Что такое обработка персональных данных?

Обработка персональных данных - это любое действие с ними: сбор, запись, хранение, изменение, передача, блокировка или удаление. Определение дано в пункте 3 статьи 3 закона №152-ФЗ. Хранение контактов клиентов в CRM - это уже обработка, и на неё распространяются требования закона, даже если вы ничего активно с этими данными не делаете.

Хранение - это одна из форм обработки, и уже она требует законного основания: согласия клиента, договора или другой причины из статьи 6 закона. Отдельно стоит передача данных: если CRM работает на серверах за рубежом или подрядчик получает доступ к базе, это отдельные виды обработки, которые лучше прописать в договоре явно, а не оставлять на словах.

На практике для компании с CRM это означает три вещи: собрать письменные согласия клиентов на обработку (форма на сайте, пункт в договоре), назначить ответственного за данные и подать уведомление в Роскомнадзор, если компания не подпадает под исключения из статьи 22 закона. Штраф за обработку без уведомления или без согласия начинается от 30 000 рублей для юрлиц по статье 13.11 КоАП - и это только за формальное нарушение, без учёта утечки.

Если данные передаются за границу, используются для скоринга или профилирования клиентов, либо в базе есть сведения о здоровье - тут стоит отдельно проконсультироваться с юристом, общих правил будет мало. Для обычной CRM с контактами хватает типовой документации, которую готовят вместе с разработчиком сайта.