Как работать с персональными данными после 1 сентября 2022: новые требования

С 1 сентября 2022 года начнут действовать новые нормы сбора персональных данных. Вступят в силу поправки в закон «О защите прав потребителей» (от 07.02.1992 № 2300-1). Продавцам (исполнителям, владельцам агрегаторов) запретят отказывать покупателям в заключении, исполнении и расторжении договора при отказе последних предоставить персональные данные.

За несоблюдение нормы будут штрафовать. Соответствующую меру предусматривает Федеральный закон от 28.05.2022 № 145-ФЗ, которым были внесены поправки в статью 14.8 КоАП.

Новые нормы призваны пресечь принудительный сбор продавцами персональных данных покупателей в целях, не связанных с предметом договора.

Какие ПД считаются избыточными

Представление персональных данных не может фигурировать в качестве условия сделки. Продавец не может отказаться продать товар или оказать услугу по той лишь причине, что покупатель не хочет предоставить персональные данные, которые для исполнения договора фактически не требуются. Об этом говорится в обновлённой статье 16 Закона «О защите прав потребителей».

Помимо этого, есть положение закона «О персональных данных» от 27.07.2006 N 152-ФЗ, где говорится, что «Обработка персональных данных должна ограничиваться достижением конкретных, заранее определённых законных целей». Обработка персональных данных, несовместимая с целями их сбора, недопустима.

Что это значит

Продавец может запросить некоторые персональные данные, но только те, которые необходимы для исполнения договора. Избыточные данные собирать нельзя. Например, для сервиса доставки еды нужны адрес и номер телефона заказчика. Но если на сайте доставщик предлагает дополнительно заполнить пункты о семейном положении или представить фотографии всех страниц паспорта, и это обязательное условие. Налицо — нарушение.

Такой принцип работал и до внесения поправок.

Что конкретно изменится для бизнеса и покупателей

Если раньше обращение с персональными данными регулировалось «Законом о персональных данных», теперь добавился ещё и закон «О защите прав потребителей».

Покупатель может запросить, с какой целью собираются его персональные данные. Если обращение устное, продавец обязан дать ответ немедленно, если подано письменно, в электронной или иной форме, на разъяснение даётся семь дней. Контролем вопроса займётся Роспотребнадзор.

Когда можно требовать ПД

Персональные данные для заключения договора можно потребовать в двух случаях.

• Если без них продавец не может выполнить свои обязательства по договору. Например, необходимы адрес и телефон для доставки товара или адрес электронной почты, чтобы отправить на него билеты на мероприятие, если скачать их напрямую с сайта нельзя.
• В установленных законом случаях. Например, при заключении договора с мобильным оператором, банком, микрофинансовой организацией, при продаже ювелирных украшений на сумму свыше 40 000 рублей.

Когда нельзя

Вне закона окажутся требования предъявить паспорт при возврате денег за товар, указать ФИО или электронную почту при покупке товара. Все эти данные можно получить и использовать только с согласия покупателя.

На сколько оштрафуют

Для бизнеса новый закон выливается в появление ещё одного контролирующего органа в лице Роспотребнадзора и ещё одного возможного штрафа.

За одно нарушение оштрафуют:

• организацию — от 30 до 50 тысяч рублей;
• должностное лицо организации и ИП — от 5 до 10 тысяч рублей.

Покупатель покупателю — рознь

Новые нормы касаются потребителей, покупающих товары для личных, семейных, домашних и иных нужд, не связанных с осуществлением предпринимательской деятельности. Например, если вы покупаете самокат для индивидуального использования, поправки действуют. А если покупаете 30 самокатов для организации кикшеринга — уже нет.

Новшество не затронет компании, работающие B2B, но на них по-прежнему будет распространяться закон о персональных данных.

Как работать с рассылками после 1 сентября 2022

На e-mail и других видах рассылок поправки существенно не отразятся. По-прежнему нужно придерживаться правил.

Четыре табу: что нельзя

1. Требовать указать адрес и дать согласие на рассылку в качестве обязательного условия сделки.
2. Предустанавливать галочки в чекбоксах, пользователь должен сделать это добровольно сам.
3. «Вшивать» и прятать согласие на рассылку в другие документы.
4. Объединять согласие на обработку персональных данных и согласие на рассылку. Это два отдельных действия. Их контролируют разные ведомства: Роскомнадзор и ФАС соответственно.

Если пользователь хочет отписаться от рассылки, отключите и уведомьте его об этом. В противном случае это может закончиться объяснениями с ФАС и штрафом. Это касается как обезличенных, так и личных писем. Обращение по ФИО в письме не спасёт. Антимонопольщики придерживаются мнения, что даже с применением такой «хитрости» письмо останется рекламным.

Если договор заключён раньше 1 сентября 2022

Новые требования будут распространяться на все договоры, в том числе те, которые были заключены раньше 1 сентября. При этом если для соблюдения новых условий пришлось изменить договор, а покупатель понёс убытки, продавец должен полностью их компенсировать.

Учтите все новые требования законодательства и работайте с клиентами без ошибок и штрафов.

О типовых нарушениях законодательства в области персональных данных, способах минимизировать риски и избежать нарушений, нововведениях законодательства и новых правилах проведения надзорных проверок Роскомнадзором расскажем на семинаре: «Как организовать работу с персональными данными в компании: новые требования законодательства, ответственность за несоблюдение, претензии Роскомнадзора».