Защита персональных данных регламентируется Федеральным законом от 29 июля 2006 года № 152 ФЗ «О персональных данных». Его действие распространяется на сбор и использование любой личной информации о гражданине. Дилерам же с подобного рода сведениями приходится иметь дело практически на всех этапах производственного процесса. В первую очередь — с личными данными клиентов компании, которые собираются с первого же обращения. Обрабатывать такую информацию дилеру приходится по нескольким причинам. Во-первых, без этого невозможно оформление сделки. Продажа нового автомобиля, особенно производящаяся с привлечением кредитования или с оформлением страховки,— сложный с точки зрения документооборота процесс, при котором личные данные покупателя становятся основой для оформления документов.
Но это не единственная цель, ради которой данные собираются. Основная их ценность для дилера заключается в том, что благодаря базе сотрудники автоцентра имеют возможность поддерживать регулярные взаимоотношения с клиентом. Кроме того, умелые менеджеры с успехом используют в процессе продажи данные о семейном положении клиента, его увлечениях, любимом времяпрепровождении и прочем: с помощью таких сведений они, например, акцентируют внимание покупателя при презентации автомобиля на наиболее значимых для собеседника качествах машины. А подобные сведения тоже относятся к разряду персональных: по закону, под это понятие подходят абсолютно все данные о конкретном человеке, начиная от имени и фамилии и заканчивая сведениями о его пристрастиях, хобби и так далее. Наконец, имея данные о том же семейном положении, датах рождения покупателя и членов его семьи, о каких то других значимых событиях в семье клиента, дилер имеет возможность регулярно напоминать о себе, поздравляя человека с праздниками, приглашая его детей на детские утренники, делая адресные маркетинговые предложения. Все это важно для любого автоцентра. Однако, собирая и обрабатывая данные, компания в соответствии с законом возлагает на себя определенные обязательства. Первое из них — запрос разрешения на сбор персональных данных.

Юлия Климешина, руководитель юридического отдела ГК «У Сервис+»:
— Законом «О персональных данных» четко определены принципы их обработки. Один из самых значимых принципов указывает на то, что основным условием сбора и использования персональных данных является получение оператором согласия субъекта персональных данных на их обработку.

Например, по закону дилер не может, получив от клиента какой то запрос по электронной почте, внести электронный адрес автовладельца в свою базу данных без согласия на то клиента. Не говоря уже о том, чтобы включать этот адрес в рассылку. Причем устного согласия, полученного по телефону, в письме или в личном разговоре, недостаточно для того, чтобы использовать информацию. Закон обязывает дилера при необходимости «предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных». Поэтому разрешение обязательно должно быть оформлено «в любой позволяющей подтвердить факт его получения форме». К тому же согласие обязательно должно содержать паспортные данные клиента и ряд других сведений (о том, кто собирает данные, о цели их сбора и прочее), список которых подробно прописан в законе. Так что, если сведения о клиенте получены в ходе телефонного разговора, использовать их, например, в маркетинговой работе нежелательно. Даже наличие записи разговора, подтверждающей устное согласие, в случае судебного разбирательства, скорее всего, не сможет защитить дилера. Максимум того, что можно позволить себе после телефонного общения с клиентом,— это затем перезвонить ему, и то лишь в том случае, если такой звонок, его тема, а по возможности и время будут оговорены во время предыдущей беседы с клиентом.

Евгений Табаков, руководитель отдела маркетинга и рекламы «РТР-авто»:
— Если человек оставил данные по телефону, тот, кому он оставил свой номер, может сам перезвонить клиенту. Но не более того. Ни для каких маркетинговых целей сведения, полученные в ходе телефонного разговора, не могут быть использованы до тех пор, пока клиент сам не даст письменного разрешения на их использование. То же касается электронной почты и других форм удаленного общения. У нас нет практики предоставления рекламной информации людям, которые не совершали действий в нашем дилерском центре.

Но даже полученное от клиента письменное разрешение не означает, что дилер имеет право использовать персональные данные для любых целей. Они могут быть применены только для того, на что клиент изъявил согласие. Ни для чего другого, по закону, их использовать нельзя.

