Отрасль перевозок, как грузовых, так и пассажирских шагнула вперед, и мы уже привыкли к отслеживанию грузов в реальном времени (геолокация и видеофиксация), обмену информацией и документов в электронном виде. Это улучшает качество оказания услуг и значительно сокращает время взаимодействия с контрагентами. Но, увеличивает риски утечки персональных данных (ПД), которые мы обрабатываем в рамках ведения предпринимательской деятельности.
В данном случае нужно понимать, что за удобством кроется зона юридической ответственности.
Как не превратить обработку ПД в транспортный коллапс со штрафами и убытками
Попробуем разобраться в этой статье вместе с руководителем ООО «ПравоГранд» Еленой Боржемской.
Какие персональные данные обрабатываются в перевозках и экспедиции
Во-первых, необходимо определить цели обработки персональных данных и их категории. Как правило, в перевозках, это:
- данные водителей и экспедиторов (ФИО, номер водительского удостоверения и т.д.),
- данные клиентов (контрагентов) – фамилия, имя, отчество, должность, контактные данные, адреса погрузки/выгрузки (если это частный дом или ИП),
- банковские реквизиты в договорах с физическими лицами,
- данные из договоров, заявок, CMR-накладных, где фигурируют данные физических лиц.
Принцип минимизации персональных данных
Во-вторых, необходимо проанализировать какие персональные данные действительно вам необходимы в рамках оказания услуг по перевозкам и экспедированию в соответствии с законодательством. Одна из главных ошибок обработки персональных данных – их излишняя обработка. В некоторых случаях оператор ПД запрашивает больше сведений, чем необходимо для конкретной цели.
Например, запрос паспортных данных при регистрации личного кабинета на сайте в рамках оформления заявки и внесение паспортных данных в договоры с физическими лицами.
Сразу задайте себе вопрос – зачем эти данные необходимы для достижения той или иной цели? При заключении договора с физическим лицом предъявление им паспорта необходимо для определения подписанта, а вот вносить паспортные данные в договор не нужно (если только это прямо не указано в законодательстве). Для исполнения договора с физическим лицом нам необходимы, как правило, фамилия, имя, отчество, адрес регистрации, контактные данные, банковские реквизиты и индификационный номер в некоторых случаях (гражданско-правовые договоры с физическими лицами, если они оказывают услуги, выполняют работы для вашей организации).
Обращаем внимание, что операторы должны собирать, хранить и запрашивать сведения о гражданах ровно настолько, насколько это необходимо для достижения поставленных целей. Обрабатываемые персональные данные не должны быть избыточными и не собираются про запас.
Таким образом, содержание и объем обрабатываемых данных должны соответствовать заявленным целям их обработки. Иными словами, нельзя:
- требовать персональные данные, которые не влияют на достижение заявленной цели;
- требовать больше персональных данных, чем нужно в конкретном случае.
Риск: храните избыточные данные — нарушаете принцип минимизации.
В данном случае обработка независимо от факта наличия (отсутствия) согласия субъекта будет избыточна и содержит признаки административного правонарушения по ст. 23.7 КоАП.
Почему согласие на обработку ПД не решает проблему избыточных данных
Многие компании полагают, что согласие субъекта персональных данных решит все вопросы с излишней обработкой той или иной информации, более того включают его в договоры, чтобы уже наверняка. Но, это ошибочное мнение. Согласие – не панацея и не минимизирует ваши риски в случае обработки излишней информации. Главный принцип согласия – его свобода, однозначность и информированность.
Мессенджеры и передача персональных данных
В сфере перевозок WhatsApp, Viber и Telegram стали основной средой общения. Именно туда мгновенно отправляются сканы паспортов, водительских удостоверений, подписанные договоры и заявки с контактными данными. С точки зрения Закона № 99-З «О защите персональных данных», это передача данных по незащищенным каналам связи. Оператор обязан применять технические меры защиты (шифрование, защищенные серверы). Слитая переписка менеджера, утерянный телефон — это полноценная утечка конфиденциальной информации, за которую предусмотрена ответственность.
