Что необходимо для того, чтобы законно требовать предоставление персональных данных клиентов и хранить их в CRМ?

1745₽ VIP

Добрый вечер, Кирилл.

1)Согласно Федеральному закону от 27.07.2006 № 152-ФЗ "О персональных данных", вы как оператор персональных данных должны соблюдать ряд требований:

- Цель сбора: Ваша организация должна четко определить и указать, зачем нужны паспортные данные и как они будут использоваться (например, для идентификации арендатора, обеспечения возврата оборудования и т.д.).

- Согласие арендатора: Необходимо получить письменное согласие арендатора на обработку его персональных данных. Это может быть сделано посредством отдельного пункта в договоре или посредством отдельного согласия (ст.609-616 ГК, в силу ст.421 ГК)

2)Примерные пункты, которые можно прописать в договоре следующие:

- Арендатор, подписывая настоящий договор, дает свое согласие на обработку своих персональных данных, включая, но не ограничиваясь, ФИО, номер паспорта, и другие данные, необходимые для выполнения условий данного договора.

- Арендодатель гарантирует использование этих данных исключительно в целях, определенных в настоящем договоре."

3)Порядок хранения и защиты данных:

- Арендодатель обязуется хранить персональные данные арендатора в надлежащих условиях, обеспечивающих их безопасность и конфиденциальность, и не передавать третьим лицам без письменного согласия арендатора, за исключением случаев, предусмотренных законодательством Российской Федерации."

- Персональные данные арендатора будут обрабатываться в следующих целях:

1) идентификация арендатора;

2) заключение и исполнение данного договора;

3) контроль за возвратом оборудования арендатора.

При аренде оборудования важно также учитывать следующие моменты:

1) Копия паспорта: Убедитесь, что вы храните копию паспорта арендатора в соответствующем месте (например, в защищенном архиве или системе) и только в объёме, необходимом для выполнения условий договора.

2) Формы документов: Подготовьте формы и документы, которые будут необходимы для оформления аренды, включая акт о приеме-передаче оборудования.

Да, ваша компания имеет право на обработку персональных данных клиентов, включая скан паспорта, при соблюдении следующих условий:

- Цели обработки данных: Должен быть четко определен и зафиксирован 목적 сбора персональных данных. Например, для идентификации арендатора, заключения договора, обеспечения возврата оборудования и других целей, связанных с исполнением договора аренды. Это требование необходимо для обоснования обработки в соответствии с ст. 6 Закона о персональных данных.

- Согласие арендатора: Необходимо получить ясное, информированное и добровольное согласие арендатора на обработку его персональных данных. Это может быть сформулировано в договоре аренды, где будет указано: «Арендатор, подписывая данный договор, дает согласие на обработку своих персональных данных, включая, но не ограничиваясь, ФИО, номер паспорта и другие необходимые данные для исполнения договора» (ст. 9 Закона о персональных данных).

Да, у вас есть право хранить персональные данные клиентов в CRM-системе при следующих условиях:

- Обработка и хранение: Вы как оператор персональных данных обязаны обеспечить безопасность и защиту хранящихся данных, а также соблюдение прав арендаторов. Это закреплено в ст. 18 Закона о персональных данных. Вам необходимо принять соответствующие меры для защиты персональных данных от несанкционированного доступа, утраты, изменения или уничтожения.

Здравствуйте,

1. Да, имеете. Если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных,а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем, то такие данные необходимы, а согласие на их предоставление второй стороной не требуется. Такие правила установлены в пункте 5 части 1 статьи 6 Закона о персональных данных.

2. Да имеете. u]Согласно части 2 статьи 3 152-ФЗ «О персональных данных», операторами персональных данных считаются юридические и физические лица, которые:[/u]

организуют и/или осуществляют обработку персональных данных;

определяют цели и содержание обработки.

Менеджер занят в обработке ПДн клиентов, он же определяет ее цель – продажу продукта или услуги для получения прибыли.

Таким образом, пользователь CRM попадает под определение оператора ПДн.

