Персональные данные гостя: как разобрать сбор, доступ и удаление
Практическая инвентаризация для команды посуточной аренды: связать данные с целями и основаниями, ограничить доступ и задать правила удаления.
Команда посуточной аренды получает данные гостя из формы бронирования, договора, переписки и документов. Если всё это без разбора копировать в личные чаты и таблицы, невозможно объяснить, зачем хранится каждый файл и кто имеет к нему доступ. Начните не с согласия «на всё», а с реестра целей: какая операция выполняется, какие данные для неё нужны, на каком основании они обрабатываются и когда запись должна быть удалена.
Разделите процесс на цели
Не создавайте одну расплывчатую цель «обслуживание клиентов». Разберите путь гостя на отдельные операции: ответ на запрос, оформление бронирования, заключение и исполнение договора, передача обязательных сведений по закону, расчёты, претензии и маркетинговые сообщения.
Для каждой операции запишите владельца процесса, категорию данных, получателя, систему хранения, срок и основание обработки. Так администратор видит не абстрактную политику, а конкретный маршрут: номер телефона нужен для связи по текущему заезду, платёжный документ — для расчётов, а рекламная рассылка представляет собой другую цель.
Собирайте только необходимое
Статья 5 закона № 152-ФЗ требует заранее определить законные цели обработки, не собирать несовместимые с ними данные и не допускать избыточности. Проверьте каждое поле формы вопросом: какое действие остановится, если его убрать?
Если ответ звучит как «может пригодиться», поле требует отдельного обоснования. Не просите копию документа целиком, когда процессу достаточно отдельных реквизитов. Не переносите сведения о госте из рабочей системы в личный телефон ради удобства. Не добавляйте в карточку оценки вроде «сложный клиент»: храните только проверяемые факты, необходимые для заявленной операции.
Укажите основание для каждой операции
Согласие — не универсальная замена анализу. Статья 6 закона № 152-ФЗ перечисляет разные условия правомерной обработки. Среди них есть обработка, необходимая для заключения договора по инициативе человека и для исполнения договора, стороной которого он является.
В реестре не выбирайте основание автоматически. Свяжите его с конкретной целью и фактическим процессом. Для действий, которые не нужны для исполнения бронирования, проведите отдельную проверку. Например, использование контакта для рекламных сообщений нельзя незаметно прятать внутри обязательного оформления заезда. Если основание спорное или команда обрабатывает документы иностранных граждан, биометрические либо специальные категории данных, передайте схему ответственному за персональные данные или юристу.
Ограничьте доступ сотрудников
Администратору нужен доступ к данным текущего заезда, бухгалтеру — к расчётным документам, а подрядчику по уборке обычно не нужна копия документа гостя. Постройте роли вокруг рабочих задач и запретите общий доступ «всем сотрудникам».
В карточке системы фиксируйте, кто может читать, изменять, выгружать и удалять данные. Отдельно перечислите внешние сервисы и подрядчиков, которым передаются сведения. Если сотрудник уходит или меняет роль, доступ должен пересматриваться как часть кадрового процесса, а не после случайного обнаружения старой учётной записи.
Задайте срок и событие удаления
Не устанавливайте один срок для всех сведений. Статья 5 связывает хранение с целью обработки, если иной срок не установлен законом или договором. Поэтому в реестре нужны два поля: срок или правило его определения и событие, после которого запускается проверка удаления.
Например, закрытие бронирования не всегда означает немедленное удаление всех записей: часть документов может требоваться для расчётов, исполнения договора или защиты права. Но это не оправдывает бессрочное хранение всей переписки и лишних копий. Для каждой категории отделите обязательное хранение от привычки команды «ничего не удалять».
Статья 21 закона № 152-ФЗ предусматривает прекращение обработки и уничтожение данных после достижения цели в установленный срок с оговорёнными законом и договором исключениями. Она также описывает действия при неправомерной обработке и требованиях субъекта. Конкретный срок по каждой категории определяйте по применимому основанию, а не по одной памятке для всех случаев.
Подготовьте маршрут для обращения гостя
Сотрудник первой линии не должен спорить с гостем в чате или обещать мгновенное удаление всей истории. Дайте ему короткий сценарий:
- зарегистрировать обращение и проверить личность заявителя безопасным способом;
- записать, какие данные и какую операцию оспаривает человек;
- не менять и не удалять записи самовольно;
- передать запрос ответственному и зафиксировать срок ответа;
- сохранить решение и подтверждение выполненных действий.
Если обнаружена возможная неправомерная обработка или утечка, не ограничивайтесь удалением сообщения из чата. Остановите дальнейшее распространение, сохраните факты инцидента и немедленно передайте его ответственному: закон устанавливает отдельные обязанности и сроки для таких случаев.
Проведите проверку на одном бронировании
Возьмите завершённый заезд и пройдите путь данных от первой заявки до закрытия расчётов. Для каждого файла и поля ответьте: кто создал запись, зачем, на каком основании, где она хранится, кому передаётся и какое событие запускает удаление.
Если команда не может ответить хотя бы на один вопрос, не компенсируйте пробел новым документом «для галочки». Исправьте сам процесс: уберите лишнее поле, перенесите данные из личного чата в управляемую систему, ограничьте роль или назначьте владельца удаления. Статья помогает провести внутреннюю инвентаризацию, но не заменяет юридическую оценку конкретной схемы обработки.