Основная ошибка – создание общих групп в вышеуказанных мессенджерах, где видны номера телефонов, фотографии документов и паспортные данные всех участников друг другу. Во избежание рисков заведите корпоративный аккаунт в мессенджере. Назначьте приказом ответственного за «общение с клиентами». Разработайте правило: получили персональные данные для договора, заявки — после обработки сразу удалите этот файл из истории переписки.
Геолокация и видеофиксация в перевозках
Собирая данные о передвижении транспортного средства (геолокация) и фиксируя происходящее в салоне (видеофиксация) перевозчик вторгается в сферу персональных данных, где также очень важно не нарушить законодательство.
Трансграничная передача данных при международных перевозках
Для международных перевозок установка средств геолокации полностью легальна и широко применяется. Запрета нет, но есть нюансы трансграничной передачи данных. Трансграничная передача координат автомобиля (данных о перемещении водителя) на сервер, находящийся за пределами Республики Беларусь является трансграничной передачей персональных данных. В соответствии с законодательством о защите персональных данных это запрещено делать в страны, не обеспечивающие адекватный уровень защиты прав субъектов персональных данных, кроме ряда исключений (исполнение договора, согласия).
Видео-фиксация при грузовых и пассажирских перевозках
Автомобильные перевозчики при выполнении международных автомобильных перевозок грузов не должны обеспечивать видеофиксацию выполнения автомобильных перевозок грузов путем установки средства видеофиксации в салоне автомобиля. Такая обязанность вводится только при выполнении внутриреспубликанских автомобильных перевозок грузов с 1 января 2028 г.
С 01.04.2026 все транспортные средства, предназначенные по своей конструкции и оборудованию для автомобильных перевозок пассажиров и багажа и (или) ручной клади, необходимо оснастить средствами видеофиксации путем их установки в салоне (транспортные средства выполняющие внутриреспубликанские автомобильные перевозки пассажиров в регулярном сообщении – с 01.01.2028).
Таким образом, нужно четко разграничить, где видеофиксация будет производится на основании актов законодательства (не будет является излишней и не законной), а где ее установка запрещена и получение согласия на обработку персональных данных в этом случае не исключит ваши риски.
Хочу также обратить внимание, что при установке видеофиксации в установленных законодательством случаях, вы не должны забывать о защите полученных персональных данных.
Требования к защите данных при видеофиксации
Что должно быть:
- Техническая защита: обеспечение недоступности видеоархива для посторонних лиц и предотвращение утечек данных.
- Соблюдение сроков: уничтожение или обезличивание данных после достижения цели обработки (т.е. по истечении установленного срока хранения в 15 суток, если нет иных законных оснований для дальнейшего хранения).
- Предоставление информации: субъект данных (пассажир) имеет право знать, кем и в каких целях обрабатываются его данные
Практический чек-лист: как перевозчику и экспедитору спать спокойно
- Проведите внутренний аудит и зафиксируйте, какие именно персональные данные, от кого и куда поступают. Определите цели их поступления (обработки) и четко разберите все ли запрашиваемые вами данные действительно необходимы.
- Разработайте и утвердите Политику обработки персональных данных, соответствующую именно вашим бизнес-процессам, с учетом специфики перевозок.
- Проработайте вопрос с использованием мессенджеров для обмена сканами документов и информацией, содержащей персональные данные.
- Проверьте трансграничную передачу персональных данных.
- Назначьте ответственное лицо за внутренний контроль за обработкой персональных данных и обучите персонал. Люди без обучения – самое слабое звено. Можно разработать идеальную политику по защите персональных данных, но если менеджеры и водители фотографируют и обмениваются информацией о клиентах через Instagram, сбрасывают по-приятельски коллегам конфиденциальную информацию, содержащую персональные данные – защита не работает.
- Вовремя уничтожайте документы, информацию, содержащие персональные данные. После окончания рейса, если данные не нужны бухгалтерии, удаляйте сканы и ненужную переписку с персональными данными.
Ответственность за нарушение правил обработки ПД
Нарушение правил — штраф по ст. 23.7 Кодекса об административных правонарушениях Республики Беларусь до 200 базовых.
Вместо заключения
Соблюдение Закона о защите персональных данных — это не бюрократический каприз, а укрепление доверия клиентов. В сфере, где груз и пассажир ценится дороже всего, сохранность их информационного следа становится таким же активом.
