- Любое агентство становится оператором персональных данных при сборе заявок от клиентов.
- Даже при работе только с бизнесом агентство обрабатывает данные представителей компаний.
- Основные риски возникают при использовании CRM, рекламных сервисов и подрядчиков.
- Для соблюдения ФЗ-152 необходимо контролировать весь путь данных от заявки до закрытия проекта.
- Кто обязан соблюдать: маркетинговые, рекламные, PR, консалтинговые, IT и digital-агентства
- Что грозит за нарушение: штрафы, предписания и претензии со стороны клиентов
- Что нужно сделать: проверить процессы обработки заявок, CRM и работу подрядчиков
- Срок: до начала сбора персональных данных через сайт и рекламные каналы
Агентства ежедневно работают с большим объёмом персональных данных, хотя многие руководители не считают свой бизнес связанным с требованиями ФЗ-152. Заявки с сайта, обращения через мессенджеры, CRM, email-рассылки, рекламные кабинеты и базы клиентов — всё это относится к обработке персональных данных и требует соблюдения законодательства.
Почему агентство считается оператором персональных данных
Для возникновения обязанностей по ФЗ-152 не обязательно хранить паспортные данные или медицинские документы.
Достаточно получать:
- заявки через сайт;
- обращения в мессенджерах;
- контакты клиентов;
- данные сотрудников;
- сведения о подрядчиках;
- информацию участников мероприятий.
Если агентство самостоятельно определяет цели использования этих данных, оно признаётся оператором персональных данных.
На практике это относится практически к любой компании, оказывающей услуги.
Оператором признаётся лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных.
Статья 3, ФЗ-152Какие персональные данные обычно обрабатывает агентство
Объём информации зависит от специализации бизнеса.
Однако большинство агентств работают со следующими категориями данных.
| Категория данных | Примеры |
|---|---|
| Контактные данные | Телефон, email |
| Идентификационные данные | ФИО представителей клиентов |
| Данные сотрудников | Резюме, кадровые сведения |
| Данные подрядчиков | Контакты и реквизиты исполнителей |
| Маркетинговые данные | Источники заявок, история взаимодействия |
| Технические данные | IP-адреса, cookie-файлы |
Дополнительно могут обрабатываться:
- записи переговоров;
- данные участников вебинаров;
- информация о клиентах заказчика;
- сведения из CRM;
- данные рекламных кампаний.
Даже если агентство оказывает услуги исключительно компаниям, в работе почти всегда используются данные конкретных физических лиц — руководителей, менеджеров и контактных сотрудников клиентов.
Где агентство собирает персональные данные
Часто данные поступают одновременно из нескольких источников.
Типичный набор каналов включает:
Сайт компании
Через сайт обычно собираются:
- заявки на услуги;
- запросы коммерческих предложений;
- обращения через формы обратной связи;
- подписки на рассылки.
CRM-система
В CRM фиксируются:
- контактные лица клиентов;
- история переговоров;
- документы по проектам;
- информация о сделках.
Рекламные каналы
Лид-формы и рекламные кабинеты также могут содержать персональные данные пользователей.
Коммуникационные сервисы
К ним относятся:
- электронная почта;
- телефония;
- мессенджеры;
- сервисы видеоконференций.
Каждый из этих каналов необходимо учитывать при организации обработки данных.
Особенности агентств, работающих с клиентскими базами
Отдельный риск возникает у агентств, которые получают доступ к данным клиентов заказчика.
Например:
- ведут CRM клиента;
- запускают email-рассылки;
- проводят маркетинговые кампании;
- организуют мероприятия;
- обрабатывают обращения пользователей.
В таких ситуациях важно определить роль агентства в обработке данных и закрепить её в договорных документах.
Отсутствие такого регулирования может привести к спорам о распределении ответственности.
Многие digital-агентства подробно описывают рекламные услуги в договоре, но не фиксируют порядок работы с клиентскими базами и персональными данными заказчика. Это создаёт юридические риски для обеих сторон.
Какие документы должны быть у агентства
Даже небольшая команда, принимающая заявки через сайт, обязана организовать обработку персональных данных надлежащим образом.
Обычно необходим следующий комплект документов.
| Документ | Назначение |
|---|---|
| Политика обработки персональных данных | Информирование пользователей |
| Согласия на обработку данных | Законное основание обработки |
| Положение об обработке персональных данных | Регулирование внутренних процессов |
| Приказы и регламенты | Организация работы сотрудников |
| Документы по защите информации | Выполнение требований безопасности |
| Инструкции по доступу к данным | Контроль сотрудников и подрядчиков |
Содержание документов должно учитывать реальные процессы конкретного агентства.
Что чаще всего проверяют
При аудите или проверке внимание обычно уделяется не только документам, но и фактической деятельности компании.
| Направление | Что оценивается |
|---|---|
| Сайт | Формы сбора заявок |
| CRM | Порядок хранения данных |
| Подрядчики | Передача информации третьим лицам |
| Рекламные сервисы | Использование лид-форм и аналитики |
| Сотрудники | Разграничение доступа |
| Документы | Соответствие реальным процессам |
Особенно важно понимать, где именно находятся данные и кто имеет к ним доступ.
Распространённая проблема агентств — доступ бывших сотрудников к CRM, рекламным кабинетам и клиентским базам после завершения работы в компании.
Типичные нарушения агентств
На практике чаще всего встречаются:
- Отсутствие политики обработки персональных данных.
- Использование форм заявок без корректного согласия.
- Неучтённые CRM и сервисы аналитики.
- Передача данных подрядчикам без внутреннего контроля.
- Избыточные права доступа сотрудников.
- Хранение неактуальных клиентских данных.
- Отсутствие учёта рекламных лид-форм.
- Несоответствие документов фактическим процессам.
Чек-лист для агентства
- Определены все источники получения персональных данныхобязательно
- Разработана политика обработки персональных данныхобязательно
- Проверены формы заявок на сайтеобязательно
- Проведена инвентаризация CRM и рекламных сервисовобязательно
- Настроено разграничение прав доступа сотрудников
- Учтены подрядчики и внешние исполнители
- Определены сроки хранения данных
- Подготовлены внутренние регламенты обработки данных
- Проведён аудит фактических процессов работы с клиентской информацией
Частые вопросы о ФЗ-152 для агентств
Не уверены, соответствует ли ваше агентство требованиям ФЗ-152?
Бесплатный экспресс-аудит за 15 минут. Проверим сайт, CRM, рекламные каналы, подрядчиков и документы, чтобы выявить риски до проверки и претензий клиентов.
Получить аудит