«Скачайте наше приложение: там скидки, акции, бонусы!»
«У нас есть бот! Уже пользовались? Попробуйте – проблема решится быстрее!»
Фразы, знакомые каждому потребителю. Фразы, которые произносят многие предприниматели.
Не буду отрицать: приложения и боты – штуки удобные и полезные. Я активно пользуюсь и первыми, и вторыми, но как юрист периодически задаюсь вопросом: почему создатели приложений и ботов игнорируют факт того, что на них тоже распространяется действие закона «О персональных данных»?
Складывается впечатление, что приложения и боты находятся в «слепой зоне», и, в отличие от сайтов, наполнение которых давно регламентировано, они обитают в отдельной вселенной, где работают отдельные правила… Только знаете, в чем правда? В том, что на территории Российской Федерации вселенная одна, а правила едины для всех: их установил Роскомнадзор, он же будет спрашивать с одинаковой строгостью их выполнение.
Приложение, чат-бот и персональные данные
«…неразрывно связаны» – ответила бы я, если бы вы попросили закончить предложение.
При регистрации приложение запросило имя и номер телефона? Оно обрабатывает ПД. То же самое сделал телеграм-бот? Значит, и он обрабатывает персональные данные. Комбинации сведений могут быть любыми: электронная почта + номер телефона, ФИО + дата рождения и пр. Распространены, например, боты в сервисах доставки еды – они запрашивают адрес, имя и телефон.
Требования к обработке ПД в ботах и приложениях
Фактически они не отличаются от тех, что установлены законодательством для сайтов. Как и на сайтах, в ботах и приложениях необходимо опубликовать:
- Политику конфиденциальности для мобильного приложения или бота.
- Пользовательское соглашение.
- Текст согласия на обработку персональных данных в приложении или боте и обеспечить возможность дать согласие технически возможным способом.
3 правила работы приложений и ботов с персональными данными
Нулевое правило – создать и разместить документы, о которых я написала выше. В этом вам помогут ссылки, что я дала выше.
- Собирайте только необходимые данные.
- Своевременно уничтожайте персональные данные.
- Храните персональные данные на территории Российской Федерации: это правило защиты персональных данных в мобильных приложениях и ботах установил законодатель. Со стороны бизнеса в этом вопросе есть риск выдать желаемое за действительное.
Поясню: предположим, некая компания использует телеграм-бота, например, для доставки товаров. Это удобно. Бот запрашивает имя клиента, номер телефона и адрес доставки. Предприниматель может подумать: «Я нахожусь в РФ, веду бизнес в РФ, использую бот с устройств, которые тоже находятся в РФ, фиксирую информацию из бота в хранилищах данных, которые находятся на территории РФ (например, для хранения и обработки применяют сервисы Яндекса)». Звучит убедительно, но использование телеграм-бота для сбора персональных данных выглядит как ложка дегтя в этой замечательной бочке меда (правильных с точки зрения законодательства решений).
Дело в том, что в политике конфиденциальности Telegram указано: «Если Вы зарегистрировались в Telegram из Европы, Ваши данные хранятся в дата-центрах в Нидерландах». Где хранятся персональных данные россиян не сказано. По ФЗ «О персональных данных» они должны храниться на территории России. Идеальный вариант – затребовать у разработчиков телеграм-ботов документы, подтверждающие это.
Если разработчик не сможет это подтвердить, а использовать телеграм-бот важно, перед тем, как это делать, направьте в Роскомнадзор уведомление о намерении осуществлять трансграничную обработку персональных данных.
Аналогично дела обстоят с приложениями и персональными данными, которые эти приложения хранят. Если применяете приложения для ведения бизнеса – обеспечивайте хранение данных россиян на территории России. Уведомьте Роскомнадзор о намерении осуществлять трансграничную обработку персональных данных.
Как настроить работу приложений и ботов с персональными данными
Так же, как с сайтом — уведомить РКН о сборе, хранении и обработке персональных данных.
Но!
Если в контексте документов с сайтом все более-менее понятно – документы размещают в подвале или специальном разделе, то возникает вопрос, как быть с приложениями и ботами.
Что касается ботов: оптимально уведомлять о сборе, обработке и хранении персональных данных перед тем, как пользователь нажмет на кнопку «Старт».
Компания Legal Up, где я — руководитель практики сопровождения онлайн-бизнеса — пользуется телеграм-ботом для общения с читателями и клиентами. Бот уведомляет о работе с ПД так: дает ссылки на документы на первой странице, которую видит пользователь.
Это оптимальный вариант: берите на заметку. Аналогичным образом можно поступить и с приложением: дать ссылки на документы на этапе, когда пользователь начал работать с приложением.
При поддержке портала ФедПраво
