Захист даних для комерційних постачальників
Підприємці, які обробляють персональні дані зацікавлених осіб, клієнтів, працівників чи інших людей, повинні дотримуватися Загального регламенту про захист даних (GDPR) та за потреби інших норм захисту даних.
Це стосується й даних, отриманих комерційним постачальником у зв’язку з оголошенням або контактом через Suchen.Expert.
Suchen.Expert служить для публікації оголошень, установлення контактів і спілкування користувачів. Використання платформи не дозволяє постачальнику необмежено чи для довільних інших цілей використовувати отримані персональні дані.
1. Що таке персональні дані?
Персональні дані — інформація про ідентифіковану фізичну особу або фізичну особу, яку можна ідентифікувати.
Це можуть бути, наприклад:
ім’я й адреса,
телефон та електронна пошта,
повідомлення й зміст спілкування,
дані доставки та рахунків,
платіжна інформація,
ідентифікатори користувача,
фото чи інші відомості, що дозволяють установити особу.
GDPR за загальним правилом захищає дані фізичних осіб. Відомості про юридичну особу як таку не підпадають під нього автоматично. Проте дані фізичних контактних осіб компанії, наприклад ім’я, робоча пошта чи телефон працівника, можуть бути персональними даними.
2. Персональні дані потребують правової підстави
Дані не можна обробляти лише тому, що вони технічно доступні.
За ст. 6 GDPR обробка законна лише за наявності законної правової підстави. Зокрема, це може бути:
згода суб’єкта даних,
обробка для виконання договору чи переддоговірних заходів,
виконання правового обов’язку,
захист законних інтересів, якщо інтереси або права суб’єкта даних не переважають.
За запиту зацікавленої особи обробка даних, потрібних для відповіді та за потреби майбутнього договору, може ґрунтуватися, зокрема, на ст. 6 абз. 1 п. b GDPR, якщо законні умови дотримано.
3. Дані з контакту через Suchen.Expert
Якщо користувач контактує з комерційним постачальником через Suchen.Expert, отримані дані можна обробляти, зокрема, для цього запиту та, наскільки потрібно, для підготовки й виконання відповідного правочину.
Приклад:
Зацікавлена особа запитує постачальника через Suchen.Expert про товар. Постачальник може використовувати контакти, потрібні для відповіді та можливого виконання договору.
Однак контакт не означає автоматичної згоди зацікавленої особи на подальше використання даних.
Зокрема, без окремої правової підстави контакти не можна використовувати для інших цілей, передавати чи додавати до рекламних розсилок.
GDPR вимагає, серед іншого, обмеження мети й мінімізації: дані можна обробляти для визначених законних цілей і лише в потрібному для них обсязі.
4. Автоматичної згоди на рекламу немає
Запит через Suchen.Expert, зокрема, не є загальною згодою на рекламу.
Наприклад, особа, яка отримала електронну адресу для відповіді на конкретний запит чи виконання договору, не може лише через це надалі довільно використовувати її для розсилок чи іншої реклами.
Для реклами електронною поштою § 7 UWG за загальним правилом вимагає попередньої явно вираженої згоди. Обмежений виняток за умов § 7 абз. 3 UWG стосується реклами власних подібних товарів чи послуг наявним клієнтам. Потрібно виконати всі зазначені там умови.
Допустимість обробки за законодавством про захист даних додатково слід оцінювати окремо.
5. Збирайте лише необхідні дані
Підприємцям слід вимагати лише дані, які справді потрібні для відповідної мети.
Для простого запиту, наприклад, зазвичай не потрібні копії посвідчень особи, банківські документи чи інша особливо об’ємна особиста інформація.
Принцип мінімізації за ст. 5 GDPR вимагає відповідності даних меті, їхньої релевантності та обмеження необхідним обсягом.
Особливої обережності потребує чутлива інформація. Зокрема, не слід публічно розміщувати дані в оголошенні чи профілі компанії без необхідності та достатньої правової підстави.
6. Інформація підприємця про захист даних
Підприємці, які самостійно збирають та обробляють дані, повинні перевіряти свої інформаційні обов’язки перед відповідними особами.
Якщо дані збирають безпосередньо в суб’єкта, ст. 13 GDPR містить відповідні обов’язки. Це, зокрема, відомості про контролера, цілі й правові підстави обробки та інша законна інформація.
Якщо дані збирають не безпосередньо в суб’єкта, може застосовуватися ст. 14 GDPR.
Тому постачальникам слід перевіряти, чи потрібна їм власна політика конфіденційності або інформація про захист даних для власної обробки.
Політика конфіденційності Suchen.Expert не замінює автоматично інформацію відповідного підприємця про його власну обробку.
7. Відповідальність Suchen.Expert і підприємця
Suchen.Expert обробляє персональні дані у зв’язку з роботою платформи відповідно до застосовних до Suchen.Expert положень захисту даних.
Від цього слід відрізняти власну обробку даних комерційним постачальником.
Якщо підприємець сам визначає власні цілі та способи обробки отриманих клієнтських даних, він може сам бути контролером цієї обробки за GDPR. За ст. 4 п. 7 GDPR контролер зазвичай є суб’єктом, який самостійно чи спільно з іншими визначає цілі й засоби обробки.
Тому саме використання Suchen.Expert не означає автоматично, що Suchen.Expert є обробником за дорученням комерційного користувача або користувач — обробником Suchen.Expert.
Роль за законодавством про захист даних залежить від конкретної обробки та фактичних завдань учасників.
8. Передавання клієнтських даних
Дані можна передавати лише за достатньої правової підстави.
