Представьте ситуацию: пользователь пишет в чат поддержки (с реальным сотрудником или ИИ-ботом):
«Где ознакомиться с политикой обработки персональных данных и как удалить мой профиль?»
Оператор, не желающий вникать в юридические тонкости, или ненастроенный бот отправляют дежурную заглушку:
«Спасибо, что обратились в нашу компанию», и диалог завершается.
Почему такой «вежливый» отказ опасен?
Сам по себе такой автоответ — еще не прямое нарушение закона. Законодательство не требует предоставлять информацию о размещении политики обработки ПД исключительно через чат-боты. Для реализации прав субъекта ПД, в том числе для прекращения обработки, установлен официальный порядок — письменное заявление либо электронный документ, подписанный ЭЦП. Простой запрос о порядке удаления профиля сам по себе еще не является фактом реализации прав.
Тем не менее, формальное игнорирование подобных вопросов несет серьезные регуляторные риски:
1. Риск жалобы в НЦЗПД. Белорусские пользователи становятся все более юридически грамотными. Как показывает практика, не получив содержательного ответа на указанные вопросы, но предполагая их получить, с учетом принципа прозрачности обработки, они с высокой долей вероятности направят жалобу в НЦЗПД.
2. Трактовка запроса как отзыва согласия. Если пользователь напишет в чат требование удалить ПД, при определенных условиях (например, если профиль на сайте создавался на основании согласия) это может быть квалифицировано как отзыв согласия на обработку ПД.
3. Сигнал о системных нарушениях для регулятора. Игнорирование запросов указывает на возможные глубинные проблемы: отсутствие или неэффективность лица, ответственного за внутренний контроль (DPO), некорректное размещение политики на сайте (она должна находиться не ниже второго уровня меню или в футере). Это может стать поводом для проведения проверки, в том числе запроса всего пакета внутренней документации.
Что делать бизнесу для минимизации рисков?
1. Подготовить скрипты и настроить ИИ: у живых операторов должны быть четкие инструкции, а у чат-бота — прописанные сценарии ответов на вопросы о персональных данных со ссылками на политику обработки ПД.
2. Настроить перевод на ответственного (DPO): если оператор или ИИ не справляются с запросом по отзыву согласий или удалению аккаунта, обращение должно незамедлительно перенаправляться лицу, ответственному за ПД.
3. Проверить альтернативные каналы: убедитесь, что контакты для связи по вопросам ПД на сайте актуальны, а функция самостоятельного удаления аккаунта в личном кабинете технически работает.
