Защита данных для коммерческих поставщиков
Предприниматели, обрабатывающие персональные данные заинтересованных лиц, клиентов, сотрудников или других людей, должны соблюдать Общий регламент по защите данных (GDPR) и при необходимости другие нормы защиты данных.
Это относится и к персональным данным, которые коммерческий поставщик получает в связи с объявлением или обращением через Suchen.Expert.
Suchen.Expert служит для публикации объявлений, установления контактов и общения между пользователями. Использование платформы не даёт коммерческому поставщику права без ограничений или для любых иных целей использовать полученные персональные данные.
1. Что такое персональные данные?
Персональные данные — это информация, относящаяся к определённому или определяемому физическому лицу.
К ней могут относиться, например:
имя и адрес,
номер телефона и адрес электронной почты,
сообщения и содержание общения,
данные доставки и выставления счетов,
платёжная информация,
идентификаторы пользователей,
фотографии или другие сведения, позволяющие идентифицировать человека.
GDPR по общему правилу защищает данные физических лиц. Информация о юридическом лице как таковом не подпадает под его действие автоматически. Однако данные физических лиц — контактных представителей компании, например имя, рабочая электронная почта или номер телефона сотрудника, могут быть персональными данными.
2. Для персональных данных необходимо правовое основание
Персональные данные нельзя обрабатывать только потому, что они технически доступны.
Согласно ст. 6 GDPR, обработка законна только при наличии предусмотренного законом правового основания. В частности, такими основаниями могут быть:
согласие субъекта данных,
обработка для исполнения договора или преддоговорных мер,
выполнение правовой обязанности,
защита законных интересов, если противоположные интересы или права субъекта данных не имеют преимущественной силы.
При запросе заинтересованного лица обработка данных, необходимых для ответа и при необходимости последующего договора, может основываться, в частности, на ст. 6 абз. 1 п. b GDPR, если соблюдены законные условия.
3. Данные из обращения через Suchen.Expert
Если пользователь связывается с коммерческим поставщиком через Suchen.Expert, полученные при этом данные можно, в частности, обрабатывать для рассмотрения этого запроса и, насколько необходимо, для подготовки и осуществления соответствующей сделки.
Пример:
Заинтересованное лицо спрашивает коммерческого поставщика через Suchen.Expert о предлагаемом товаре. Поставщик вправе использовать контактные данные, необходимые для ответа на запрос и возможного исполнения договора.
Однако сам контакт не означает автоматически согласия заинтересованного лица на дальнейшее использование его данных.
В частности, без отдельного правового основания контактные данные нельзя повторно использовать для других целей, передавать или включать в рекламные рассылки.
GDPR требует, в числе прочего, ограничения цели и минимизации данных: данные можно обрабатывать для определённых и законных целей, и их объём должен оставаться ограниченным необходимым для этих целей.
4. Автоматического согласия на рекламу нет
В частности, запрос через Suchen.Expert не является общим согласием на рекламу.
Например, лицо, получившее электронный адрес для ответа на конкретный запрос или исполнения договора, не вправе лишь на этом основании впоследствии произвольно использовать адрес для информационных рассылок или других рекламных сообщений.
Для рекламы по электронной почте § 7 UWG по общему правилу требует предварительного явно выраженного согласия. Ограниченное исключение при условиях § 7 абз. 3 UWG существует для рекламы собственных аналогичных товаров или услуг действующим клиентам. При этом должны быть выполнены все указанные там условия.
Дополнительно необходимо отдельно учитывать допустимость обработки по законодательству о защите данных.
5. Собирайте только необходимые данные
Предпринимателям следует запрашивать только те персональные данные, которые действительно нужны для соответствующей цели.
Например, для простого запроса обычно не нужны копии удостоверений личности, банковские документы или другие особо обширные личные сведения.
Принцип минимизации данных по ст. 5 GDPR требует, чтобы персональные данные соответствовали цели, имели к ней отношение и были ограничены необходимым объёмом.
