Когда позвонили с требованием удалить данные: что мы поняли

Первый такой звонок запомнился. Менеджер закончил разговор, повернулся и сказал: «Человек требует удалить его номер. Что ответить?». Мы не знали. Хуже — мы не знали, где этот номер вообще хранится.

Это был момент, когда стало понятно: у нас нет процедуры. Есть CRM, есть почтовая рассылка, есть загруженные аудитории в рекламных кабинетах — и ни одного человека, который знает, как пройти по всей цепочке за разумное время. Думали, что раз данные «получены легально», то вопрос не встанет. Встал.

Что говорит закон — и где начинается сложность

152-ФЗ устроен просто: если человек попросил удалить его данные, у вас есть 30 дней. Если он заявляет, что обработка ведётся без законного основания — 7 рабочих дней. Статья 21 даёт это право без объяснений и без особой причины. Оспорить можно только если есть действующий договор с самим человеком или прямое требование закона. «Мы заплатили за базу» или «данные из открытого источника» основаниями не являются.

Когда мы это прочитали, казалось: ничего сложного. Удали из CRM и закрой вопрос.

Но мы начали проверять, где физически хранится один конкретный номер телефона. CRM — есть. Почтовая рассылка — нет, туда шли только адреса электронной почты. Рекламный кабинет — есть, аудитория лежит там с прошлой кампании. Ещё был подрядчик по обзвону, которому тоже передавали базу.

Несколько точек для одного запроса. И в каждой нужно было не просто удалить, а зафиксировать — что, откуда и когда.

Вопрос к читателям: вы знаете, в скольких системах прямо сейчас хранится один конкретный контакт из вашей базы?

Где на самом деле лежат данные

У нас обнаружились места, которые мы изначально не учли. Рекламные аудитории остаются в кабинете, пока их явно не удалишь. Резервные копии CRM, которые делаются автоматически, хранят всё, что было в системе. Архивные выгрузки на облачном диске — выгружали «для анализа», потом забыли.

По закону «уничтожение» означает невозможность восстановить данные. На практике для отдела продаж достаточно удалить из активных систем и зафиксировать в журнале. С резервными копиями сложнее: если точечное удаление технически невозможно, данные блокируются — прекращается их активная обработка — до планового обновления копии.

Мы выяснили, что ни у кого в команде не было инвентаря: списка всех мест, где вообще могут храниться данные. Без такого списка 30-дневный срок превращается в аврал.

Штрафы изменились — и механизм тоже

До 2022 года суммы были другими. После поправок: для должностных лиц — до 20 000 рублей, для организаций — до 150 000 рублей при первом нарушении, до 500 000 рублей при повторном.

Но важнее изменение в механизме. С 2023 года одна жалоба субъекта достаточна для начала проверки Роскомнадзора. Раньше казалось, что единичный случай — не повод реагировать. Теперь не так.

Политика обработки персональных данных на сайте сама по себе не защищает. Если реального процесса нет, а документ лежит только для галочки — при проверке это видно сразу.

Вы проверяли, есть ли у вас фактически работающий процесс, а не просто документ на сайте?

Что мы сделали

После того звонка мы разобрали ситуацию и внесли несколько изменений.

Собрали инвентарь систем: список всего, где могут лежать данные — CRM, почтовая рассылка, рекламные кабинеты, загруженные аудитории, подрядчики. Раньше этого списка не было нигде.

Назначили ответственного: конкретный человек с конкретными задачами — принять запрос, пройти по всем системам, зафиксировать результат.

Завели журнал учёта обращений: дата, канал (телефон или письменно), суть запроса, дата выполнения, что именно удалено и откуда.

Прописали в договорах с подрядчиками обязанность удалять данные по нашему запросу. Это называется поручение на обработку персональных данных. Без него вы как оператор отвечаете за всю цепочку — даже за то, что хранит подрядчик.

По нашей оценке, такой минимальный набор закрывает около 90% ситуаций, с которыми сталкивается отдел продаж при работе с внешними контактами.

Что стоит сделать заранее

В LEADLIFE мы прошли через этот разбор уже в аврале. Сделать то же самое заранее — два часа: собрать инвентарь систем, назначить ответственного, завести журнал.

Если первый запрос на удаление придёт завтра — у вас есть ответ на вопрос, что делать?

Вартан Тахиев, основатель LEADLIFE