ПДн получены не от субъекта: что сообщить и в какой срок
Резюме с job-сайта, список клиентов от партнёра, контакт из заявки банка, данные родственника в больничном листе: человек сам вам ничего не отдавал, а обработка уже начинается. Закон требует не ждать его запроса, а самому сообщить набор сведений до начала обработки, если не сработало исключение. Ниже состав сообщения, исключения и рабочий журнал. Это не порядок ответа на обращение субъекта и не согласие как документ.
Оговорка. Статья не юридическая консультация. Требования сверены по тексту статьи 18 152-ФЗ (части 3 и 4, пункт 2.1 части 3 внесён законом от 14.07.2022 № 266-ФЗ) в редакции, доступной в справочной системе на момент подготовки; закон меняется, проверяйте действующую редакцию: текст 152-ФЗ. Формулировки уведомления согласуйте с юристом. Структура близка к области «источники не от субъекта» в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами.
Что требует норма
| Мера | Срок / условие | Что сделать |
|---|---|---|
| Сообщить субъекту набор сведений части 3 статьи 18 | До начала обработки, не «в течение 30 дней после» | Письмо, сообщение в интерфейсе, звонок с записью — любой доказуемый канал |
| Состав сообщения | Все пункты части 3 | Кто вы (имя или наименование и адрес), цель и правовое основание, перечень данных, предполагаемые пользователи, права субъекта, источник получения |
| Исключения | Часть 4 статьи 18 | Не слать сообщение, только если подходит конкретный пункт: субъект уже уведомлён вами; данные получены по федеральному закону или в связи с договором, где он сторона, выгодоприобретатель или поручитель; обработка данных, разрешённых им для распространения, по статье 10.1; статистика, журналистика, наука, литература, творчество без нарушения его прав; сообщение нарушит права третьих лиц |
Срок в рабочих днях закон здесь не ставит: опоздали, если уже пишете в CRM, а человек ещё не знает, что вы есть. Не путайте с частью 5 той же статьи: она про локализацию баз при сборе у граждан РФ, не про это уведомление.
Когда это ваш случай
- Кандидат с площадки вакансий, а не форма на вашем сайте: подробности подбора — ПДн кандидатов.
- Партнёр передал контакты клиентов для вашей услуги, а не обрабатывает их по вашему поручению: граница с подрядчиком — поручение обработки, сама передача — оператор–оператор.
- Открытый источник, из которого вы сами взяли ФИО и телефон. Исключение «уже уведомлён» само по себе не срабатывает: сработает пункт про данные, разрешённые для распространения, только если соблюдены запреты статьи 10.1. Иначе сначала сообщение, потом обработка. Согласие на распространение: форма согласия.
Если человек сам заполнил форму на вашем сайте — это сбор у субъекта, действует часть 1 статьи 18 (сведения по его просьбе), а не часть 3.
Как оформить сообщение
Шаблон на одну страницу: кто оператор и адрес; зачем обрабатываете и на каком основании статьи 6; какие поля; кто ещё увидит (ваши сотрудники по ролям, названный партнёр); какие у человека права и куда писать; откуда взяли данные. Не копируйте политику целиком: субъект должен понять источник и цель за минуту.
Доказательство: исходящий номер, лог почты, отметка в карточке «уведомлён, дата, канал». Без записи проверка Роскомнадзора сводится к вашим словам. Дальнейшие запросы субъекта — по своему сроку: запросы субъектов.
Ведите журнал источников: система, откуда пришла запись, дата, сработало ли исключение части 4 (какой пункт) или дата сообщения. Без журнала через полгода не отличите «договор с клиентом» от «купили базу».
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Данные уже в рассылке, письма субъекту нет | Обработка началась раньше сообщения. Остановите использование, отправьте сведения, разберите основание. Штрафы не дублируем: обзор штрафов |
| «Это же открытый Telegram» | Публичность не равна исключению. Проверьте статью 10.1 или пишите до обработки |
| Кадры завели сотрудника по копии паспорта от прошлого работодателя | Не путать с трудовым договором: как только есть договор, может сработать пункт 2 части 4. До приказа — часть 3 |
| Путают с ответом на запрос | Запрос — 10 рабочих дней по статье 14. Здесь обязанность без просьбы и до обработки |
Где это в модели зрелости
Материал относится к регуляторике ПДн и к направлению «Безопасность данных» (хаб: безопасность данных, самопроверка: оператор ПДн, карта: карта зрелости). Гигиена — знать, откуда каждая карточка, и уметь показать либо исключение части 4, либо сообщение до первой операции.
Как проверить
- В политике или регламенте есть правило: данные не от субъекта не кладут в систему до сообщения или до зафиксированного исключения.
- Журнал источников заполнен хотя бы по CRM и подбору за последний месяц.
- Шаблон сообщения содержит все пункты части 3, включая перечень данных и источник.
- По трём случайным карточкам «не от человека» есть дата сообщения или ссылка на пункт части 4.
- Сбор с собственной формы и получение от партнёра разведены в инструкции, не одной фразой «уведомляем всегда».
Как делают в международной практике
В GDPR сведения, когда данные взяты не у субъекта, даёт статья 14: контролёр сообщает похожий набор и, как правило, в разумный срок, не позднее месяца. Это не российский закон и не замена 152-ФЗ: у нас жёстче формулировка «до начала обработки». Текст: gdpr-info.eu.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, статья 18: КонсультантПлюс.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
