Цель обработки отвечает на вопрос: ради какого конкретного результата бизнес использует данные человека. Формулировка «для осуществления деятельности компании» почти ничего не объясняет. Под нее можно подвести любой процесс, а закон требует заранее определить конкретные и законные цели.
Хорошая цель помогает сразу понять, какие данные нужны, кому можно дать доступ и когда сведения пора удалить.
Как выглядит рабочая цель
Начните с действия бизнеса и результата для конкретного процесса.
| Слишком общо | Понятнее и ближе к процессу |
|---|---|
| Оказание услуг | Заключение и исполнение договора на оказание юридических услуг |
| Работа с клиентами | Обработка обращения и подготовка ответа на запрос клиента |
| Маркетинг | Направление рекламных сообщений при наличии необходимого согласия |
| Кадровая работа | Заключение, исполнение и прекращение трудового договора |
| Улучшение сайта | Анализ посещаемости и технической работы сайта |
Формулировка не должна быть красивой. Она должна быть проверяемой. Если сотрудник не понимает, относится ли его действие к цели, значит, цель стоит уточнить.
Что привязать к каждой цели
Цель нельзя заполнять отдельно от остальных сведений. Для нее нужно определить:
- категории людей: клиенты, работники, соискатели, посетители сайта;
- конкретные данные;
- правовое основание;
- действия с данными;
- системы и бумажные архивы;
- получателей и подрядчиков;
- срок хранения;
- событие, после которого данные удаляются.
Цель → субъект → данные → основание → действия → доступ → хранение → уничтожение.
Например, для ответа на заявку обычно нужны имя, телефон или email и содержание обращения. Паспорт и домашний адрес для этой цели, скорее всего, будут избыточными.
Политика, согласие и уведомление должны совпадать по смыслу
Одну и ту же цель бизнес может описывать в нескольких местах:
- в политике обработки персональных данных;
- в согласии, если обработка опирается на согласие;
- в уведомлении Роскомнадзора;
- во внутреннем реестре процессов;
- в договоре с подрядчиком.
Фразы необязательно копировать слово в слово. Но содержание не должно спорить само с собой. Если в уведомлении указано «исполнение договора», а сайт собирает контакты только для будущего звонка, процесс нужно разобрать точнее.
Тейк юриста: цель должна появляться раньше формы, таблицы или CRM. Сначала решаем, зачем нужны данные, и только потом выбираем поля и сервисы.
Частые ошибки
Собирать данные про запас. Возможно, паспорт пригодится позже, но это не основание запрашивать его при первой заявке.
Смешивать разные задачи. Ответ на обращение и рекламная рассылка требуют отдельной оценки. Не стоит прятать их в одну общую цель «работа с клиентами».
Копировать все основания из закона. Для каждой цели выбирают то основание, которое действительно работает в этом процессе.
Не связывать цель со сроком. «Храним пять лет» без объяснения источника срока не лучше, чем отсутствие срока.
Быстрая проверка формулировки
Прочитайте цель и задайте четыре вопроса:
- Понятен ли конкретный результат обработки?
- Можно ли убрать часть данных и все равно достичь результата?
- Есть ли законное основание для каждого действия?
- Понятно ли, когда цель достигнута и что делать с данными дальше?
Если ответы есть, документы проще поддерживать в актуальном состоянии. Бизнес спокойно развивает продажи и сервис, а риск получить вопросы Роскомнадзора из-за противоречивых формулировок становится ниже.