Я — административный агент (행정사, administrative agent — лицензированный специалист по подготовке и подаче административных документов, разрешений и заявлений) с офисом в Сондо, район Йонсу, город Инчхон. Хочу рассказать об одном случае из практики.
Третий вопрос проверяющего звучал так: как долго вы храните записи о входе и выходе?
Клиент не смог ответить. Он никогда не устанавливал срок. И этот вопрос не имел никакого отношения к тому, о чём была подана жалоба.
Жалоба началась с другой истории
Сначала был звонок. Голос звучал торопливо, и первая фраза была такой: мне сообщили, что на меня подана жалоба по персональным данным.
Мы договорились о встрече, и он пришёл на следующий день после обеда. Мужчина под сорок, владелец двух круглосуточных коворкинг-кафе без персонала в районе Йонсу города Инчхон. Днём он работал в другом месте, а помещениями управлял удалённо. Шёл третий год работы, кредит нужно было выплачивать до весны следующего года.
Суть жалобы была простой. Один посетитель утверждал, что записи о времени его посещений были переданы другому человеку.
За этим стояли частные обстоятельства. Знакомый, поссорившийся с этим посетителем, пришёл в кафе и спросил, когда определённый человек приходил и уходил, а подрабатывавший тогда в ночную смену сотрудник посмотрел на экран и назвал приблизительный промежуток времени.
Клиент узнал об этом только после уведомления о жалобе. Тот сотрудник к тому моменту уже уволился.
На этом заканчивается изложенное в жалобе событие. Но оно не составляет и половины этой истории.
Кажется, что помещение без персонала не имеет отношения к персональным данным — ведь там никого нет. На деле всё наоборот. Раз людей нет, всё заменяют записи. Кто и когда открыл дверь, каким местом и сколько пользовался, когда прошла оплата — всё сохраняется. То, что в обычном заведении утекло бы вместе с человеческой памятью, здесь ложится в базу данных нетронутым.
И эти записи, как правило, устроены не самим владельцем. Это настройки по умолчанию, пришедшие вместе с программой управления заведением. Нередко проходит три года, а человек ни разу не заглянул в то, что и как у него хранится.
Так было и у него. Когда на первой консультации я спросил, какими данными он располагает, ответ был: «Имя и телефон, что-то в этом роде». На деле их оказалось гораздо больше.
До этого он дважды отвечал сам
Он уже успел сделать два шага.
Первым был звонок в орган, принявший жалобу. Он объяснил, что это сделал сотрудник, а сам он никаких указаний не давал. Специалист сообщил, что существует процедура установления фактов, и попросил подготовить материалы. Это было точное разъяснение.
Вторым шагом стал прямой контакт с посетителем. Намерение было извиниться и снять недоразумение. Разговор закончился нехорошо.
Именно второй шаг требует в практике наибольшей осторожности. Прямой контакт со стороной по делу, которое ещё рассматривается, даже из добрых побуждений оставляет пространство для иного истолкования впоследствии. А если в разговоре появится хоть намёк на просьбу отозвать жалобу, это само по себе становится новой проблемой.
После того звонка он несколько дней не знал, что делать, а потом пришёл в офис.
Чаще всего на первой консультации он повторял: «Но ведь это сделал сотрудник». Чувство понятное. Однако ответственность за обращение с персональными данными лежит на предпринимателе, который эти данные обрабатывает. Даже если действие совершил сотрудник, предоставление ему доступа, отсутствие обучения, отсутствие контроля остаются на стороне предпринимателя.
На объяснение этой конструкции ушло тридцать минут. Думаю, именно эти тридцать минут задали направление следующих двух месяцев. Дело, которое ведут, держась за обиду, и дело, в котором признают устройство проблемы и берутся её исправлять, заканчиваются по-разному.
Так и в практическом смысле. В ходе проверки довод «это сделал сотрудник» почти никогда не принимается. Напротив, документ со словами «система управления была недостаточной, и вот как она исправлена» действительно изучается.
Я разделил дело на два вопроса
На первой консультации я разделил вопрос надвое.
