Обработка персональных данных в логистике и курьерской доставке: требования 152-ФЗ, согласия и договоры с обработчиками
Деятельность логистических компаний и служб доставки неразрывно связана со сбором и обработкой персональных данных значительного числа субъектов: получателей, отправителей, водителей и экспедиторов. Федеральный закон № 152-ФЗ «О персональных данных» распространяется на такие организации в полном объёме. В данном материале рассмотрены ключевые аспекты: категории собираемых данных, случаи, когда согласие требуется, а когда – нет, порядок передачи данных подрядчикам, а также внутренние меры, необходимые для соблюдения законодательства.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
В процессе работы с заказами обрабатываются данные разных категорий субъектов:
Ключевым критерием является цель обработки персональных данных. Если данные необходимы строго для исполнения договора (оформление заказа, планирование маршрута, передача груза, проведение расчётов), отдельное согласие субъекта не требуется. Правовое основание – пункт 2 части 1 статьи 6 152-ФЗ (обработка необходима для исполнения договора, стороной которого является субъект).
Согласие требуется, если компания планирует использовать данные для целей, выходящих за рамки исполнения договора:
При поручении обработки персональных данных сторонней организации (курьерской службе, сервису маршрутизации, IT-провайдеру) необходимо заключить договор поручения (статья 6 152-ФЗ). В договоре должны быть чётко зафиксированы:
Компания обязана разработать и публично разместить «Политику обработки персональных данных». В ней подробно описываются все категории субъектов, цели обработки, правовые основания, сроки, применяемые меры защиты, а также порядок отзыва согласия и взаимодействия с Роскомнадзором.
Оператор обязан принимать организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и иных несанкционированных действий (статья 19 152-ФЗ).
Субъект персональных данных вправе в любой момент отозвать своё согласие в письменной форме. После получения отзыва оператор обязан прекратить обработку и, если данные более не нужны для законных целей, уничтожить их в установленный срок (по общему правилу – в течение 30 дней, если иное не предусмотрено договором или законом).
По общему правилу (пункт 1 статьи 22 152-ФЗ) оператор обязан уведомить Роскомнадзор о начале обработки персональных данных до её фактического начала. Исключения предусмотрены для случаев, когда обработка осуществляется строго без использования средств автоматизации (только на бумажных носителях) либо данные включены в государственные информационные системы. В логистических компаниях, как правило, используются автоматизированные системы (CRM, базы заказов, трекинговые платформы), поэтому обязанность подачи уведомления возникает в полном объёме. При изменении условий обработки (новые цели, категории данных, обработчики) необходимо проинформировать Роскомнадзор.
Если у вас возникают сомнения по отдельным вопросам – например, как прописать в политике обработку геолокационных данных водителей или как отразить в уведомлении Роскомнадзора все цели обработки, – мы с радостью поможем. Наши специалисты глубоко разбираются в Федеральном законе № 152-ФЗ.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
В процессе работы с заказами обрабатываются данные разных категорий субъектов:
Ключевым критерием является цель обработки персональных данных. Если данные необходимы строго для исполнения договора (оформление заказа, планирование маршрута, передача груза, проведение расчётов), отдельное согласие субъекта не требуется. Правовое основание – пункт 2 части 1 статьи 6 152-ФЗ (обработка необходима для исполнения договора, стороной которого является субъект).
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.