Цель обработки отвечает на простой вопрос: какой конкретный результат бизнес получает, используя данные человека. Фраза «для осуществления деятельности компании» на него не отвечает. Под нее подходит что угодно, а статья 5 Закона № 152-ФЗ требует, чтобы цели были конкретными, законными и определенными заранее.
От хорошо сформулированной цели зависит остальное: какие данные можно собирать, кому давать доступ и когда их пора удалить. Плохая цель тянет за собой лишние поля в формах, бессрочное хранение и вопросы регулятора.
Что закон говорит о целях
В статье 5 закона несколько правил, и почти все они завязаны на цель:
- обработка ограничивается достижением конкретных, заранее определенных и законных целей;
- нельзя объединять базы данных, если цели их обработки несовместимы;
- состав и объем данных должны соответствовать цели, лишнее собирать нельзя;
- хранить данные можно не дольше, чем этого требует цель, если срок не установлен законом или договором.
Получается, что цель служит меркой для всего остального. Проверяющий будет сравнивать с ней поля формы, сроки хранения и список подрядчиков.
Как выглядит рабочая цель
Начинайте с того, что бизнес делает в конкретном процессе и зачем.
| Слишком общо | Понятнее и ближе к процессу |
|---|---|
| Оказание услуг | Заключение и исполнение договора на оказание юридических услуг |
| Работа с клиентами | Рассмотрение обращения и подготовка ответа на запрос клиента |
| Маркетинг | Направление рекламных сообщений лицам, давшим согласие на их получение |
| Кадровая работа | Заключение, исполнение и прекращение трудового договора |
| Подбор персонала | Рассмотрение кандидатов на вакансии и принятие решения о приеме на работу |
| Работа с контрагентами | Заключение и исполнение договоров с контрагентами, взаимодействие с их представителями |
| Безопасность | Обеспечение пропускного режима и сохранности имущества в офисе |
| Улучшение сайта | Анализ посещаемости и технической работы сайта |
| Бухгалтерия | Ведение бухгалтерского и налогового учета |
Красивой формулировка быть не обязана. Ее задача в другом: по ней должно быть можно проверить, относится ли действие к цели. Если менеджер не может понять, укладывается ли его выгрузка в цель, цель стоит уточнить.
Сколько целей должно быть? Столько, сколько у бизнеса реально разных процессов. У небольшой компании с сайтом и парой работников обычно выходит пять или семь целей. Одна цель «деятельность компании» почти всегда означает, что карту процессов никто не составлял.
Что привязать к каждой цели
Цель не живет отдельно. Для каждой нужно определить:
- категории людей: клиенты, работники, соискатели, посетители сайта, представители контрагентов;
- конкретный перечень данных;
- правовое основание: согласие, договор, требование закона или другое;
- действия с данными;
- системы и бумажные архивы, где данные лежат;
- получателей и подрядчиков;
- срок хранения и событие, после которого данные удаляются.
Так получается одна строка карты данных: цель, люди, данные, основание, действия, доступ, хранение, уничтожение. Кстати, в форме уведомления Роскомнадзора эти сведения тоже указывают отдельно по каждой цели, так что карта потом здорово экономит время.
Пример. Для ответа на заявку с сайта обычно хватает имени, телефона или email и текста обращения. Паспорт и домашний адрес для такой цели почти наверняка лишние, и если форма их требует, это уже нарушение принципа соразмерности.
Политика, согласие и уведомление должны совпадать
Одну и ту же цель бизнес описывает в нескольких местах:
- в политике обработки персональных данных;
- в согласии, если обработка на нем основана;
- в уведомлении Роскомнадзора;
- во внутреннем реестре процессов;
- в договоре с подрядчиком.
Слово в слово формулировки совпадать не обязаны. Важно, чтобы по смыслу они не спорили. Допустим, в уведомлении указано «исполнение договора», а сайт собирает контакты для звонка человеку, который договор еще не заключал. Тогда процесс описан неточно, и это видно с первого взгляда.
Правильный порядок такой: сначала решаем, зачем нужны данные, и только потом выбираем поля формы, таблицу и CRM. Когда делают наоборот, цели потом подгоняют под уже собранные данные, и получается плохо.
Частые ошибки
Первая и самая распространенная: собирать данные про запас. Мысль «паспорт может пригодиться позже» основанием не считается. Если он понадобится при заключении договора, запросите его тогда.
Вторая: смешивать разные задачи. Ответ на обращение и рекламная рассылка требуют разных оснований. Спрятать их в одну цель «работа с клиентами» значит потом не суметь объяснить, на каком основании человеку пришла реклама. Подробнее в статье о разнице между согласием на обработку и согласием на рассылку.
Третья: перечислять в документах все основания из статьи 6 закона. Для каждой цели выбирают то основание, которое в ней действительно работает.
Четвертая: не связывать цель со сроком. Фраза «храним пять лет» без указания, откуда этот срок, ничем не лучше отсутствия срока. Как составить таблицу сроков, мы разобрали в статье о сроках хранения.
Что делать, если цель изменилась
Бизнес меняется. Раньше собирали заявки только для звонка, а теперь хотят отправлять клиентам подборки и акции. Это новая цель, и ее нужно оформить:
- Проверьте, есть ли для нее основание. Для рекламы почти всегда нужно отдельное согласие.
- Добавьте цель в политику и внутренний реестр процессов.
- Обновите формы на сайте, если для новой цели нужно согласие.
- Сообщите об изменении в Роскомнадзор. Срок: не позднее 15-го числа месяца, следующего за месяцем изменения.
Данные, собранные ради одной цели, нельзя молча начать использовать для другой, несовместимой с ней. Сначала основание, потом обработка.
Быстрая проверка формулировки
Прочитайте цель и ответьте на четыре вопроса:
- Понятно ли, какой конкретно результат дает обработка?
- Можно ли убрать часть данных и все равно его получить?
- Есть ли законное основание для каждого действия?
- Понятно ли, когда цель достигнута и что после этого делать с данными?
Если хотя бы на один вопрос ответа нет, формулировку стоит переписать. Это проще сделать сейчас, чем в ответ на запрос Роскомнадзора.
Частые вопросы
Можно ли взять список целей из шаблона?
Как подсказку можно. Но в документы должны попасть только те цели, которые есть в вашем бизнесе. Лишняя цель из шаблона означает, что вы заявили обработку, которой не ведете, и ее тоже придется объяснять.
Нужно ли писать цель в согласии, если она уже есть в политике?
Да. Согласие должно быть конкретным, и цель в нем указывают обязательно. Ссылка «на цели, указанные в политике» не заменяет ее.
Аналитика сайта это отдельная цель?
Если вы собираете cookie и данные о посещениях через счетчики, да. Под нее нужны свое основание и свой срок. Подробно эту тему разбирает статья о cookie и согласии.