Первый вопрос: как оценивать само действие, ставшее предметом жалобы.
Второй вопрос: независимо от этого действия — как будет выглядеть в ходе проверки весь способ обращения этого предприятия с персональными данными.
Большинство клиентов думает только о первом. Но проверка начинается с первого и переходит ко второму. Событие из жалобы — лишь ключ, открывающий дверь, а когда дверь открыта, видно всё, что внутри.
Закон о защите персональных данных (개인정보 보호법) возлагает на тех, кто обрабатывает персональные данные, целый ряд обязанностей: сбор в минимальном объёме, соответствующем цели обработки; установление сроков хранения и уничтожение по их истечении; меры безопасности; публикация политики обработки; управление и надзор при передаче обработки третьим лицам. Эти обязанности действуют не только при утечке — они применяются постоянно, в обычном режиме работы.
Поэтому параллельно с ответом на жалобу мы начали и проверку самого предприятия. Это было самое важное решение в деле.
У такого решения есть цена. Проверка выявляет проблемы, о которых вы не знали, а выявленные проблемы приходится устранять. Если не делать ничего, можно жить так, будто их не существует — по крайней мере, до сегодняшнего дня.
Поэтому такой выбор делает клиент. Я изложил два пути и объяснил, что с наибольшей вероятностью произойдёт на каждом. Путь, где отвечают только по заявленному эпизоду и идут дальше, сейчас легче. Но если в ходе проверки обнаружится другой пункт, вы окажетесь в положении того, кто знал и оставил как есть.
Он подумал минут десять и сказал, что проверку проведёт. При непогашенных кредитах на два помещения это было непростое решение.
Три вещи, которые выявила проверка
За три дня мы описали, как фактически обращаются с персональными данными в обоих помещениях. Выявилось три вещи.
Первое: срок хранения не был установлен. Записи о входе и информация об оплатах сохранялись в неизменном виде за три года — с первого дня работы. Дело было не в том, что их не удаляли: самого понятия удаления не существовало. Программа управления заведением по умолчанию хранила данные бессрочно, и он не знал, что эту настройку можно изменить.
Второе: политика обработки персональных данных не была размещена. На экране регистрации стоял флажок согласия, но не было документа, объясняющего, что собирается, с какой целью и на какой срок. Это был не франчайзинг, а самостоятельный бизнес, и подсказать было некому.
Третье: отношения с подрядчиками не были упорядочены. Клининговая компания и компания по обслуживанию помещений пользовались общей учётной записью в программе управления. Так сделали ради удобства, но из этой учётной записи можно было просматривать сведения о посетителях.
Третье оказалось самым тяжёлым. Событие из жалобы было разовым действием одного сотрудника, а здесь речь шла о структурной проблеме.
На этом месте клиент замолчал. Я сказал ему так: хорошо, что мы нашли это сейчас. Когда находит проверяющий и когда находим мы сами, исправляем и затем объясняем — это два совершенно разных дела.
Опишу и способ проверки. Никаких сложных инструментов. Мы вошли в программу управления, открыли меню одно за другим и внесли в таблицу, что сохраняется, кто может это видеть и как долго это остаётся. По двум помещениям набралось девятнадцать позиций.
На составление таблицы ушло полдня. Это несложно. Просто никто этого не делает. Пока не возникло проблемы, нет причин её составлять.
Обнаружилось и ещё одно. Список участников акции, проводившейся в первые месяцы работы, сохранился отдельным файлом. Записанное на бумаге перенесли в таблицу, а акция закончилась более двух лет назад. Хранение сведений, цель которых исчерпана, само по себе становится проблемой. Такие файлы обычно лежат в какой-нибудь папке на рабочем столе, и владелец о них уже не помнит.
Мы определили порядок
До подачи материалов оставалось две недели. Мы разделили то, что можно успеть, и то, что нельзя.
На первой неделе были приняты неотложные меры. Общую учётную запись закрыли и завели отдельные записи для каждой компании. Права на просмотр ограничили необходимым объёмом. Проверили настройку срока хранения в программе управления, установили срок и определили порядок уничтожения записей с истёкшим сроком.
