Персональные данные клиентов: что обязан делать психолог в частной практике

Оператором становятся не с регистрации, а с первой записи

Закон «О персональных данных» (152-ФЗ) называет оператором того, кто организует и определяет обработку данных, — и это не только организация. Частнопрактикующий психолог, ведущий список тех, кто к нему обращался, попадает под определение так же, как клиника, независимо от того, оформлено ли ИП и есть ли договор.

Слово «обработка» в законе шире, чем кажется: это, в частности, сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование и уничтожение. То есть обработка начинается в тот момент, когда вы записали имя и телефон, а не когда завели «базу».

Исключение из закона, на которое обычно ссылаются, — обработка физическим лицом исключительно для личных и семейных нужд — и то лишь пока при этом не нарушаются права субъектов данных. Оно не про профессию: список клиентов ведётся для работы, и на практику это исключение не распространяется.

Тетрадь и таблица различаются юридически, а не только удобством

Часть 2 статьи 22 оставляет три случая, когда уведомлять надзорный орган не нужно, и один из них про нас: обработка ведётся исключительно без использования средств автоматизации. Бумажная картотека в запертом ящике — ровно этот случай.

Граница проходит не там, где её обычно проводят, и она менее очевидна, чем хотелось бы. Порядок обработки без средств автоматизации задан постановлением Правительства № 687, и определяющим там названо непосредственное участие человека в каждом действии с данными. Спор о том, попадает ли под это таблица, в которой вы ищете строку поиском и сортируете столбец, существует — и решается он не в вашу пользу тем легче, чем больше в этой таблице автоматики.

Практический вывод из этого один: тетрадь в запертом ящике — надёжно бумажный случай, а всё, что живёт в файле, в облаке или в переписке, безопаснее считать обработкой со средствами автоматизации и уведомление подать.

И важная оговорка: освобождение касается только уведомления. Согласие, соответствие объёма данных цели, сроки хранения и обязанности при утечке остаются и у того, кто пишет от руки.

Уведомление надзорного органа: что изменилось с сентября 2022 года

Раньше в части 2 статьи 22 был длинный перечень исключений, и частная практика в него, как правило, попадала: там был случай обработки данных в рамках договора с самим субъектом — то есть именно то, что происходит между психологом и клиентом. Пункты 1–6 этого перечня утратили силу 1 сентября 2022 года.

Осталось три исключения: государственные информационные системы, созданные для защиты безопасности государства и общественного порядка; обработка исключительно без средств автоматизации; и случаи из законодательства о транспортной безопасности. Обо всём остальном оператор уведомляет.

Часть 1 той же статьи говорит, когда: до начала обработки. Уведомление подаётся через сайт Роскомнадзора, это разовое действие, а не отчётность, — но сведения в нём нужно обновлять, когда меняется то, что вы в нём указали.

Записи психолога почти всегда попадают в специальную категорию

Статья 10 перечисляет специальные категории данных: расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Обработка таких данных по общему правилу не допускается — кроме случаев, которые эта статья прямо называет.

Спорить о том, является ли психологическая помощь медицинской, в этом вопросе не нужно. Категорию определяет содержание сведений, а не статус специалиста: запись «обратилась с паническими атаками» — это сведения о состоянии здоровья, а запись про отношения в паре — сведения об интимной жизни, кто бы их ни записал.

Практическое следствие ровно одно, и оно в пункте 1 части 2 той же статьи: обработка допускается, если субъект дал согласие в письменной форме. Устное «да, конечно, записывайте» этому требованию не отвечает.

Что делает согласие согласием

Часть 1 статьи 9 задаёт качество: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, и оформляется отдельно от иных документов. Галочка «согласен со всем» внутри общего договора этому не отвечает — именно из-за требования об отдельном оформлении.

Часть 4 перечисляет, что письменное согласие должно включать в себя, и говорит «в частности» — то есть список открытый:

• Фамилия, имя, отчество, адрес субъекта и реквизиты документа, удостоверяющего личность.
• Сведения о представителе, если согласие даёт он.
• Ваши данные как оператора: имя или наименование и адрес.
• Кто обрабатывает данные по вашему поручению, если такой есть, — сервис, в котором вы ведёте записи, попадает именно сюда.
• Цель обработки — конкретная, а не «в целях оказания услуг».
• Перечень данных, на обработку которых согласие даётся.
• Перечень действий с данными и способы обработки.
• Срок, в течение которого согласие действует, и способ его отзыва.
• Подпись.

Согласие требует паспортных данных, карточка — нет

Здесь возникает противоречие, из-за которого паспортные данные и переезжают туда, где им не место. Закон требует реквизитов документа, удостоверяющего личность, — но требует их в самом согласии, а не в рабочих записях.

Это разные документы с разными целями и разными сроками. Согласие лежит там, где лежат договоры, и переживает работу ровно столько, сколько в нём написано. Карточка, к которой вы обращаетесь перед каждой встречей, живёт по правилу минимизации и паспортных данных не содержит.

