Когда CRM делает компанию оператором персональных данных
Если в CRM хранятся имена, телефоны, email-адреса, данные о заказах или обращениях клиентов, компания становится оператором персональных данных. Закон о персональных данных распространяется на любую автоматизированную обработку: запись, систематизацию, накопление, хранение, уточнение, извлечение, использование.
Это значит, что компания обязана соблюдать требования к законным основаниям обработки, получать согласие, когда оно необходимо, и публиковать политику обработки. Требования к уведомлению Роскомнадзора зависят от оснований и целей обработки.
Многие компании ошибочно считают, что CRM — внутренний инструмент, и закон на неё не распространяется. На практике обработка данных клиентов в CRM ничем не отличается от обработки на сайте или в мобильном приложении.
Локализация данных и выбор CRM-системы
Требование локализации обязывает операторов обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных, находящихся на территории России. Это касается и облачных CRM-систем.
Если CRM размещена на серверах за рубежом, компания рискует получить квалификацию по статье об отсутствии локализации. Проверить, где физически хранятся данные, можно в документации поставщика или в договоре на оказание услуг.
При выборе CRM важно уточнить, предоставляет ли поставщик гарантии размещения данных на территории России, и зафиксировать это в договоре. Если CRM интегрируется с иностранными сервисами — аналитикой, рассылками, чат-ботами — каждая передача данных за рубеж требует отдельной проверки на соответствие требованиям о трансграничной передаче.
Согласие, уведомление и законные основания обработки
Письменное согласие на обработку персональных данных требуется, если нет другого законного основания. Законные основания перечислены в законе: исполнение договора, защита жизни и здоровья субъекта, исполнение обязанностей оператора, осуществление прав и законных интересов оператора или третьих лиц.
Неподача уведомления Роскомнадзора о намерении обрабатывать персональные данные или его подача с нарушением сроков влечёт ответственность. Необходимость уведомления и исключения из этой обязанности определяются законом о персональных данных.
На практике многие компании собирают данные через веб-формы на сайте и передают их в CRM без явного согласия. Если данные собираются для целей, не связанных с исполнением договора — например, для рассылки рекламы, — согласие обязательно. Галочка «Согласен с политикой конфиденциальности» без расшифровки целей и перечня данных не считается полноценным согласием.
Интеграция CRM с сайтом и политика обработки
Если CRM интегрирована с сайтом — данные из форм захвата, чатов, лид-магнитов передаются в систему автоматически, — важно проверить, когда стартуют скрипты сбора и есть ли согласие до начала передачи. Скрипты, которые запускаются до того, как посетитель дал согласие, создают риск квалификации по статье об обработке без законных оснований.
Ещё один риск — передача данных иностранным сервисам через интеграции. Если CRM отправляет данные в аналитику, email-сервис или чат-бот, размещённые за рубежом, это считается трансграничной передачей. Для неё требуется либо согласие субъекта, либо соблюдение условий, установленных законом.
Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к политике обработки персональных данных. Политика должна содержать информацию о целях, основаниях, категориях данных, сроках хранения, правах субъектов и мерах защиты. Если CRM используется для обработки данных клиентов, политика должна это отражать.
Утечки из CRM: что делать и как избежать
Утечка персональных данных — это нарушение режима защиты, в результате которого данные стали доступны третьим лицам без согласия субъектов. Утечка может произойти из-за взлома, ошибки сотрудника, уязвимости в интеграции или отсутствия технических мер защиты.
Неуведомление Роскомнадзора об утечке или опоздание с уведомлением влечёт отдельную ответственность. Санкции за саму утечку зависят от количества субъектов и идентификаторов, повторная утечка влечёт оборотный штраф.
Чтобы снизить риск утечки, важно настроить роли и права доступа в CRM, включить двухфакторную аутентификацию, регулярно обновлять систему и проверять интеграции на предмет утечек через сетевые запросы. Технические и организационные меры защиты — обязанность оператора, их отсутствие усугубляет квалификацию.
Проверьте CRM на соответствие требованиям закона
- 01Локализация данных. Уточните в договоре с поставщиком CRM, где физически размещены серверы с базами данных. Если данные граждан России хранятся за рубежом, это создаёт риск.
- 02Уведомление Роскомнадзора. Проверьте, подано ли уведомление о намерении обрабатывать персональные данные, если этого требует закон. Неподача или нарушение сроков влечёт ответственность.
- 03Политика обработки. Убедитесь, что на сайте опубликована актуальная политика обработки персональных данных с указанием целей, оснований, сроков и мер защиты.
- 04Согласие на обработку. Проверьте, как собираются данные через веб-формы и чаты. Если данные передаются в CRM до получения согласия или без законного основания, это риск.
- 05Интеграции и трансграничная передача. Проверьте, куда CRM передаёт данные: аналитика, рассылки, чат-боты. Если данные уходят за рубеж, нужна проверка на соответствие требованиям о трансграничной передаче.
- 06Права доступа и защита от утечек. Настройте роли и права доступа в CRM, включите двухфакторную аутентификацию, регулярно обновляйте систему.
- 07План действий при утечке. Подготовьте процедуру реагирования на инцидент с персональными данными. Проверьте, кто отвечает за фиксацию инцидента и взаимодействие с регулятором.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 11 ст. 13.11 КоАП РФ
Не уведомлён или уведомлён с опозданием Роскомнадзор об утечке персональных данных — штраф для юрлиц от 1 до 3 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Считается ли использование CRM обработкой персональных данных?
Да, если в CRM хранятся имена, телефоны, email, адреса клиентов или сотрудников. Компания становится оператором и обязана соблюдать требования закона.
Нужно ли уведомлять Роскомнадзор, если CRM используется только внутри компании?
Необходимость уведомления зависит от оснований и целей обработки. Неподача уведомления или нарушение сроков влечёт ответственность. Конкретные условия определяются законом о персональных данных.
Можно ли использовать облачную CRM, если её серверы находятся за рубежом?
Это создаёт риск нарушения требования локализации. Базы данных с персональными данными граждан России должны находиться на территории России.
Нужно ли получать согласие, если данные клиентов вносятся в CRM для исполнения договора?
Если обработка ограничена исполнением договора, согласие не требуется. Но если данные используются для других целей — рассылка, аналитика, скоринг, — согласие обязательно.
Как проверить, передаёт ли CRM данные иностранным сервисам?
Проверьте интеграции в настройках CRM и документацию поставщика. Если данные передаются в аналитику, email-сервис или чат-бот за рубежом, это трансграничная передача.
Что делать, если произошла утечка данных из CRM?
Зафиксируйте инцидент и оцените масштаб. Неуведомление Роскомнадзора или опоздание с уведомлением влечёт отдельную ответственность. Порядок действий определяется законом.
Можно ли избежать штрафа, если политика обработки есть, но не опубликована на сайте?
Нет, оператор обязан обеспечить неограниченный доступ к политике. Если она не опубликована или недоступна посетителям, это нарушение.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.