Під час виконання договору, наприклад, може бути необхідно передати певні потрібні дані службі доставки, щоб доставити замовлений товар.
Передавання податковим консультантам, платіжним сервісам чи іншим виконавцям також може бути допустимим залежно від мети й правового оформлення.
Однак слід перевірити роль відповідного отримувача в захисті даних.
Якщо зовнішній виконавець обробляє дані виключно за дорученням підприємця, можуть існувати відносини обробки за дорученням за ст. 28 GDPR. Тоді зазвичай потрібний відповідний договір або інший правовий акт, що відповідає ст. 28 GDPR.
Проте не кожен зовнішній виконавець автоматично є обробником за дорученням.
9. Зберігання та видалення
Персональні дані за загальним правилом не можна зберігати необмежено.
Ст. 5 GDPR вимагає обмежити зберігання строком, потрібним для відповідних цілей обробки.
Однак це не означає повного видалення клієнтських даних відразу після завершення правочину.
Законні обов’язки зберігання, наприклад рахунків, первинних бухгалтерських або ділових документів, можуть вимагати подальшого зберігання певних даних.
Тому підприємцям слід розрізняти:
дані, які й надалі потрібні для законних обов’язків зберігання,
дані, для подальшого зберігання яких уже немає мети та правової підстави.
Непотрібні дані слід видаляти або за потреби обмежувати їхню обробку відповідно до закону.
10. Безпечна обробка
Підприємці повинні належно захищати дані від втрати, несанкціонованого використання та неправомірного доступу.
Ст. 32 GDPR вимагає відповідних технічних і організаційних заходів з урахуванням, зокрема, ризику, сучасного рівня техніки та характеру обробки. Залежно від ризику це можуть бути шифрування, обмеження доступу, резервне копіювання та процедури регулярної перевірки заходів безпеки.
Для Suchen.Expert це, зокрема, означає захист даних входу й доступ до корпоративного запису лише уповноваженим особам.
Якщо персональну інформацію із Suchen.Expert експортують або переносять у власні системи, там також потрібен належний рівень захисту.
11. Права доступу в компанії
Не кожен працівник повинен автоматично мати доступ до всіх клієнтських даних.
Доступ має відповідати даним, потрібним особі для її завдання.
Якщо працівник звільняється або більше не потребує доступу, його права слід негайно перевірити та за потреби відкликати.
Паролі або персональні користувацькі доступи не слід безконтрольно ділити між кількома особами.
12. Права суб’єктів даних
Особи, дані яких обробляються, мають різні права за GDPR.
За відповідних законних умов це, зокрема, доступ до інформації, виправлення, видалення, обмеження обробки, переносимість даних та заперечення проти певної обробки.
Постачальник повинен розглядати запити суб’єктів за законом, якщо відповідає за відповідну обробку.
Спершу слід з’ясувати, чи стосується запит обробки підприємцем або самою Suchen.Expert.
13. Порушення безпеки персональних даних
Втрата даних, випадкове передавання неправильному отримувачу або доступ сторонніх може становити порушення безпеки персональних даних.
Якщо ймовірний ризик для прав і свобод фізичних осіб, контролер зазвичай повинен повідомити компетентний наглядовий орган без зволікання та, якщо можливо, протягом 72 годин після виявлення. Законні вимоги містить ст. 33 GDPR.
Якщо ймовірний високий ризик для прав і свобод відповідних осіб, додатково може бути потрібне їх негайне повідомлення.
Порушення також слід документувати за ст. 33 абз. 5 GDPR.
14. Власні виконавці та програмне забезпечення
Підприємці, які додатково використовують власні
хмарні сервіси, CRM-системи, сервіси розсилок, бухгалтерські програми, аналітичні програми, комунікаційні сервіси або інші зовнішні системи
для клієнтських даних, повинні самостійно перевірити цю обробку з погляду захисту даних.
Важливими можуть бути, зокрема:
правова підстава, обробка за дорученням, технічні й організаційні заходи, строки зберігання та за потреби передавання за межі Європейського економічного простору.
Первісне отримання даних через Suchen.Expert не звільняє підприємця від цих обов’язків.
15. Не публікуйте клієнтські дані
Дані зацікавлених осіб або клієнтів зазвичай не можна без достатньої правової підстави публікувати в оголошеннях, відгуках, профілях компаній чи інших загальнодоступних місцях.
Це стосується, зокрема:
імен, приватних адрес, телефонів, електронної пошти, фотографій, історії повідомлень, платіжної чи договірної інформації.
Знімки екрана листування також можуть містити персональні дані.
Тому особа, яка хоче, наприклад, опублікувати позитивне повідомлення клієнта як рекомендацію чи відгук, повинна спочатку перевірити достатню правову підставу.
Захист даних на Suchen.Expert
Suchen.Expert надає технічну платформу оголошень, установлення контактів і спілкування.
До обробки, яку Suchen.Expert самостійно здійснює для роботи платформи, застосовується інформація Suchen.Expert про захист даних.
Натомість якщо комерційний користувач обробляє дані для власних ділових цілей, він сам відповідає за відповідні вимоги захисту даних, якщо є контролером цієї обробки.
Зокрема, контакти, отримані через Suchen.Expert, не можна використовувати для реклами, зовнішніх розсилок, публікації чи інших нових цілей лише тому, що користувач раніше звернувся через платформу.
Ці вказівки призначені для загального ознайомлення й не замінюють перевірки конкретних процесів обробки даних компанії з погляду законодавства про захист даних.