Юлия Климешина:
— Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Причем обработке подлежат только те персональные данные, которые отвечают заявленным целям.

Поэтому, если человек оставляет, например, свой контактный телефон для того, чтобы мастер цеха мог сообщить ему о завершении ремонта, а после этого полученный номер включается в рассылку с информацией о маркетинговой акции, такое действие дилера может быть признано неправомочным. Если, конечно, в документе, который подписывал клиент при сдаче автомобиля в ремонт, не было графы, где говорилось бы, что клиент не возражает против использования предоставленных им персональных данных в маркетинговых целях. И рядом с ней — подписи самого автовладельца.
Еще один момент, который нужно учитывать,— полученные от клиента и с его согласия персональные данные по умолчанию нельзя передавать в третьи руки, в том числе и для дальнейшей обработки. Дилер же во многих случаях передает персональные данные представительству, который запрашивает у него эти сведения для анализа.
Евгений Табаков:
— Представительство требует от нас предоставлять им статистику по каждой проданной машине. Дистрибьютор затем проводит более глубокий и обобщенный анализ, чем это делают дилеры. Мы, естественно, такие данные предоставляем. Но обязательно ставим в известность клиентов. Люди обязательно должны быть предупреждены об обработке их данных третьей стороной.

Последнее требование прописано в законе и должно неукоснительно соблюдаться. То же самое касается и ситуации, когда дилер приглашает аутсорсеров для проведения рекламных рассылок. Передавать подрядчику личные данные клиентов он имеет право только с их согласия. Причем в этом случае ответственность за действия компании-аутсорсера берет на себя именно дилер, который, в свою очередь, отвечает перед клиентом за то, что данные не будут использованы не по назначению или переданы «на сторону». Отсюда — важность выбора добросовестной компании — организатора рассылок.
Вообще, вопрос сохранности конфиденциальной информации — один из принципиальных при работе с клиентской базой. Ответственность за ее сохранность целиком и полностью возлагается на дилера, и он обязан обеспечить неприкосновенность данных. Этот вопрос в первую очередь лежит в компетенции IT-службы.

Евгений Табаков:
— Безопасность базы данных — это прежде всего техническая задача. База не должна никоим образом быть связана с Интернетом, должна иметь достаточный уровень информационной защиты. Все это должна обеспечить информационная служба.

Кроме обеспечения технической безопасности задача дилера — предотвратить утечку информации через сотрудников. Эта цель еще более труднодостижима. С одной стороны, это тоже технический вопрос: у персонала не должно быть возможности скопировать базу, желательно также, чтобы при работе сотрудники получали доступ лишь к конкретному контакту, а не ко всем данным. Кроме того, это также вопрос отношения к сотрудникам и климата в коллективе. Если руководство относится к персоналу уважительно, если люди не чувствуют себя недооцененными, шансы на то, что работники не станут подкладывать «свинью» своему работодателю, значительно возрастают. Хотя, естественно, должна действовать и система охраны, задачей которой, в том числе, будет контроль отсутствия утечек информации, а при необходимости — быстрое расследование с тем, чтобы ущерб от утечки был минимальным.
Поскольку ответственность за подтверждение факта согласия на распространение персональных данных возлагается на дилера, важно продумать форму такого согласия. В ней, с одной стороны, должны быть явно указаны те цели, для которых могут быть использованы данные. А с другой — заполнение документа должно быть необременительным для клиента. Как вариант, такая форма может быть совмещена с обычными учетными бланками, подписываемыми клиентами,— например, она может размещаться на бланке заказ-наряда. И наряду с подписью за ремонт клиента можно попросить расписаться напротив строк о согласии на распространение персональных данных. Соответствующая графа может также размещаться на анкете, которую заполняет клиент при оформлении нового автомобиля.

Евгений Табаков:
— При покупке авто человек получает анкету клиента. Там есть графы, в которых он оставляет свои паспортные данные и контактную информацию. Внизу же этой анкеты стоит поле с галочкой: «Я разрешаю обработку моих данных и использование их для информирования меня о новостях и акциях». Он там ставит галочку, а внизу бланка — свою подпись.