Здесь мы сделали ещё одно: прежде чем приступить к уничтожению, зафиксировали текущее состояние. Составили таблицу: что и в каком объёме было, по какому основанию и что удалено. Если удалять материалы, пока дело рассматривается, впоследствии придётся объяснять само это действие. Основание для удаления важнее самого удаления.
На второй неделе шла работа с документами. Мы составили политику обработки персональных данных, соответствующую фактической практике, и разместили её. Здесь встречается одна распространённая ошибка: взять чужую политику из интернета. Политика, расходящаяся с действительностью, хуже, чем её отсутствие. Она означает, что написанное и делаемое — разные вещи.
Поэтому мы подогнали каждую фразу под реальную работу. В перечне собираемых данных — только то, что берётся на самом деле; срок хранения — только что установленный; подрядчики — те компании, отношения с которыми мы только что упорядочили.
Определили и место размещения. Политика должна находиться там, где посетитель сможет её найти. В помещении без персонала люди видят и экран регистрации и оплаты, и информационные материалы внутри. Если она размещена только с одной стороны, на практике это равносильно её отсутствию.
Кое-чего мы не успели: как следует подготовить материалы для обучения персонала. Там, где подрабатывающие сотрудники часто сменяются, обучение не заканчивается одним разом. Эту часть мы записали только как план, а сами материалы сделали после завершения дела.
Важно не записывать несделанное как сделанное. Написанное в документах позже становится предметом проверки. Напишете, что всё выполнено за две недели, — и запрос на подтверждение обернётся куда большими сложностями.
Что было написано в письменных пояснениях
Пояснения, поданные вместе с материалами, состояли из четырёх частей.
Первая — фактические обстоятельства заявленного действия. Кто, когда и что сделал, причём подтверждённое и неподтверждённое было изложено раздельно. Мы признали как факт, что сотрудник посмотрел на экран и назвал промежуток времени. И одновременно указали, что факт распечатки или передачи записей не подтверждён.
Важно не отрицать. Если оспаривать подтверждённый факт, вместе с ним падает и достоверность всех остальных утверждений.
Вторая — признание недостатков системы управления. Обучения не было, контроля доступа не было, и потому существовало состояние, в котором подобное было возможно. Так мы и написали.
Третья — уже выполненные меры по устранению. Здесь был центр всего документа. Разделение учётных записей, ограничение прав, установление сроков хранения, проведённое уничтожение и его фиксация, размещение политики обработки. К каждому пункту прилагались дата выполнения и способ проверки.
Четвёртая — планы на будущее. Мы коротко описали ежеквартальную проверку прав доступа и порядок обучения новых сотрудников. Писали кратко. Записывать планы, которые не сможешь выполнить, — значит сеять семена следующего дела.
О порядке тоже подумали. Кажется естественным поставить факты вперёд, а меры — после, но на деле читателя больше всего интересует третий пункт: в каком состоянии предприятие находится сейчас. Поэтому мы добавили в начало страницу содержания и сделали позицию третьего пункта сразу заметной.
Документ следует строить в том порядке, в каком его будут читать. Порядок логики пишущего и порядок интереса читающего обычно не совпадают.
Пояснения заняли восемь страниц, из них пять — подтверждающие материалы к третьему пункту.
При подготовке подтверждений мы следили за датами. Снимок экрана обычно сохраняет дату вместе с изображением. Если расположить «до» и «после» так, чтобы их можно было сравнить на одном экране, пояснительный текст становится короче. То, что заняло бы три абзаца, заменяют два изображения.
Было и то, чего мы намеренно не делали: заранее перечислять и объяснять пункты, о которых нас не спрашивали. Это выглядит как добросовестность, но на деле означает, что вы сами расширяете охват проверки. Лучше ответить на заданное, показать исправленное и на этом остановиться.
Когда пришли дополнительные вопросы
Примерно через три недели после подачи материалов поступили дополнительные вопросы. Их было два.
