объем должны соответствовать заявленным целям и не быть избыточными.
Проще говоря, сначала оператор отвечает на вопрос «зачем нужны данные». И только затем решает, какие сведения действительно потребуются.
Пример ситуации
Допустим, посетитель сайта оставляет заявку на обратный звонок. Для связи компании нужен номер телефона. Имя тоже может потребоваться, если оно используется при обработке обращения. А вот паспорт, семейное положение и домашний адрес без дополнительной причины к такой цели отношения не имеют. Их сбор может оказаться избыточным.
Как минимизация связана с целью обработки
Цель задает границы допустимого объема данных. Поэтому оценивать отдельное поле само по себе неправильно.
Например, адрес нужен для курьерской доставки. Однако при самовывозе тот же адрес клиента может уже не требоваться. В свою очередь, дата рождения может иметь значение там, где закон требует проверить возраст, но быть лишней для обычной заявки.
То есть одни и те же сведения могут быть необходимыми для одной задачи и избыточными для другой.
Кстати, саму логику целеполагания мы подробно разобрали в статье про цель обработки персональных данных. Именно с определения цели стоит начинать проверку формы, анкеты или базы.
При этом широкая формулировка цели не решает проблему. Например, фраза «для деятельности компании» не превращает любой набор сведений в необходимый.
Сначала нужно назвать реальную задачу. Затем уже под нее подбирают перечень данных.
Как определить необходимый объем данных
Универсального списка минимальных персональных данных нет. Поэтому оператор оценивает объем отдельно для каждой цели.
Полезно пройти пять шагов:
- Во-первых, сформулируйте конкретную цель обработки.
- Во-вторых, выпишите сведения, без которых эту задачу нельзя нормально выполнить.
- В-третьих, отдельно проверьте каждое дополнительное поле и объясните, зачем оно нужно.
- В-четвертых, уберите данные, которые собираются только «на всякий случай».
- В-пятых, сравните реальный набор данных с политикой, локальными актами и уведомлением Роскомнадзора.
При этом минимизация не требует искусственно сокращать сведения до самого маленького числа полей. Если для исполнения договора действительно нужны фамилия, телефон и адрес, оператор может работать со всеми этими данными.
Проблема начинается там, где необходимость конкретного сведения нельзя связать с заявленной целью.
Хороший проверочный вопрос звучит так: «Что именно мы не сможем сделать, если перестанем получать это поле?» Если понятного ответа нет, стоит проверить данные на избыточность.
Что считается избыточными персональными данными
Избыточность возникает, когда оператор собирает или продолжает обрабатывать больше сведений, чем требует его задача.
Например, риск появляется, если:
- анкета содержит сведения, которые никак не используются для заявленной цели;
- форма требует подробные данные там, где достаточно контактной информации;
- копии документов сохраняются без понятной необходимости;
- вся клиентская база передается подрядчику, хотя ему нужна только ее часть;
- старые сведения продолжают храниться после исчезновения основания для их обработки.
При этом нельзя заранее назвать любое конкретное поле избыточным. Сначала нужно знать цель и другие применимые требования закона.
Например, паспортные сведения вполне могут потребоваться для одной операции. Однако из этого не следует, что полную копию паспорта можно хранить для любой последующей задачи.
Судебная практика тоже показывает такой подход. В частности, суды признавали избыточным хранение работодателем копий паспорта и некоторых других документов, когда для кадровой цели такого объема не требовалось.
Согласие не отменяет минимизацию
Иногда оператор рассуждает так: если человек подписал согласие, значит можно собрать любой указанный в нем объем сведений. Однако статья 5 Закона № 152-ФЗ продолжает действовать и при обработке на основании согласия.
Иначе говоря, согласие отвечает прежде всего на вопрос об основании обработки. А минимизация — на вопрос о допустимом составе и объеме данных для выбранной цели.
Кроме того, само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Это закреплено в статье 9 Закона № 152-ФЗ.
Важно понимать, что подпись человека не превращает избыточный набор сведений в необходимый. Поэтому сначала оператор определяет цель и разумный объем данных, а уже затем проверяет подходящее правовое основание.
Особенно внимательно стоит относиться к чувствительным сведениям. Например, данные о здоровье, национальности или религиозных убеждениях относятся к специальным категориям и обрабатываются по отдельным правилам.
Кстати, такие сведения мы разобрали в статье про специальные категории персональных данных.
Минимизация данных на сайте
На сайте принцип проще всего проверить по формам. Для каждого обязательного поля должна быть понятна связь с задачей пользователя.
Например, форма обратного звонка и оформление доставки решают разные задачи. Поэтому одинаковый набор полей для них может быть неоправданным.
Кроме того, полезно разделять обязательные и необязательные сведения. Если поле нужно только для дополнительной функции, не стоит делать его условием основной услуги без причины.