Важно отметить, что даже после того, как клиент даст свое разрешение на использование персональных данных, он в любой момент имеет право забрать разрешение обратно. Причем для этого ему достаточно просто уведомить дилера, и тот «обязан немедленно прекратить… обработку его персональных данных». На практике случаи отзыва разрешения достаточно распространены, хотя и не носят массового характера.

Евгений Табаков:
— Любой человек вправе запретить использование его данных даже в том случае, если до этого он давал на это разрешение. Такое часто случается. Когда мы проводим новые акции, мы сопровождаем их SMS-рассылкой. Так вот, после каждой рассылки на три-четыре тысячи абонентов несколько человек обязательно просят исключить их из списка. Два-три, не больше. Но происходит это практически каждый раз.

Поскольку право клиента запретить обработку данных прописано в законе, причем закон не оставляет двоякого толкования, дилер обязан выполнить это требование и принять все меры к тому, чтобы данные этого клиента были исключены из всех списков на рассылку. Тем более что ответственность за нарушение Закона «О персональных данных» предусмотрена достаточно суровая.

Юлия Климешина:
— Нарушение Закона о персональных данных может повлечь за собой как дисциплинарную, административную, так и уголовную ответственность. Например, за незаконный сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации виновные лица наказываются в соответствии со статьей 137 УК РФ. Опять же, нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа в соответствии со статьей 13.11 КоАП РФ. Все, что связано с учетом персональных данных, подлежит контролю со стороны государства. В настоящее время уполномоченным органом по контролю соблюдения данного Закона является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Надзор за соблюдением законодательства о защите персональных данных возложен на уполномоченное федеральное ведомство — Роскомнадзор. Сейчас этот контроль не столь жесткий, как, например, налоговый. По данным ведомства, в 2011 году было проведено лишь 1440 плановых проверок и 791 внеплановая — в масштабе страны это капля в море. Все это вызывает у компаний, работающих с личными данными, в том числе и у дилеров, чувство определенной безнаказанности. Этому также способствует и небольшой — три месяца — срок давности по данным правонарушениям. Причем при выявлении нарушения обычно речь не идет об уголовной ответственности, виновники отделываются относительно небольшими штрафами. Во многом поэтому некоторые нарушения носят, можно сказать, системный характер. Эксперты утверждают, что в части формальной закон более-менее исполняют все: необходимая документация ведется, отчетность предоставляется и так далее. А вот на практике известно немало случаев нарушений со стороны различных дилерских компаний. В первую очередь — в части использования персональных данных без разрешения клиентов или для целей, на которые разрешения получены не были. Обычно это выражается в распространении маркетинговой и рекламной информации по базам данных клиентов, в том числе и тех, от которых согласия на обработку личной информации получено не было.
О том, что такая проблема действительно существует, сообщает и Роскомнадзор. По сведениям этой организации, одними из распространенных нарушений как раз и являются нарушения, допускаемые в связи с продвижением компаниями своих услуг и продуктов на рынок. В частности, проблемы возникают при привлечении аутсорсеров для рассылки материалов рекламного характера. Зачастую исполнители такой работы располагают базами данных, правомерность происхождения которых вызывает обоснованные сомнения. На сайте Роскомнадзора приводится пример того, как в рамках рассмотрения одного из обращений граждан было установлено, что рекламные рассылки в их адрес осуществляла специализированная фирма, располагающая информационной базой персональных данных граждан. Причем заказчику рассылки эта организация продекларировала правомерность существования базы. Однако в результате проведенной проверки было установлено обратное. Обработка персональных данных осуществлялась без согласия граждан, принимаемые этой организацией меры в полной мере не обеспечивали конфиденциальность обрабатываемой персональной информации, а поданное в Роскомнадзор уведомление об обработке персональных данных не соответствовало действительности. Ввиду широкого распространения подобной практики Роскомнадзор рекомендует более тщательно выбирать партнеров для организации рассылок и убеждаться в том, что привлекаемая организация как минимум имеет согласие клиентов, обеспечивает надежную защиту их персональной информации и ведет свою деятельность по обработке персональных данных легитимно.