Это значит, что он, как оператор, обязан обеспечить безопасность информации и подтвердить предпринятые меры документально.

Так отражает ситуацию часть 3 статьи 5 действующего ФЗ. Та же 3 статья рассказывает, как правильно поручить обработку персональных данных клиентов третьему лицу, но эти требования распространяются и на CRM.

В своем поручении оператор должен:

определить цели обработки ПДн третьим лицом;

указать требования к защите ПДн (согласно 19 статье 152-ФЗ).

Еще один важный момент: при перепоручении данных цели обработки должны совпадать с теми, что указаны в согласиях на обработку ПДн, которые менеджер заключил с клиентом. Любые расхождения недопустимы.

К счастью для пользователей облачных CRM, этих двух мер – документально закрепленного поручения обработки данных и совпадающих согласий – достаточно для соблюдения 152-ФЗ.

Проверять техническую защиту ПДн у частных компаний Роскомнадзор не уполномочен.

3. Право хранить персональные данные клиентов в CRM-системе при следующих условиях у вас имеются.

Вы как оператор персональных данных обязаны обеспечить безопасность и защиту хранящихся данных, а также соблюдение прав арендаторов. Это закреплено в ст. 18 Закона о персональных данных. Вам необходимо принять соответствующие меры для защиты персональных данных от несанкционированного доступа, утраты, изменения или уничтожения.

1. Требовать паспорт для сканирования не имеете. Клиент может отказаться на основании ФЗ О персональных данных. Вы можете только переписать данные из паспорта.

2. Если в договоре у вас прописано согласие на храние персональных данных клиентов в CRM, то имеете право хранить.

3. Письменное согласие клиента. Статья 9. Согласие субъекта персональных данных на обработку его персональных данных, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 08.08.2024) "О персональных данных"

1. Да, Вы имеете право брать скан паспорта.

3. А вот ТРЕБОВАТЬ предоставления персональных данных клиентов Вы никакого законного права не имеете! Такие сведения предоставляются исключительно с письменного согласия потенциального клиента.

Законодательство в этой сфере регулируется Федеральным законом от 27.07.2006 N 152-ФЗ (ред. от 08.08.2024) "О персональных данных".

В силу ст 18 Закона Вы обязаны:

- При сборе персональных данных оператор обязан предоставить субъекту персональных данных следующую информацию по его требованию:

1) подтверждение факта обработки персональных данных оператором;

2) правовые основания и цели обработки персональных данных;

3) цели и применяемые оператором способы обработки персональных данных;

4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;

5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

6) сроки обработки персональных данных, в том числе сроки их хранения;

7) порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;

8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;

9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу.

- Получить письменное согласие согласия на обработку персональных данных.

- Согласно ст. 19 Закона: принять меры по обеспечению безопасности персональных данных при их обработке.

- Обработка персональных данных должна осуществляться с соблюдением принципов и правил и в целях, установленных ст 6 Закона.

Иными словами, при соблюдении требований закона Вы вправе хранить и обрабатывать персональные данные арендаторов при улови наличия их письменного согласия на это.

В силу ст 421 ГК Вы можете прописать условия о согласии арендаторов на обработку их персональных данных непосредственно в тексте договора аренды, либо разработать и подписать отдельный документ, сделав его приложением к договору аренды.

Здравствуйте!

1. Ваша компания имеет право требовать предоставления скана паспорта и персональных данных арендатора на основании:

Согласно п. 5 ч. 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», обработка персональных данных допускается, когда она необходима для исполнения договора, стороной которого является субъект персональных данных. Поскольку договор аренды требует однозначной идентификации сторон, получение и обработка персональных данных арендатора правомерны.

Одним из существенных условий договора является определение сторон договора, что предполагает удостоверение личности надлежащим образом, путём предъявления паспорта как официального документа.

Однако следует учитывать, что объем запрашиваемых персональных данных должен соответствовать ч. 5 ст. 5 Закона № 152-ФЗ:

содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки

2. Компания имеет право хранить персональные данные клиентов в CRM-системе на основании п. 2 ч. 1 ст. 6 Закона № 152-ФЗ, так как обработка (включая хранение) персональных данных необходима для исполнения договора аренды. Кроме того, хранение данных также может осуществляться на основании согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ).

