Защита персональных данных клиентов: требования закона Узбекистана

Почти каждая компания обрабатывает персональные данные: имена и телефоны клиентов в CRM, адреса доставки, паспортные данные в договорах, данные сотрудников в кадровом учёте, анкеты кандидатов. В Узбекистане обращение с такими данными регулирует закон «О персональных данных» и связанные с ним акты. Нарушения грозят ответственностью и, что не менее важно, потерей доверия клиентов.

Статья даёт практический обзор. Точные формулировки обязанностей и актуальные изменения нужно проверять по текстам нормативных актов и с юристом.

Что считается персональными данными

Любая информация, которая позволяет определить конкретного человека: ФИО, телефон, адрес, паспортные данные, ПИНФЛ, фотография, данные о покупках, привязанные к человеку. Отдельно выделяются особые категории, например сведения о здоровье, — для их обработки требования строже. Это особенно важно для клиник, стоматологий, аптек.

Основные принципы

Законная цель. Данные собираются для конкретной цели: исполнение договора, доставка, программа лояльности. Использовать их для другой цели без основания нельзя.

Согласие. Для обработки обычно требуется согласие человека. Его стоит получать явно: отметка в форме на сайте, пункт в договоре, подтверждение в Telegram-боте. Сохраняйте подтверждение того, что согласие было получено.

Минимизация. Собирайте только то, что нужно для цели. Если для доставки нужен телефон и адрес, паспорт клиента не нужен.

Срок хранения. Данные не должны храниться дольше, чем нужно для цели и требований законодательства.

Защита. Оператор обязан принимать меры против несанкционированного доступа, изменения, уничтожения и утечки.

Локализация

Закон требует, чтобы базы персональных данных граждан Узбекистана хранились на серверах, физически находящихся в республике. Это влияет на выбор:

• Хостинга для сайта и интернет-магазина с личными кабинетами
• CRM и сервисов учёта клиентов
• Облачных хранилищ для документов
• Сервисов рассылок и форм

Перед подключением сервиса выясните, где хранятся данные, и при необходимости обсудите вопрос с юристом. Многие популярные зарубежные сервисы размещают данные за пределами страны.

Практические меры защиты

1. Карта данных. Где хранятся персональные данные: CRM, 1С, таблицы, почта, мессенджеры, бумажные архивы
2. Права доступа. Каждый сотрудник видит только данные, нужные для работы. Выгрузка всей базы клиентов — только у ограниченного круга
3. Именные учётные записи и журнал действий в системах
4. Двухфакторная аутентификация для доступа к CRM и базам
5. Шифрование при передаче, а для особо чувствительных данных — и при хранении
6. Резервные копии с такой же защитой, как основные данные
7. Удаление данных по истечении срока хранения и по обоснованному запросу человека
8. Обучение сотрудников и соглашения о неразглашении

Частые источники утечек

• Выгрузки клиентской базы в Excel, которые пересылаются по почте и в мессенджерах
• Скриншоты карточек клиентов в рабочих чатах
• Уволенные сотрудники с сохранёнными доступами к CRM
• Открытые для всех ссылки на облачные таблицы
• Тестовые копии базы у разработчиков без защиты
• Бумажные анкеты в незапертых шкафах

Если произошла утечка

• Ограничить доступ и остановить утечку
• Выяснить, какие данные затронуты и сколько людей
• Зафиксировать события для расследования
• Оценить с юристом обязанности по уведомлению
• Устранить причину, а не только последствия

Чек-лист для руководителя

• Известно ли, где хранятся все персональные данные компании
• Получаются ли согласия и сохраняются ли их подтверждения
• Где физически находятся серверы с базами клиентов
• Кто может выгрузить всю клиентскую базу
• Отключаются ли доступы при увольнении в тот же день
• Есть ли резервные копии и защищены ли они

Если хотите проверить, как в вашей компании организована работа с персональными данными, и закрыть технические риски, свяжитесь с нами.