Первый: содержится ли в договоре с компаниями-подрядчиками положение об обработке персональных данных. Не содержалось. Отношения были ближе к устным. Мы ответили, что такого положения нет, и вместе с ответом приложили копию заново составленного договора.
Второй: каков объём уничтоженных материалов. Увидев этот вопрос, я ещё раз убедился в ценности заранее составленной таблицы уничтожения. Что, когда и на каком основании удалено — всё умещалось на одном листе, и ответ свёлся к тому, чтобы приложить таблицу и добавить две строки пояснения.
Если бы мы удалили без записи, один только этот вопрос стоил бы ещё нескольких недель. Да и достоверность ответа была бы иной.
В административных процедурах позже выручает обычно та запись, которая в момент составления казалась ненужной.
О том, что это дело не было «уведомлением об утечке»
В середине консультаций у клиента возникло одно беспокойство. Он спросил, то же ли самое его случай, что и крупные утечки, о которых он читал в новостях.
Здесь нужно было разграничить две вещи.
Первая — жалоба на нарушение прав в отношении персональных данных. Это путь, которым субъект данных заявляет, что с его персональными данными обошлись ненадлежащим образом. Наше дело относится сюда.
Вторая — обязанность уведомить и сообщить об утечке. Это процедура, по которой предприниматель, узнавший о факте утечки персональных данных, при наступлении установленных условий обязан известить субъектов данных и сообщить в соответствующий орган. У этой обязанности есть сроки, и если условия наступили, а обязанность не исполнена, это само по себе становится отдельной проблемой.
У двух процедур разные отправные точки. В первой заявителем выступает субъект данных, во второй — предприниматель.
Поскольку в нашем деле проблемой стало устное упоминание промежутка времени посещений конкретного пользователя, оно по своей природе отличалось от случаев, где обязанность уведомления и сообщения включается сразу. Тем не менее мы коротко зафиксировали и это суждение в документе. Записать причину, по которой обязанность признана неприменимой, — не то же самое, что вовсе о ней не упомянуть. Это значит, что ответ готов, если позже об этом спросят.
Именно здесь предприниматели чаще всего путаются на практике. Условия и сроки применяются по-разному в зависимости от обстоятельств, поэтому при подозрении на утечку лучше не откладывать оценку, а сначала всё проверить.
Черта, которую мы не переступали
Отмечу и то, чего мы в этом деле не делали.
Мы не контактировали с заявителем. Просьба передать извинения была, но я объяснил, что если это необходимо, безопаснее сделать это письменно и в рамках процедуры проверки. В итоге дело завершилось без отдельных контактов.
Мы сделали следующее: подготовили материалы и документы для подачи в административный орган и привели фактическую практику обработки данных на предприятии в соответствие с требованиями.
Переполох из-за двух кофе
В этом деле был один маленький переполох.
В день завершения работ клиент принёс в офис два кофе. Но принёс он их в термокружках, которыми пользуются в кафе, и обе выглядели совершенно одинаково. В одной был сахар, в другой нет, и он сам уже не помнил, где какая.
В итоге мы оба сделали по глотку и поменялись. Это было самое долгое решение, принятое в офисе в тот день.
Говорят, он теперь настроил на экране управления заведением ежеквартальное напоминание о проверке. Когда оно появляется, пробежать глазами список прав доступа и закрыть занимает пять минут.
Новым подработчикам во втором заведении в первый день выдают один лист А4. Там написано только две вещи: не сообщать сведения о посетителях, кто бы ни спрашивал, и при поступлении такой просьбы немедленно связаться с владельцем. Сделаешь длинно — никто не прочитает, объяснил он.
Правила, которые держатся в практике долго, обычно выглядят именно так. Не идеальные, но короткие — и соблюдаемые именно потому, что короткие.
Результат
Весь срок занял около двух месяцев. Две недели от консультации до подачи материалов, затем три недели на проверку и ответы на дополнительные вопросы и ещё около трёх недель на завершение.
Итогом стало урегулирование, исходившее из принятых мер. Недостатки предприятия были отмечены, и вместе с ними подтверждено, что меры уже выполнены. Конкретное содержание решений различается от дела к делу и зависит от индивидуальных обстоятельств, поэтому здесь я его не привожу.