Особая осторожность необходима с чувствительной информацией. В частности, данные не следует публично размещать в объявлении или профиле компании, если в этом нет необходимости и отсутствует достаточное правовое основание.
6. Информация предпринимателя о защите данных
Предприниматели, самостоятельно собирающие и обрабатывающие персональные данные, должны проверить, какие информационные обязанности им необходимо выполнить перед субъектами данных.
Если данные собираются непосредственно у субъекта, соответствующие информационные обязанности установлены ст. 13 GDPR. К ним относятся, в частности, сведения о контролёре данных, целях и правовых основаниях обработки и другие предусмотренные законом сведения.
Если данные собираются не непосредственно у субъекта, может применяться ст. 14 GDPR.
Поэтому коммерческим поставщикам следует проверить, нужна ли им собственная политика конфиденциальности или информация о защите данных для своей обработки.
Политика конфиденциальности Suchen.Expert не заменяет автоматически информацию соответствующего предпринимателя о его собственной обработке персональных данных.
7. Ответственность Suchen.Expert и предпринимателя
Suchen.Expert обрабатывает персональные данные в связи с работой платформы в соответствии с применимыми к Suchen.Expert правилами защиты данных.
От этого следует отличать собственную обработку персональных данных коммерческим поставщиком.
Если предприниматель самостоятельно решает, для каких собственных целей и каким способом обрабатывать полученные клиентские данные, он может сам быть контролёром этой обработки в смысле GDPR. Согласно ст. 4 п. 7 GDPR, контролёр по общему правилу — это субъект, который самостоятельно или совместно с другими определяет цели и средства обработки.
Поэтому простое использование Suchen.Expert не означает автоматически, что Suchen.Expert является обработчиком данных по поручению коммерческого пользователя или коммерческий пользователь — обработчиком по поручению Suchen.Expert.
Роль по законодательству о защите данных зависит от конкретной обработки и фактических задач участников.
8. Передача клиентских данных
Персональные данные можно передавать только при наличии достаточного правового основания.
Например, при исполнении договора может потребоваться передача определённых необходимых данных службе доставки, чтобы доставить заказанный товар.
Передача налоговым консультантам, платёжным сервисам или другим исполнителям также может быть допустима в зависимости от цели и правового оформления.
Однако необходимо проверить, какую роль соответствующий получатель имеет по законодательству о защите данных.
Если внешний исполнитель обрабатывает персональные данные исключительно по поручению предпринимателя, могут возникнуть отношения обработки по поручению согласно ст. 28 GDPR. В таком случае по общему правилу необходим соответствующий договор или иной правовой акт, отвечающий требованиям ст. 28 GDPR.
Однако не каждый внешний исполнитель автоматически является обработчиком по поручению.
9. Хранение и удаление
Персональные данные по общему правилу нельзя хранить неограниченно.
Ст. 5 GDPR требует ограничивать срок хранения периодом, необходимым для соответствующих целей обработки.
Однако это не означает, что клиентские данные необходимо полностью удалить сразу после завершения сделки.
Законные обязанности по хранению, например счетов, бухгалтерских первичных документов или деловых документов, могут требовать дальнейшего хранения определённых данных.
Поэтому предпринимателям следует различать:
данные, которые по-прежнему необходимы для выполнения законных обязанностей по хранению,
данные, для дальнейшего хранения которых больше нет ни цели, ни правового основания.
Больше не нужные персональные данные следует удалить или при необходимости ограничить их обработку в соответствии с законом.
10. Безопасная обработка
Предприниматели должны надлежащим образом защищать персональные данные от потери, несанкционированного использования и неправомерного доступа.
Ст. 32 GDPR требует подходящих технических и организационных мер с учётом, в частности, риска, современного уровня техники и характера обработки. В зависимости от конкретного риска к ним могут относиться, например, шифрование, ограничения доступа, резервное копирование и процедуры регулярной проверки мер безопасности.