Роскомнадзор называет и другие характерные нарушения, выявленные этой организацией в ходе проверок, причем данные касаются всех отраслей бизнеса. Во-первых, это нарушение требований конфиденциальности при обработке персональных данных. В отчете проверяющего органа за 2011 год приводится такой пример: «В ходе проведения проверки в отношении одной из организаций должностными лицами Роскомнадзора были установлены факты доставки платежных документов в незаконвертованном виде. По данному факту органами прокуратуры возбуждено дело об административном правонарушении по статье 13.11 КоАП РФ. По результатам рассмотрения материалов дела судом принято решение о привлечении виновного к административной ответственности и наложении штрафа в размере пяти тысяч рублей». Другое типичное нарушение — неуведомление гражданина о начале обработки его персональных данных. Пример — одна из организаций, получив от сторонней организации персональные данные, не уведомила лиц, которым они принадлежат, о начале обработки их персональных данных. По этому факту органами прокуратуры возбуждено дело об административном правонарушении по статье 13.11 КоАП РФ, в результате рассмотрения которого на указанное предприятие был наложен штраф в размере пяти тысяч рублей.
Нередко нарушения касаются несоблюдения оператором условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ. Особенно часто такие нарушения происходят тогда, когда речь идет о неавтоматизированной обработке. Роскомнадзор приводит пример одного из таких дел, виновник по которому понес наказание в виде штрафа в размере пяти тысяч рублей, наложенного на само предприятие; кроме того, должностное лицо этой компании было оштрафовано на пятьсот рублей.
Характерно, что в отчете Роскомнадзора за 2011 год не приведено ни одного примера, когда виновник был бы привлечен к уголовной ответственности.
Однако недостаточный на данный момент контроль и невысокие штрафные санкции не должны являться поводом для нарушения закона. Во-первых, потому, что сам Роскомнадзор заявляет о своих планах увеличить охват проверяемых организаций. Во-вторых, ответственность перед государством — это еще не самое страшное, с чем может столкнуться дилер при несоблюдении закона. Границы ответственности перед властью четко определены, чего нельзя сказать об ответственности перед клиентами, которая, по крайней мере теоретически, вообще ничем не ограничена. Если суд признает человека потерпевшим в результате действий дилера в связи с нарушениями по Закону о защите персональных данных, вступает в силу механизм компенсации вреда — морального, материального и любого прочего. А тут уже речь может зайти о весьма внушительных суммах. Например, дилер помещает на сайте информацию о том, что такой то и такой то клиент во время презентации выиграл приз. Эта новость попадает на глаза жене клиента, особе ревнивой и неуравновешенной и, главное, уверенной, что ее муж должен был быть в тот день на работе. Следует семейный скандал, взаимные упреки, дело почти доходит до развода, хуже того, импульсивная женщина глотает пачку снотворных… Муж, который не давал разрешения на обработку своих персональных данных, подает в суд на компанию. При неудачном стечении обстоятельств компенсация может составлять миллионы. Сразу предупреждаем, что приведенный пример — чистая выдумка. По словам наших экспертов, судебные процессы по делам, связанным с Законом о защите персональных данных, пока редкость, и обычно конфликт с недовольными клиентами решается простым исключением их из базы для рассылок и обзвонов. Но исходя из общей тенденции роста потребительского экстремизма, в будущем можно ожидать роста числа и таких дел.
Есть и еще один аргумент в пользу того, что закон лучше не нарушать. Соблюдение права клиента на сохранность его личной информации — это проявление уважения к самому клиенту, без которого рассчитывать на ответное признание было бы слишком самонадеянно для дилера, так что исполнять закон имеет смысл не только из за угрозы возможных последствий. Скорее, наоборот, было бы правильным само его исполнение сделать менее формальным, действительно запрашивая у клиентов разрешение, а не размещая выражение согласия в потаенных местах длинных документов. В конце концов, именно такой подход будет в наибольшей мере соответствовать тому имиджу клиентоориентированной компании, приобрести который сегодня хотели бы многие дилеры.