Как использовать приложения и Telegram-боты для бизнеса, не нарушая законодательства о персональных данных

«Скачайте наше приложение: там скидки, акции, бонусы!»

«У нас есть бот! Уже пользовались? Попробуйте – проблема решится быстрее!»

Фразы, знакомые каждому потребителю. Фразы, которые произносят многие предприниматели.

Не буду отрицать: приложения и боты – штуки удобные и полезные. Я активно пользуюсь и первыми, и вторыми, но как юрист периодически задаюсь вопросом: почему создатели приложений и ботов игнорируют факт того, что на них тоже распространяется действие закона «О персональных данных»?

Складывается впечатление, что приложения и боты находятся в «слепой зоне», и, в отличие от сайтов, наполнение которых давно регламентировано, они обитают в отдельной вселенной, где работают отдельные правила… Только знаете, в чем правда? В том, что на территории Российской Федерации вселенная одна, а правила едины для всех: их установил Роскомнадзор, он же будет спрашивать с одинаковой строгостью их выполнение.

«...неразрывно связаны» – ответила бы я, если бы вы попросили закончить предложение.

При регистрации приложение запросило имя и номер телефона? Оно обрабатывает ПД. То же самое сделал телеграм-бот? Значит, и он обрабатывает персональные данные. Комбинации сведений могут быть любыми: электронная почта + номер телефона, ФИО + дата рождения и пр. Распространены, например, боты в сервисах доставки еды – они запрашивают адрес, имя и телефон.

Фактически они не отличаются от тех, что установлены законодательством для сайтов. Как и на сайтах, в ботах и приложениях необходимо опубликовать:

1. Политику конфиденциальности для мобильного приложения или бота.
2. Пользовательское соглашение.
3. Текст согласия на обработку персональных данных в приложении или боте и обеспечить возможность дать согласие технически возможным способом.

0. Нулевое правило – создать и разместить документы, о которых я написала выше. В этом вам помогут ссылки, что я дала выше.

1. Собирайте только необходимые данные.
2. Своевременно уничтожайте персональные данные.
3. Храните персональные данные на территории Российской Федерации: это правило защиты персональных данных в мобильных приложениях и ботах установил законодатель. Со стороны бизнеса в этом вопросе есть риск выдать желаемое за действительное.

Поясню: предположим, некая компания использует телеграм-бота, например, для доставки товаров. Это удобно. Бот запрашивает имя клиента, номер телефона и адрес доставки. Предприниматель может подумать: «Я нахожусь в РФ, веду бизнес в РФ, использую бот с устройств, которые тоже находятся в РФ, фиксирую информацию из бота в хранилищах данных, которые находятся на территории РФ (например, для хранения и обработки применяют сервисы Яндекса)». Звучит убедительно, но использование телеграм-бота для сбора персональных данных выглядит как ложка дегтя в этой замечательной бочке меда (правильных с точки зрения законодательства решений).

Дело в том, что в политике конфиденциальности Telegram указано: «Если Вы зарегистрировались в Telegram из Европы, Ваши данные хранятся в дата-центрах в Нидерландах». Где хранятся персональных данные россиян не сказано. По ФЗ «О персональных данных» они должны храниться на территории России. Идеальный вариант – затребовать у разработчиков телеграм-ботов документы, подтверждающие это.

Если разработчик не сможет это подтвердить, а использовать телеграм-бот важно, перед тем, как это делать, направьте в Роскомнадзор уведомление о намерении осуществлять трансграничную обработку персональных данных.

Аналогично дела обстоят с приложениями и персональными данными, которые эти приложения хранят. Если применяете приложения для ведения бизнеса – обеспечивайте хранение данных россиян на территории России. Уведомьте Роскомнадзор о намерении осуществлять трансграничную обработку персональных данных.

Так же, как с сайтом — уведомить РКН о сборе, хранении и обработке персональных данных.

Но!

Если в контексте документов с сайтом все более-менее понятно – документы размещают в подвале или специальном разделе, то возникает вопрос, как быть с приложениями и ботами.

Что касается ботов: оптимально уведомлять о сборе, обработке и хранении персональных данных перед тем, как пользователь нажмет на кнопку «Старт».

Компания Legal Up, где я — руководитель практики сопровождения онлайн-бизнеса — пользуется телеграм-ботом для общения с читателями и клиентами. Бот уведомляет о работе с ПД так: дает ссылки на документы на первой странице, которую видит пользователь.

Это оптимальный вариант: берите на заметку. Аналогичным образом можно поступить и с приложением: дать ссылки на документы на этапе, когда пользователь начал работать с приложением.

Выполнять требования Роскомнадзора реально: кажется, это стало моей коронной фразой. Использовать установленные законодательством формулировки, давать ссылки на документы в ботах и приложениях технически нетрудно. Я знаю, о чем говорю, поскольку привела в порядок много ресурсов. Если остались вопросы, задавайте их здесь.