Персональные данные клиентов в Битрикс24: кто может скачать вашу базу

Менеджер уволился. Его сделки передали коллеге, но доступ к Битрикс24 ещё не закрыли. Сможет ли бывший сотрудник открыть контакты и выгрузить их в файл?

Ответ зависит от прав в вашем портале. Проверить его можно до конфликта: администратор создаёт тестовую роль и смотрит, какие карточки и операции ей доступны. Из личного кабинета владельца эту проверку не провести, у него другие полномочия.

Клиенты у нас компании. При чём тут персональные данные?

В карточке клиента могут быть имя представителя, его мобильный телефон и рабочий email с фамилией. Если сведения относятся к определяемому человеку, вы работаете с персональными данными по статье 3 152-ФЗ. Продажи между компаниями не исключают этого.

Просмотрите одну карточку целиком, включая переписку и вложения. Допустим, менеджер приложил паспорт для разового действия. Уточните, было ли основание получить его и зачем хранить копию после выполнения задачи.

Статья 5 требует соотносить состав данных с целью и не собирать избыточные сведения. Для проверки полезен прямой вопрос сотруднику: «Какую рабочую задачу вы решаете с помощью этого поля или файла?»

Можно разрешить работу со сделкой, но запретить экспорт?

В ролевой модели Битрикс24 предусмотрены права на разные операции, в том числе экспорт. Доступные возможности проверьте для своего тарифа и редакции.

Попросите администратора проверить роль менеджера: какие контакты он видит, что может менять и что может выгрузить. Руководитель продаж должен объяснить, какой объём данных нужен этому сотруднику. Так вы получите требования к настройке.

Для подрядчика укажите задачу и срок доступа. Если интегратору нужно проверить поступление заявок, выясните, зачем ему выгрузка клиентского архива. Используйте отдельную учётную запись, чтобы отозвать его доступ после завершения работ.

Достаточно закрыть учётную запись при увольнении?

Проверьте ещё файлы и подключения, через которые сотрудник получал данные:

• Выгружал ли он контакты в рабочую таблицу и у кого к ней остался доступ.
• На какой адрес приходят отчёты и уведомления.
• Какие приложения или интеграции он подключал и кто управляет ими после его ухода.

Права в CRM не удалят уже скачанную копию. Поэтому в порядке передачи дел укажите, что сотрудник делает с рабочими файлами, а администратор проверяет доступы. Сохраните результат проверки.

Внешний кол-центр тоже должен попасть в документы?

Если он обрабатывает данные по поручению вашей компании, проверьте основание передачи и условия поручения. Часть 3 статьи 6 требует определить состав данных, операции, цели и обязанности обработчика.

Одна фраза о конфиденциальности не описывает эти условия. Выясните, где подрядчик хранит записи, кому открывает доступ и как сообщает об инциденте. За свою организацию обработки перед клиентом отвечает оператор; передачей работы подрядчику эта обязанность не заканчивается.

Если посторонний получил доступ, сколько времени на реакцию?

По ч. 3.1 статьи 21, если установили неправомерную или случайную передачу либо доступ, которые повлекли нарушение прав людей, нужно уведомить Роскомнадзор: в течение 24 часов об инциденте и в течение 72 часов о результатах внутреннего расследования. Оба срока считают с момента выявления инцидента.

Широкая настройка роли сама по себе ещё не доказывает такой инцидент. Но при признаках доступа постороннего сохраните сведения о случившемся и подключите ответственного за персональные данные.

За неисполнение или просрочку обязанности уведомить о таком инциденте ч. 11 ст. 13.11 КоАП предусматривает от 1 до 3 млн ₽ для коммерческого юридического лица. Это самостоятельное нарушение, которое нельзя оценивать только по размеру клиентской базы.

С чего начать владельцу?

Назначьте проверку одного пути: форма сайта, заявка в Битрикс24, работа менеджера, передача подрядчику. Для каждого этапа зафиксируйте цель и получателей, затем сравните их с документами.

Если заявки приходят через сайт, regpdn.ru поможет с политикой и согласиями. Передайте специалистам ссылку на сайт и опишите использование CRM. Права Битрикс24 и работу интеграций проверит администратор. Попросите его показать результат под ролью сотрудника: какие данные тот видит и может ли их скачать.