Вопрос проверяющего звучит буднично: покажите согласия, на основании которых вы обрабатываете данные этих людей. Дальше всё решает не качество ваших регламентов, а то, за сколько часов вы соберёте ответ и насколько он будет полным. Разбираем, что должно быть в реестре согласий, почему он собирается не из папки со сканами, и как вести его прямо в Битрикс24.

Почему спрашивают именно реестр

Ключевое положение части 1 статьи 9 Федерального закона № 152-ФЗ: обязанность доказать факт получения согласия лежит на операторе. Не человек доказывает, что не соглашался, — вы доказываете, что он соглашался. То же правило повторяется в законе «О рекламе» для рассылок: реклама считается разосланной без согласия, пока рекламораспространитель не докажет обратное.

Из этого следует неприятная арифметика. Отсутствие доказательства равно отсутствию согласия — со всеми последствиями: часть 2 статьи 13.11 КоАП РФ, для юридических лиц от 300 до 700 тыс. рублей за обработку без надлежащего согласия. За утечку персональных данных суммы другого порядка: от 3 до 5 млн рублей при утечке данных 1–10 тыс. субъектов, от 5 до 10 млн при 10–100 тыс., от 10 до 15 млн свыше 100 тыс.; при повторном нарушении штраф становится оборотным — от 1 до 3 % выручки, но не менее 20 и не более 500 млн рублей.

Что спрашивают на самом деле

Формально закон не предписывает форму реестра. Практически по каждому согласию должны находиться ответы на восемь вопросов:

• кто — субъект, чьи данные обрабатываются;
• на какую цель — конкретную, а не «в маркетинговых и иных целях»;
• когда получено — дата;
• до какого срока действует — дата или явная отметка «бессрочно»;
• из какого источника — форма на сайте, ссылка, бумажный бланк, разговор с менеджером;
• какой текст человек видел — редакция документа на момент получения;
• действует ли сейчас — или отозвано, или истекло;
• если отозвано — когда и по какой причине.

Отдельный сюжет — сроки ответа. На запрос субъекта персональных данных или уполномоченного органа оператор отвечает в течение десяти рабочих дней, продление — не более чем на пять рабочих дней с мотивированным уведомлением (ст. 20 152-ФЗ). При инциденте с данными сроки жёстче: уведомление в Роскомнадзор в течение 24 часов, сведения о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21).

Две недели на сбор ответа звучит спокойно ровно до момента, когда выясняется, что согласия лежат в трёх местах, а половина — в виде сканов без даты.

Почему папка со сканами не работает

• По ней нельзя искать. Найти согласия одного человека — задача на полдня, найти все истёкшие — задача на неделю.
• В ней нет состояния. Скан не знает, что согласие отозвали в прошлом марте.
• Она не покрывает электронные каналы. Отметка в CRM-форме в папку не попадает, а это как раз самый массовый источник.
• Она хранится у одного человека. Отпуск, увольнение, сменившийся ноутбук — и доказательства нет.
• Это второе хранилище персональных данных. Само по себе оно увеличивает риск утечки — той самой, за которую штрафы измеряются миллионами.

Реестр внутри портала

Приложение Согласия24 заводит реестр там же, где живут клиенты, — в самом Битрикс24.

Реестр — смарт-процесс вашего портала

При установке создаётся смарт-процесс «Согласия на обработку ПДн» со стадиями «Действует», «Отозвано», «Истекло». Это обычная сущность CRM: у неё есть список, канбан, фильтры, права доступа и история. Записи остаются у вас даже после удаления приложения — реестр не арендуется вместе с подпиской.

Данные не уезжают к разработчику

Отдельный аргумент для службы безопасности: на серверах приложения нет ни имён, ни телефонов, ни адресов ваших клиентов — только домен портала, ключ доступа и настройки сроков. Приложение, помогающее соблюдать 152-ФЗ, не создаёт второго хранилища тех же данных.

Выгрузка одним файлом

Кнопка на главной странице приложения отдаёт CSV со всеми записями: идентификатор, цель, состояние, дата получения, срок, дата и причина отзыва, источник, редакция текста, привязка к контакту, компании или лиду, комментарий. Файл открывается в Excel как есть, кириллица не рассыпается, состояния подписаны по-русски. Это и есть ответ на запрос — не пересказ, а таблица.

Права CRM применяются к выгрузке

Выгрузка идёт от имени того, кто её запросил, поэтому в файл попадает ровно то, что этот сотрудник и так видит в CRM. Реестр согласий — не повод раздать всей компании доступ к базе целиком.

Ответ по одному человеку — за минуту

Если запрос касается конкретного клиента, открывается его карточка: вкладка «Согласия» показывает все записи по нему с целями, датами, источниками и состояниями. Ни поиска по почте, ни звонков бывшему менеджеру.

Что подготовить заранее

• Перенести архив. Бумажные и устные согласия занести в реестр с фактическими датами и источниками — сразу станет видно, у скольких истёк срок.
• Назначить ответственного за обработку персональных данных и дать ему доступ к реестру.
• Свести каналы в один учёт. Форма на сайте, ссылка, телефон, бумага — у каждой записи должен быть источник.
• Проверить тексты соглашений в портале: Настройки → Настройки продукта → Соглашения. Именно их редакции фиксируются в записях.
• Прогнать репетицию. Попробуйте собрать ответ по случайному клиенту за десять минут — это честный тест готовности.

Частые вопросы

Реестр согласий обязателен по закону?

Закон предписывает не форму учёта, а результат: способность подтвердить факт и содержание полученного согласия и исполнение отзыва. Реестр — самый дешёвый способ этот результат обеспечить.

Хватит ли выгрузки как доказательства?

Выгрузка — это опись. Она показывает, что и когда получено, и позволяет быстро найти конкретную запись; сам документ или его электронное подтверждение хранится дальше по вашему регламенту.

Что с согласиями, полученными до внедрения учёта?

Они не аннулируются, но и не находятся сами. Их стоит занести в реестр — с реальной датой получения и источником.

Можно ли ограничить доступ к реестру?

Да, это обычный смарт-процесс: права настраиваются штатными средствами CRM, и они же применяются к выгрузке.

Кто отвечает за содержание текста согласия?

Оператор, то есть вы. Приложение берёт тексты из вашего портала и не подставляет собственных формулировок — юридическую экспертизу документа оно не заменяет.

Коротко

Проверка спрашивает не про порядок в компании, а про конкретные строки: кто, на какую цель, когда, до какого срока, откуда, какой текст и что уже отозвано. Реестр внутри портала даёт эти строки за минуту и не создаёт второго хранилища персональных данных. Как он устроен целиком — в обзоре Согласия24, а про доказательство согласия на рекламу — в статье о рассылках и обзвоне.

Материал носит справочный характер и не является юридической консультацией. Нужна помощь с наведением порядка в CRM? ArtisMedia занимается внедрением и поддержкой Битрикс24. Наши контакты.