Для использования Suchen.Expert это означает, в частности, что коммерческим пользователям следует защищать данные доступа и предоставлять доступ к корпоративной учётной записи только уполномоченным лицам.
Если персональная информация из Suchen.Expert экспортируется или переносится в собственные системы, там также должен быть обеспечен надлежащий уровень защиты.
11. Права доступа в компании
Не каждый сотрудник компании должен автоматически иметь доступ ко всем клиентским данным.
Доступ следует определять исходя из того, какие данные необходимы человеку для его конкретной задачи.
Если сотрудник увольняется или доступ ему больше не нужен, его права следует незамедлительно проверить и при необходимости отозвать.
Пароли или персональные пользовательские доступы не следует бесконтрольно совместно использовать нескольким лицам.
12. Права субъектов данных
Лица, данные которых обрабатываются, имеют различные права по GDPR.
При соблюдении соответствующих законных условий к ним относятся, в частности, права на доступ к информации, исправление, удаление, ограничение обработки и переносимость данных, а также право возражать против определённых видов обработки.
Коммерческий поставщик должен рассматривать запросы субъектов данных в соответствии с законом, если он отвечает за соответствующую обработку.
При этом сначала необходимо установить, касается ли запрос обработки предпринимателем или самой Suchen.Expert.
13. Нарушения безопасности персональных данных
Если персональные данные потеряны, случайно отправлены неверному получателю или стали доступны неуполномоченным лицам, это может быть нарушением безопасности персональных данных.
Если вероятен риск для прав и свобод физических лиц, контролёр по общему правилу должен сообщить о нарушении компетентному надзорному органу без промедления и по возможности в течение 72 часов с момента обнаружения. Законодательные требования установлены ст. 33 GDPR.
Если вероятен высокий риск для прав и свобод затронутых лиц, дополнительно может потребоваться их незамедлительное уведомление.
Кроме того, нарушения необходимо документировать согласно ст. 33 абз. 5 GDPR.
14. Собственные исполнители и программное обеспечение
Предприниматели, дополнительно использующие для клиентских данных собственные
облачные сервисы, CRM-системы, сервисы рассылок, бухгалтерское программное обеспечение, аналитические программы, коммуникационные сервисы или другие внешние системы,
должны самостоятельно проверить эту обработку с точки зрения защиты данных.
В частности, могут иметь значение:
правовое основание, обработка по поручению, технические и организационные меры, сроки хранения и при необходимости передача данных за пределы Европейской экономической зоны.
То, что данные первоначально получены через Suchen.Expert, не освобождает предпринимателя от этих обязанностей.
15. Не публикуйте клиентские данные
Персональные данные заинтересованных лиц или клиентов по общему правилу нельзя без достаточного правового основания публично размещать в объявлениях, отзывах, профилях компаний или других общедоступных разделах.
Это касается, в частности:
имён, частных адресов, номеров телефонов, электронной почты, фотографий, истории переписки, платёжных или договорных сведений.
Скриншоты переписки также могут содержать персональные данные.
Поэтому лицо, желающее, например, опубликовать положительное сообщение клиента как рекомендацию или отзыв, должно предварительно проверить наличие достаточного правового основания.
Защита данных на Suchen.Expert
Suchen.Expert предоставляет техническую платформу для объявлений, установления контактов и общения.
К обработке, которую Suchen.Expert самостоятельно осуществляет в связи с работой платформы, применяется информация Suchen.Expert о защите данных.
Если же коммерческий пользователь обрабатывает персональные данные для собственных деловых целей, он сам отвечает за соблюдение применимых требований защиты данных, если является контролёром этой обработки.
В частности, полученные через Suchen.Expert контактные данные нельзя использовать для рекламы, внешних рассылок, публикации или других новых целей лишь потому, что соответствующий пользователь ранее связался через платформу.
Эти указания предназначены для общего ознакомления и не заменяют проверку конкретных процессов обработки данных компании с точки зрения законодательства о защите данных.