Арендодатель вправе обрабатывать персональные данные арендатора в целях исполнения договора аренды, предоставления услуг, недопущения невозврата имущества из аренды. Согласие клиента на обработку персональных данных действует на весь срок, в течение которого он использует услуги компании, и до момента получения отзыва согласия.

Тем не менее, необходимо учитывать, что согласно ч. 7 ст. 5 Закона № 152-ФЗ, хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных.

Для того чтобы законно требовать предоставление персональных данных клиентов и хранить их в CRM-системе, необходимо:

1. Разработать и утвердить политику обработки персональных данных. Данный документ должен быть опубликован на официальном сайте компании и быть доступным для ознакомления.

2. Получить согласие субъекта персональных данных на их обработку. Согласие в письменной форме должно включать:

- фамилию, имя, отчество, адрес субъекта персональных данных, номер документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;

- наименование и адрес оператора, получающего согласие;

- цель обработки персональных данных;

- перечень персональных данных, на обработку которых дается согласие;

- перечень действий с персональными данными, общее описание используемых способов обработки;

- срок действия согласия и способ его отзыва;

- подпись субъекта персональных данных.

3. Обеспечить защиту персональных данных в соответствии со ст. 19 Закона № 152-ФЗ, что включает:

- принятие правовых, организационных и технических мер по защите персональных данных;

- определение угроз безопасности персональных данных;

- применение средств защиты информации, прошедших процедуру оценки соответствия;

- установление правил доступа к персональным данным;

- контроль за принимаемыми мерами по обеспечению безопасности.

4. Уведомить Роскомнадзор об обработке персональных данных (статья 22 Закона № 152-ФЗ), если не применяются исключения из ч. 2 ст. 22.

Обратите внимание, что согласно п. 2 ч. 2 статьи 22, если персональные данные получены в связи с заключением договора, не распространяются, не передаются третьим лицам без согласия субъекта и используются исключительно для исполнения договора и заключения договоров с субъектом, то уведомление не требуется.

5. Провести аттестацию рабочих мест, где осуществляется обработка персональных данных. Ответ платформы CRM о том, что соответствие законодательству обеспечивается путем аттестации конкретных рабочих мест на предприятии, верен. Данное требование вытекает из Постановления Правительства РФ от 01.11.2012 № 1119 и Приказа ФСТЭК России от 18.02.2013 № 21.

6. Назначить лицо, ответственное за организацию обработки персональных данных.

7. Обучить сотрудников правилам работы с персональными данными.

Обращаю внимание, что ответ представителя CRM-платформы о том, что «мы не храним персональные данные, мы храним байты» некорректен с точки зрения законодательства. Согласно определению в статье 3 Закона № 152-ФЗ, обработка персональных данных включает любое действие с ними, в том числе хранение, независимо от формы их представления. Таким образом, даже если данные хранятся в виде «байтов», они все равно остаются персональными данными, и их обработка должна соответствовать требованиям законодательства.

CRM - это система управления взаимоотношениями с клиентами, программное обеспечение, решающее задачи накопления, хранения и развития клиентской базы.

Как следует из ст.1 закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", использование CRM является обработкой персональных данных, осуществляемой с использованием средств автоматизации, поскольку позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и (или) доступ к таким персональным данным.

По вашим вопросам выводы таковы:

1. Вы не имеете права получать и хранить скан паспорта клиента.

Обработка персональных данных в этом случае допускается законом, так как она необходима для исполнения договора, стороной которого является субъект персональных данных (пп.5 п.1 ст.6 того же закона).

Однако, законом не установлена обязанность контрагента предоставлять копию своего паспорта для заключения договора, поэтому он впрвае отказать вам в получении и хранении такой копиии.