Одно, впрочем, стоит записать. Пункты, подтверждённые на завершающем этапе, в основном совпали с теми, которые мы нашли и исправили сами. Иначе говоря, проверка почти не выявила ничего нового. Ради этого мы и держались за второй вопрос.
Не проведи мы ту проверку, те же самые пункты появились бы не в наших документах, а в замечаниях другой стороны. С одним и тем же фактом обходятся по-разному в зависимости от того, кто назвал его первым.
Клиенту практически осталось две вещи. Одна — то, что дело завершено. Другая — то, что персональные данные, три года накапливавшиеся без всяких правил, наконец обрели правило.
Вторая важнее. Первое заявленное событие было разовым действием одного сотрудника и само по себе вряд ли повторилось бы. А структурная проблема, если её оставить, однажды непременно проявится снова. И тогда она будет тяжелее нынешней.
Полученная жалоба в итоге стала поводом привести предприятие в порядок. Рекомендовать такую последовательность я не стал бы. Но если вы уже в неё вошли, то лучшее, что можно сделать внутри неё, определено.
Скажу и о расходах — это был его последний вопрос. Реально денег в этом деле стоили выросшая абонентская плата за программу управления после разделения учётных записей и время, ушедшее на перезаключение договоров с подрядчиками. Суммы небольшие.
По-настоящему дорогими оказались предшествующие три года. Записи, копившиеся без всяких правил, сами по себе выглядят бесплатными, но в момент возникновения проблемы счёт выставляется весь сразу. И к тому моменту выбор уже сужен.
В административных делах дешёвый момент — обычно тот, когда ещё ничего не случилось.
Спустя два месяца он мимоходом сказал одну вещь. Когда ему впервые позвонили, он думал, что дело кончится закрытием заведения. Так не вышло, но тревога тех нескольких дней была из тех, что не отменишь задним числом.
В административных процедурах человека изнуряет не столько результат, сколько время между началом и концом. Сократить это время, на мой взгляд, не менее существенно, чем изменить сам результат.
Несколько вещей на память
Если вы оказались в подобной ситуации, попробуйте выстроить порядок так.
① Не связывайтесь с заявителем напрямую. Даже сделанный из добрых побуждений контакт может быть истолкован иначе, пока процедура не завершена. Если есть что передать, безопаснее сделать это письменно в рамках процедуры.
② Не смотрите только на заявленный эпизод. Проверка начинается с содержания жалобы и расширяется на всю практику обработки. Проверить себя до того, как на это укажут, — значит получить другой результат.
③ Начните с проверки сроков хранения и прав доступа. Это две самые частые проблемы в заведениях без персонала и на малых предприятиях. Программы управления часто по умолчанию хранят данные бессрочно.
④ Прежде чем удалять материалы, зафиксируйте текущее состояние. Основание и момент уничтожения важнее самого уничтожения. Особенно если дело ещё рассматривается.
⑤ Не копируйте чужую политику обработки. Политика, расходящаяся с действительностью, может обернуться против вас сильнее, чем её отсутствие. Пройдите построчно по перечню собираемых данных, срокам хранения и подрядчикам и сверьте с тем, что вы делаете сейчас.
⑥ Не используйте общие учётные записи с подрядчиками. Одну запись на всех часто заводят ради удобства, но в результате невозможно различить, кто и что просматривал. Базовое требование — отдельные записи для каждой компании и права просмотра в пределах необходимого.
⑦ Пишите в документах только то, что действительно сделано. Если разделять планы и выполненное, последующий запрос на подтверждение не поставит вас в неловкое положение.
Требования и процедуры по жалобам и проверкам в сфере персональных данных различаются от случая к случаю, а применимость обязанности уведомления и сообщения об утечке зависит от обстоятельств. Необходима индивидуальная проверка.
Настоящий случай — вымышленная история, переработанная для облегчения понимания; упомянутые лица, наименования, географические названия и цифры не связаны с конкретными людьми или событиями.
