- Автоматизированная обработка — это обработка ПД с использованием компьютеров, серверов, CRM и других цифровых систем
- Согласие на обработку ПД через интернет должно учитывать автоматизированный характер обработки
- Профилирование пользователей относится к отдельной категории автоматизированной обработки
- Субъект персональных данных вправе требовать пересмотра решений, принятых без участия человека
Что такое автоматизированная обработка ПД
Автоматизированная обработка — любая обработка персональных данных с помощью средств вычислительной техники: компьютеров, серверов, мобильных устройств, алгоритмов и цифровых сервисов.
По сути, если персональные данные обрабатывает программа или информационная система — это автоматизированная обработка.
Неавтоматизированная обработка — ручная работа с бумажными документами, картотеками, архивами или журналами без использования компьютерных средств.
| Пример | Тип обработки |
|---|---|
| Ввод данных клиента в CRM | Автоматизированная |
| Запись имени клиента в бумажный журнал | Неавтоматизированная |
| Фильтрация базы клиентов по алгоритму | Автоматизированная |
| Сортировка бумажных карточек вручную | Неавтоматизированная |
| Скоринговая модель в банке | Автоматизированная |
Особые требования при автоматизированной обработке
При использовании автоматизированной обработки оператор обязан:
- обеспечить безопасность информационных систем;
- ограничить доступ к персональным данным;
- вести учёт действий с данными;
- использовать меры защиты от утечек и несанкционированного доступа;
- уведомлять субъектов о характере обработки данных.
Особое внимание уделяется ситуациям, когда решения принимаются алгоритмами без участия человека.
Автоматизированное принятие решений
Отдельный случай автоматизированной обработки — когда система самостоятельно формирует решение, влияющее на человека, без участия людей: одобряет или отклоняет заявку, присваивает скоринговый балл, блокирует аккаунт.
Закон не запрещает такие решения, но если они значимо влияют на права и интересы человека, у субъекта есть гарантии: право на пересмотр с участием человека и право на объяснение логики решения. Подробный разбор этих прав, требований к оператору и характерных примеров — в отдельной статье «Автоматизированное принятие решений и права субъекта».
Профилирование пользователей
Профилирование — это анализ поведения пользователя для прогнозирования интересов, привычек или предпочтений.
На практике профилирование используется:
- в рекламе;
- в CRM и маркетинговых системах;
- в интернет-магазинах;
- в банковском секторе;
- в системах антифрода.
Если профилирование существенно влияет на пользователя, рекомендуется прямо указывать это в политике конфиденциальности и согласии на обработку ПД.
Когда требуется согласие
Согласие особенно важно, если:
- данные собираются через интернет;
- используется аналитика поведения;
- применяется профилирование;
- осуществляется передача данных третьим лицам;
- принимаются автоматизированные решения.
Формулировка согласия должна быть понятной и конкретной. Общих фраз «согласен на обработку ПД» часто недостаточно для сложных цифровых сервисов.
Неправильно — слишком общая формулировка, не упоминающая характер обработки:
Я согласен на обработку моих персональных данных.
Правильно — называет конкретный характер обработки:
Я даю согласие на автоматизированную обработку моих персональных данных, включая анализ поведения на сайте и формирование персонализированных предложений на основе истории покупок.
Указание в согласии, что обработка автоматизированная, — не юридическая формальность для галочки. Это прямое информирование субъекта о том, как именно используются его данные: профилирование, скоринг, персонализация. Без этого уточнения согласие может быть признано неинформированным.
- Используемые системы обработки ПД определеныобязательно
- Политика конфиденциальности описывает автоматизированную обработку
- Ограничен доступ к данным внутри системы
- Есть меры защиты от утечек и взломаобязательно
- Назначен ответственный за обработку ПД
Типичные ошибки компаний
- использование CRM без описания обработки ПД;
- отсутствие информации о профилировании;
- автоматические решения без уведомления пользователя;
- слишком общее согласие без конкретики;
- отсутствие ограничений доступа внутри системы.
Даже небольшие онлайн-сервисы обязаны учитывать требования ФЗ-152 при автоматизированной обработке данных.