Кроме того, весь набор персональных данных, содержащихся в паспорте арендатора, избыточен по отношению к заявленным целям их обработки, и не все из них отвечают целям исполнения договора. Поэтому имеет место наршение требований п.2 и 4 ст.6 закона даже в случае получения вами такого согласия.

2. Вы имеете право хранить и обрабытывать только некоторые данные клиентов, которые необходимы для исполнения договора на основании пп.5 п.1 ст.6 закона 152-ФЗ.

Обычно это фио, год рождения, место жительства, адрес, телефон и другие контактные данные, банковский счет для расчетов по договору.

3. Для автоматизированной обработки персональных данных, ограниченных по составу только целями исполнения договора, получение отдельного согласия контрагента не требуется.

Роскомнадзор России письмом от 22.09.2022 № 08-85970 сообщил, что в случае обработки персональных субъектов на условиях, в объеме и порядке, предусмотренном договором, получение дополнительного согласия субъекта на обработку персональных данных, а равно включение согласия на обработку персональных данных в текст договора, не требуется.

Здравствуйте Кирилл

Да имеете право получать данные путем получения скана паспорта

Вы имеете право получать и обрабатывать персональные данные на период заключенного договора аренды инструментов

согласно Федеральному закону от 27.07.2006 № 152-ФЗ "О персональных данных"

__

Хранить данные вы можете на период срока договора не дольше без согласия субъекта данных ст.7 Закона N 152-ФЗ.

__

Согласно ст. 3 Закона № 152-ФЗ, персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных) может храниться с согласия данного субъекта. Поэтому при заключении договора аренды указывайте пункт о периоде обработки персональных данных и срока хранения и возможность отзыва арендатором

__

С уважением

Здравствуйте!

Вопросы, связанные с обработкой и хранением персональных данных, регулируются законодательством о защите персональных данных. № 152-ФЗ

1. Вы можете собирать персональные данные, включая скан паспорта, только если это необходимо для достижения законной цели и если вы получили согласие субъекта данных.Если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных,а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем, согласие не требуется. Такие правила установлены в пункте 5 части 1 статьи 6 Закона о персональных данных.

2.Хранение персональных данных в CRM-системе возможно, если соблюдены условия законного сбора данных. Это включает получение согласия субъекта данных и обеспечение безопасности данных. Хранение данных должно осуществляться в течение срока, необходимого для достижения целей обработки.

3. Необходимо получить четкое и информированное согласие от клиента на сбор и обработку его персональных данных. Согласие должно быть добровольным и конкретным.Т.е. клиент должен быть проинформирован о целях сбора, способах обработки, сроках хранения данных и о том, кто будет иметь доступ к данным.

Вы в свою очередь обязаны принимать меры для защиты персональных данных от несанкционированного доступа и утечки. Если вы передаете данные третьим лицам, необходимо заключать договоры, гарантирующие соблюдение требований по защите данных.

Уважаемый Кирилл, здравствуйте!

_____

Использование CRM-системы в вашей деятельности связано с обработкой персональных данных, что регулируется Федеральным законом от 27 июля 2006 г. № 152-ФЗ "О персональных данных"

______

Согласно ст. 1 Закона № 152-ФЗ, обработка персональных данных с использованием CRM-системы является автоматизированной обработкой, так как она предполагает использование средств автоматизации для поиска, хранения и доступа к персональным данным.

________

Первое

Не имеете права требовать и хранить скан паспорта клиента.

Согласно пп. 5 п. 1 ст. 6 Закона № 152-ФЗ,

обработка персональных данных допускается без согласия субъекта, если она необходима для исполнения договора, стороной которого является субъект персональных данных.

Однако, получение и хранение копии (скана) паспорта клиента не является обязательным условием для исполнения договора аренды строительного инструмента. Более того, обработка всех данных, содержащихся в паспорте, может быть признана избыточной в соответствии с п. 2 и п. 4 ст. 6 Закона № 152-ФЗ, так как не все данные из паспорта необходимы для целей исполнения договора.

Таким образом, требование предоставления скана паспорта нарушает принцип минимизации обработки персональных данных, установленный законодательством.