Пример ситуации
Интернет-магазин оформляет заказ с самовывозом. Покупатель указывает имя и телефон для связи. Однако форма не пропускает заказ без даты рождения, хотя товар не имеет возрастных ограничений, а отдельной задачи для этой даты компания не называет. В такой ситуации обязательность поля стоит пересмотреть.
Для потребительских отношений действует и специальное правило.
В частности, пункт 4 статьи 16 Закона о защите прав потребителей запрещает отказывать потребителю в заключении или исполнении договора из-за отказа предоставить персональные данные. Исключение действует, если предоставление этих данных предусмотрено законом или непосредственно связано с исполнением договора.
Поэтому обязательное поле в форме должно иметь не только техническую, но и содержательную причину.
Минимизация при работе с сотрудниками
Работодатель действительно обрабатывает большой объем сведений. Однако статус работодателя не дает права хранить любые документы работника без ограничения.
Например, при приеме на работу сотрудник предъявляет паспорт. Из него работодатель получает необходимые сведения. Но дальнейшее хранение полной копии требует отдельной проверки: действительно ли она нужна для конкретной законной цели.
То же касается анкет. Не стоит добавлять вопросы о родственниках, долгах, судимости или иных обстоятельствах только потому, что информация может когда-нибудь пригодиться.
В отдельных случаях такие сведения прямо требуются законом. Тогда ситуация меняется. Однако причина должна следовать из конкретной обязанности, а не из общего желания узнать о сотруднике больше.
Минимизация работает и в кадровых процессах: оператору нужен не максимально подробный профиль работника, а тот состав сведений, который связан с трудовыми отношениями и другими законными задачами работодателя.
Минимизация после сбора данных
Принцип касается не только момента заполнения формы. Хранение тоже входит в обработку персональных данных.
Поэтому старые базы нужно периодически пересматривать. Сведения, которые раньше были нужны, со временем могут потерять связь с действующей целью.
При этом удалять данные сразу после выполнения любого отдельного действия тоже нельзя без проверки. Например, закон может требовать хранить часть документов определенный срок.
Обращаясь к закону, часть 4 статьи 21 Закона № 152-ФЗ требует после достижения цели прекратить обработку и уничтожить данные не позднее 30 дней. Однако это правило содержит исключения. Например, дальнейшая обработка может быть допустима по договору или другому предусмотренному законом основанию.
То есть окончание одной цели еще не всегда означает удаление всей записи. Сначала нужно проверить, есть ли другая законная причина сохранить конкретные сведения.
Минимизация и срок хранения
Эти правила связаны, но отвечают на разные вопросы.
| Правило | Главный вопрос | Пример |
|---|---|---|
| Минимизация | Какие сведения действительно нужны | Не запрашивать паспорт для обычного обратного звонка |
| Ограничение цели | Зачем данные обрабатываются | Не использовать телефон из заявки для другой несовместимой задачи |
| Ограничение хранения | Как долго сведения еще нужны | Не держать базу бессрочно после исчезновения цели и оснований |
| Обезличивание | Нужно ли сохранять связь сведений с конкретным человеком | Использовать данные для разрешенной задачи в обезличенном виде, когда это подходит |
Таким образом, минимизация не заменяет остальные принципы. Например, можно собрать небольшой объем данных, но использовать его для несовместимой цели. Это уже другая проблема.
В свою очередь, большое количество надежно защищенных данных тоже может быть избыточным. Хорошая информационная безопасность не дает права собирать лишние сведения.
Для сравнения, требование не раскрывать сведения посторонним относится уже к конфиденциальности персональных данных. Минимизация отвечает не на вопрос «кому можно показать данные», а на вопрос «нужны ли они оператору вообще».
Как проверить компанию на избыточный сбор
Начинать лучше не с текстов согласий, а с реальных процессов. Иначе документы могут выглядеть аккуратно, а формы продолжат собирать лишние сведения.
Проверку можно провести так:
- Во-первых, выпишите все действующие цели обработки.
- Во-вторых, сопоставьте каждой цели конкретный перечень персональных данных.
- В-третьих, найдите сведения, для которых нельзя объяснить необходимость.
- В-четвертых, проверьте обязательные поля форм, анкеты, копии документов и доступ подрядчиков.
- В-пятых, пересмотрите сроки хранения и удалите данные, для дальнейшей обработки которых нет основания.
Кроме того, результат нужно перенести в документы оператора. По статье 18.1 Закона № 152-ФЗ локальные акты должны определять для каждой цели категории и перечень данных, сроки обработки и хранения, а также порядок уничтожения.
Кстати, сам оператор и его основные обязанности разобраны в нашем материале про оператора персональных данных.
В итоге минимизация начинается с простого принципа: не собирать сведения только потому, что технически это возможно. Сначала должна появиться конкретная законная цель. Затем под нее выбирают достаточный объем данных и регулярно проверяют, остается ли он необходимым.