Спикерами выступили медиатор и консультант по вопросам обработки персональных данных Оксана Кодолова, а также бизнес-медиатор и преподаватель ВШАМП Наталья Вишнякова. Участники встречи узнали, как соблюсти требования закона №152-ФЗ «О персональных данных», что считается нарушением, и какие меры необходимо предпринять, чтобы избежать штрафов и утечки информации.
В начале вебинара спикеры напомнили: медиаторы, независимо от формы занятости — будь то ИП или физическое лицо — фактически являются операторами персональных данных, если они собирают, хранят или используют данные клиентов. Даже наличие контакта в телефоне с именем и номером клиента, хранение договоров или консультационных записей в облаке подпадает под определение «обработка персональных данных». Это подтверждает и позиция Роскомнадзора.
Особое внимание было уделено определению «оператор». В соответствии с законом, это лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки ПДн. Таким образом, медиатор, принимающий решение вести учет клиентов или сохранять информацию о медиативной процедуре, автоматически попадает под это определение.
Спикеры подчеркнули, что персональные данные — это не только паспортные данные или СНИЛС. К ним также относятся имя, номер телефона, адрес электронной почты, а также информация, полученная в процессе медиации, включая, например, сведения о членах семьи, имущественном положении, здоровье и других чувствительных аспектах. Даже если информация на первый взгляд не кажется ценной, при определенных обстоятельствах ее утечка может навредить клиенту.
Под обработкой, согласно закону, понимаются любые действия с персональными данными — сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание и удаление. Причем даже одноразовая запись в блокнот или переписка в мессенджере уже считается обработкой.
Оксана Кодолова подробно рассказала о правовых рисках. Если медиатор нарушает требования закона, на него могут быть наложены административные штрафы. Так, согласно статье 13.11 Кодекса об административных правонарушениях РФ, за нарушение законодательства в сфере обработки персональных данных предусмотрены административные штрафы. Например, за непредоставление уведомления в Роскомнадзор о начале обработки персональных данных физическое лицо может быть оштрафовано на сумму от 5 000 до 10 000 рублей. Для должностных лиц штраф составляет от 30 000 до 50 000 рублей. Индивидуальные предприниматели и юридические лица могут получить штраф от 100 000 до 300 000 рублей. За другие нарушения, такие как отсутствие согласия на обработку персональных данных, несоблюдение условий хранения или непредоставление субъекту информации об обработке, также предусмотрены существенные штрафы в зависимости от категории нарушителя и степени тяжести правонарушения.
Кроме того, Роскомнадзор вправе потребовать устранения нарушений в короткий срок, провести проверку, а при наличии серьезных оснований — передать дело в прокуратуру. Спикеры подчеркнули: особенно рискованна ситуация, когда клиент обратился с жалобой, а медиатор не может подтвердить, что соблюдал требования закона.
Подача уведомления требуется, если медиатор не просто фиксирует данные на бумаге, но использует электронные средства обработки: сохраняет документы в облаке или таблице, отправляет данные по электронной почте, использует CRM-системы и т.д. В таком случае необходимо направить уведомление в Роскомнадзор через специальную форму на официальном сайте.
Кодолова рекомендовала не указывать в уведомлении цели, которых в реальности нет — например, распространение или обезличивание данных. Такие действия влекут дополнительные юридические обязательства. Также важно точно прописывать категории субъектов, виды обрабатываемых данных, меры защиты и перечень лиц, имеющих доступ к ним.
По словам эксперта, заполнение уведомления может занять около часа, и оно не требует специальной юридической квалификации. Однако важно заранее продумать, как выстроены процессы обработки, чтобы не указать лишнюю или недостоверную информацию.
Отдельной темой стал вопрос использования зарубежных мессенджеров. Спикеры напомнили, что Telegram, WhatsApp и другие иностранные сервисы не входят в перечень разрешенных операторов, зарегистрированных в России. Соответственно, передача ПДн через такие платформы может рассматриваться как трансграничная передача, требующая отдельного письменного согласия клиента. Более того, в случае утечки медиатор может не доказать, что он предпринял все возможные меры защиты.
Вишнякова рассказала о практике перехода на российские защищенные сервисы — такие как «Яндекс» и другие российские почтовые клиенты. Также она напомнила об основных правилах цифровой гигиены: использовать пароли и двухфакторную аутентификацию и не передавать устройства третьим лицам.
Эксперты подчеркнули, что задача медиатора — не бояться законодательства, а понимать свои обязанности и формировать безопасные практики. Оксана Кодолова рекомендовала фиксировать порядок работы с ПДн в локальных документах: например, в политике обработки персональных данных и согласии на обработку персональных данных, подписываемом клиентом. В случае претензий это поможет доказать добросовестность.
Школа ВШАМП продолжит проводить бесплатные мероприятия для медиаторов. Следующее крупное событие — запуск второго потока курса «Юридические основы бизнес-медиации», старт которого запланирован на 2 июля. В рамках курса будут подробно рассматриваться правовые аспекты, включая правила работы с ПДн, особенности медиативного соглашения, конфиденциальность и деловую этику.