Согласие в форме электронного документа, подписанного электронной подписью, закон признаёт равнозначным бумажному с собственноручной подписью. Фотография подписанного листа — это доказательство того, что бумага существует, а не самостоятельная электронная форма; оригинал в этом случае всё равно бумажный.

Избыточные данные — это нарушение, а не запас

Часть 5 статьи 5 говорит, что содержание и объём данных должны соответствовать заявленным целям обработки, а избыточность не допускается. Это не рекомендация об аккуратности: норма говорит о содержании и объёме, то есть о том, что вы собрали, — а не о том, как часто вы этим потом пользуетесь.

Отсюда практическое правило для любого нового поля: сначала формулируется цель, потом проверяется, нужны ли для неё именно эти сведения. Дата рождения нужна, если вы работаете с возрастными ограничениями или поздравляете клиентов; полный адрес проживания при онлайн-работе — почти никогда.

Тот же критерий отвечает и на вопрос про третьих лиц. Имя начальника или партнёра клиента — это данные человека, который вам согласия не давал; роль и инициалы несут ту же рабочую информацию и не создают нового субъекта.

Сколько хранить и что значит «уничтожить»

Часть 7 статьи 5 требует хранить данные в форме, позволяющей определить человека, не дольше, чем этого требуют цели обработки, — если срок не установлен законом или договором с самим клиентом, — а по достижении целей уничтожить или обезличить. Срок «пока не надоест» законом не предусмотрен.

Значит, срок нужно определить заранее. В согласии свой обязательный пункт есть — срок его действия; держать эти два срока согласованными проще, чем потом объяснять расхождение. Формулировка вроде «в течение трёх лет после завершения работы» отвечает на вопрос, а «бессрочно» на него не отвечает.

Обезличивание — рабочая альтернатива удалению там, где данные жалко терять по существу: сколько было обращений, сколько длилась работа, с чем приходили. Всё это остаётся полезным без имён и контактов.

И отдельно про слово «уничтожить». Оно означает все копии: рабочий файл, облачную синхронизацию, корзину, выгрузку в таблицу, вложение в письме и переписку в мессенджере. Запись, удалённая в одном месте из шести, не удалена.

Где физически лежат записи

Часть 5 статьи 18 обязывает оператора при сборе данных граждан России обеспечить их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации. Оговорки в ней есть — она отсылает к нескольким пунктам части 1 статьи 6, — но к обычной частной практике они не относятся.

Для частной практики это вопрос не про серверы, а про выбор инструмента: заметки в зарубежном облачном сервисе — это и есть база данных, находящаяся не там, где требует закон. Вопрос, который стоит задать любому сервису до того, как переносить в него клиентов, звучит буквально так: где находятся серверы, на которых будут храниться эти записи.

Переписка — это тоже хранилище

Про мессенджер обычно думают как про канал связи, а он одновременно и место хранения: сообщения лежат на вашем устройстве, в облачной копии и на устройстве собеседника. Экспорт такого чата — это файл с персональными данными, включая те самые специальные категории.

Отказываться от переписки нереалистично и не нужно. Полезнее другое понимание: переписка — не черновик, который не считается. Всё, что в ней сказано о человеке, вы храните и за это отвечаете, а значит, разумно переносить в записи то, что нужно для работы, и не превращать чат в основную картотеку.

Если данные утекли

Часть 3.1 статьи 21 задаёт два срока: уведомить надзорный орган об инциденте в течение 24 часов и сообщить о результатах внутреннего расследования в течение 72 часов. Сутки — это мало для того, чтобы в этот момент разбираться, куда обращаться.

Поэтому решение принимается заранее и занимает один абзац: где подаётся уведомление, кто его подаёт и что считается инцидентом. Утечка — это не только взлом: потерянный телефон без пароля, письмо, ушедшее не тому адресату, и файл, открытый «по ссылке всем, у кого есть ссылка», — тоже она.

Что делается один раз, а что постоянно

Большая часть обязанностей закрывается разово, и разовое стоит отделить от постоянного: пугает обычно объём, а не сложность.

• Один раз: подать уведомление, если обработка не исключительно бумажная.
• Один раз: подготовить форму согласия со всеми пунктами части 4 статьи 9, включая срок и способ отзыва.
• Один раз: решить, где хранятся записи и отвечает ли это выбранное место требованию о локализации.
• Один раз: записать порядок действий на случай утечки.
• Постоянно: обновлять уведомление, когда меняются указанные в нём сведения.
• Постоянно: не заводить полей сверх цели.
• Постоянно: удалять и обезличивать по наступлении срока.
• Постоянно: следить, чтобы к записям не было доступа у тех, кому он не нужен. Незапароленный экран и общий компьютер — это тоже доступ.

Чего этот текст не заменяет

Это не юридическая консультация. Здесь названы нормы, которые определяют рамку для частной практики, и указаны статьи, чтобы их можно было прочитать целиком: 152-ФЗ есть в открытых справочных системах. Спорные случаи — работа с несовершеннолетними, супервизия с разбором случая, передача записей коллеге — решаются не по общей статье в блоге.