______

Второе

Вы имеете право хранить и обрабатывать персональные данные клиентов в CRM-системе, но только те данные, которые необходимы для исполнения договора аренды.

На основании пп. 5 п. 1 ст. 6 Закона № 152-ФЗ,

обработка персональных данных без согласия субъекта допускается, если она необходима для заключения и исполнения договора.

В вашем случае это может включать следующие данные:

ФИО арендатора;

контактные данные (телефон, адрес электронной почты);

адрес места жительства;

реквизиты для расчетов (например, банковский счет).

Хранение этих данных в CRM-системе допустимо, если они используются исключительно для целей исполнения договора аренды.

_______

Третье

Для законного требования предоставления персональных данных и их хранения в CRM необходимо разработать политику конфиденциальности

✅Вы должны запрашивать только те данные, которые необходимы для достижения указанных целей. ✅Избыточные данные (например, скан паспорта) запрашивать нельзя.

Информирование субъекта персональных данных. В соответствии со ст. 14 Закона № 152-ФЗ, вы обязаны уведомить клиента о том, какие данные вы собираете, для каких целей, на каком основании и как они будут обрабатываться. Это можно сделать путем включения соответствующего пункта в договор аренды.

✅Вы обязаны обеспечить защиту персональных данных от несанкционированного доступа, утраты или изменения. Это включает в себя организацию технических и организационных мер, таких как ограничение доступа сотрудников к CRM, использование паролей, шифрование данных и т.д.

✅Если вы обрабатываете персональные данные с использованием средств автоматизации (например, CRM), вы обязаны уведомить Роскомнадзор о начале обработки данных, если не подпадаете под исключения, указанные в ст. 22 Закона № 152-ФЗ.

✅Если CRM-система предоставляется сторонней организацией (например, облачным провайдером), вы должны заключить с ней договор, в котором будут прописаны обязательства по защите персональных данных.

______

Персональные данные должны храниться только в течение срока, необходимого для достижения целей их обработки. После этого данные должны быть удалены или обезличены.

_______

Вывод

Вы имеете право обрабатывать и хранить персональные данные клиентов в CRM-системе, но только в объеме, необходимом для исполнения договора аренды. Требование предоставления скана паспорта клиента является избыточным и нарушает Закон № 152-ФЗ. Для законного хранения данных в CRM необходимо соблюдать принципы минимизации, информирования клиента, обеспечения безопасности данных и, при необходимости, уведомить Роскомнадзор о начале обработки персональных данных.

С уважением

Добрый день, Кирилл.

По Вашим вопросам:

1. В силу ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных» , является базовым законодательным актом, регулирующим отношения, связанные с обработкой персональных данных, и определяет принципы, условия и правила обработки персональных данных (статьи 1 и 4, часть 1 статьи 6).

В соответствии с ч. 4, ч. 5 ст. 5 Федерального закона № 152-ФЗ обработке подлежат только те персональные данные, которые отвечают целям их обработки, кроме того, содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

Случаи, при которых допускается обработка персональных данных, определены ч. 1 ст. 6 № 152-ФЗ.

Таким образом, Вы вправе получать от субъекта персональных данных копию паспорта (или иных документов, содержащих персональные данные) только в случае наличия правовых оснований, поименованных в ч. 1 статьи 6 Федерального закона № 152-ФЗ, и обрабатывать вышеуказанную информацию исключительно в соответствии с целями, заявленными при сборе данной информации.

Положениями ч. 1 ст. 13.11 КоАП РФ, предусмотрена административная ответственность при обработке персональных данных в случаях, не предусмотренных законодательством Российской Федерации

10.rkn.gov.ru

2. От части ответ дан в первом вопросе, имеете право хранить персональные данные клиентов в CRM, на основании, пп. 5 п. 1 ст. 6 Закона № 152-ФЗ.

3. В первую очередь необходимо согласие клиента, в силу ст. 18, 19 Закона № 152-ФЗ. После чего необходимо юридически грамотно оформить политику конфиденциальности.

Статья 7. Конфиденциальность персональных данных

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.