Требования Закона «О персональных данных» нужно соблюдать во всех случаях, когда вы сталкиваетесь с обработкой персональных данных. К сожалению, в большинстве случаев наводится порядок на сайте и внутри компании (относительно работников). Поскольку это два основных направления, где у Роскомнадзора возникает больше всего вопросов. Но предприниматели забывают или относят к малым рискам, когда осуществляют обработку персональных данных в чат‑ботах.
Когда собираются персональные данные через чат‑бот?
Есть чат‑боты, которые направлены на информирование/предоставлением пользы. Например, в чат‑бот размещают бесплатный видеоурок или гайд. И чтобы человек получил такую информацию, ему достаточно зайти в чат‑бот, нажать на кнопку «start» и ответным сообщением отображается сама такая польза.
Но есть чат‑боты, в которых просят указать свои данные: имя, эл.почту, телефон, возраст, профессию и так далее. Именно в таких чат‑ботах и происходит обработка персональных данных. Например, просят оставить имя, фамилию и телефон, чтобы связались по обратной связи.
Что нужно соблюсти при сборе персональных данных через чат‑бот?
Фактически сам чат‑бот является некоторой формой сбора данных, как это происходит и в обычном окне на сайте. А, значит, все те требования, которые необходимо соблюдать при обработке персональных данных на сайте, необходимо соблюдать и в чат‑ботах.
Требование № 1. Наличие правового основания обработки персональных данных.
Все возможные основания указаны в ст. 6 Закона «О персональных данных». Для чат‑бота подойдет такое основание как согласие субъекта персональных данных на обработку его персональных данных. То есть перед тем, как человек будет оставлять и отправлять свои данные, вы должны получить от него явно выраженное согласие.
Как возможно это реализовать?
Во‑первых, перед отправкой сообщения указать: «отправляя сообщение, вы даете согласие на обработку персональных данных».
Во‑вторых, перед отправкой сообщения человек должен дать активное согласие, нажать на соответствующую кнопку. Пока он этого не сделает, запретить технически какую‑либо отправку сообщения.
Но само по себе наличие таких всплывающих сообщений не говорит о том, что у вас есть основания для обработки персональных данных. Во фразу «согласие на обработку персональных данных» необходимо зашить текст такого согласия. Только при соблюдении всех этих условий у вас нет риска получить штраф до 100 000 рублей.
Требование № 2. Разместить в чат‑боте политику конфиденциальности.
Политика конфиденциальности — это обязательный документ, который должен размещаться на всех страницах, где осуществляется сбор персональных данных. Политика конфиденциальности НЕ РАВНО согласие на обработку персональных данных. Это абсолютно два разных документа. И требования к политике можно почитать в п. 2 ч. 1 ст. 18.1 Закона «О персональных данных».
Основные новшества заключаются в том, что сначала вы должны сформулировать цель обработки персональных данных. А потом под эту цель установить категории и перечень персональных данных; категории субъектов персональных данных; способы обработки; сроки обработки и хранения; порядок уничтожения.
Например, рассмотрим случай, когда собираются данные, чтобы совершить обратный звонок.
Цель обработки — совершение звонка по телефону для дальнейшей коммуникации.
Категории персональных данных — персональные данные не относятся к специальным категориям или биометрическим.
Перечень персональных данных — имя, фамилия, номер телефона.
Категории субъектов персональных данных — пользователи чат‑бота.
Способ обработки — автоматизированный способ.
Сроки обработки и хранения — в течение 30 дней, как только прекратится общение по вопросу, персональные данные уничтожатся.
Порядок уничтожения — путем удаления из информационной системы оператора с помощью встроенных средств информационной системы.
Требование № 3. Подать уведомление в Роскомнадзор о начале обработки персональных данных.
Это обязательное требование для всех операторов, которое действует с 1 сентября 2022 г. В уведомлении необходимо отобразить цель обработки персональных данных, которую вы определили для чат‑бота и указали в политике, а также сведения о перечне персональных данных, категории субъектов, способов обработки, действия, совершаемые с персональными данными. Кроме того, не забудьте указать иные цели обработки в компании, существующие за рамками чат‑бота.
