Когда человек требует уничтожить его персональные данные, недостаточно нажать «удалить» в карточке. Закон требует двух вещей сразу: уничтожить и подтвердить, что уничтожение состоялось. Поэтому в системе это не удаление записи, а отдельное действие с планом, основанием и актом.

Важно с самого начала: оператор персональных данных ваших клиентов — вы, а не платформа. Требование субъект направляет вам, решение принимаете вы, ответственность за основание тоже ваша. Система даёт инструмент и доказательство проделанной работы.

Три уровня, и они разделены намеренно

Уничтожение разбито на три отдельных действия. Это не усложнение ради усложнения: у них разная цена и разные последствия.

  • Реквизиты человека. Паспортные поля, документы физлица, чувствительные дополнительные поля, прикреплённые сканы, значения в снимках печатных документов и в ленте изменений. После этого человек перестаёт быть опознаваемым по данным карточки.
  • Содержание разговоров. Запись звонка, текст переписки и вложения к сообщениям — вместе с исходным именем файла: «паспорт_иванова.jpg» это тоже сведение о человеке. Беседа, где собеседник — сам клиент, стирается целиком, вместе с вашими ответами. В групповых и чужих беседах стираются только сообщения клиента. Строка учёта вложения остаётся фактом: было вложение такого размера и типа. Вынесено отдельно по двум причинам. Голос обезличить нельзя — он сам и есть опознающий признак, поэтому среднего пути нет, только уничтожить или хранить. И запись разговора — это ещё и ваше доказательство в споре о том, что вы обещали клиенту. Разделив, вы закрываете требование по реквизитам сразу, а по содержанию решаете отдельно — например, выждав срок, когда спор уже невозможен.
  • Номера телефонов и адреса в мессенджерах и почте. Доступно только после первых двух — порядок держит сервер, обойти его нельзя. Вместе с номерами от клиента отвязываются его адреса в Telegram и почте. Пока реквизиты и разговоры на месте, убирать номер бессмысленно: человек опознаётся и без него. Это отдельное решение руководства, а не продолжение уборки: нужен ли вам номер как факт в базе — или с этим человеком вас больше ничего не связывает, и тогда его можно убирать.

Кто может это сделать

Нужно отдельное право — «Уничтожить персональные данные клиента». Это не то же самое, что право видеть паспортные данные: смотреть и уничтожать — разные вещи. В новой фирме это право сразу есть у роли «Администратор», другим ролям оно не выдано. Проверьте в группах доступа, у кого оно есть у вас, и оставьте его тем, кто действительно принимает такие решения.

Что вы увидите до нажатия

Система показывает план: сколько записей и в каких местах будет уничтожено. Числа без значений — сам паспорт вам на этом экране не покажут, его там и не нужно видеть, чтобы принять решение.

Отдельной строкой в плане — перечень того, куда действие не достаёт. Прочитайте его до нажатия, а не после: это единственный момент, когда ещё можно передумать.

Основание — обязательно

Без основания кнопка не сработает. Основание — это реквизиты требования или решения, во исполнение которого вы уничтожаете данные: номер и дата. Не «потому что попросили устно».

Причина жёсткости не в бюрократии: без основания невозможен акт, а акт — половина того, что требует закон.

Основание попадает и в историю клиента: там появляется событие об уничтожении с текстом «Основание: …» — без самих данных. Так на вопрос «почему здесь пусто» есть ответ.

Акт о проделанной работе

Каждое уничтожение записывается актом. В акте: что уничтожали, каким сценарием, на каком основании, кто и когда нажал, сколько записей ушло по каждому месту хранения и чего действие не коснулось.

Акты видны списком в карточке клиента, под кнопками уничтожения: дата, что уничтожено, основание и ссылка на сам акт. Список видит только тот, у кого есть право уничтожения — сам факт уничтожения тоже сведение.

У акта есть печатный лист: номер и дата, что уничтожено, предмет и основание, кто исполнил, таблица чисел по местам хранения, обязательный раздел «чего уничтожение не затрагивает» и строки для подписи. Этот лист и есть то, что вы выдаёте человеку в ответ на его требование.

Значений в акте нет ни одного. Это правило, а не недоработка: акт с паспортными данными внутри был бы тем же хранением под другим именем. Акт доказывает факт уничтожения, а не хранит уничтоженное.

Чего уничтожение не делает

Честный перечень важнее списка возможностей — именно его будет читать проверяющий.

  • Дополнительные поля, привязанные к записям, а не к человеку — к заказу, обращению, документу. Связь такой записи с клиентом показывает состояние на сейчас и меняется, поэтому выборка «все записи этого человека» ненадёжна.
  • Юридические реквизиты контрагента — название и УНП организации. Они публичны, а первичные документы обязаны их нести: без них бухгалтерию нечем было бы подтвердить.
  • Свободный текст. Если паспорт или номер вписали руками в описание клиента, в заголовок или описание заказа, обращения, задачи, уничтожение его не найдёт: такой текст не отличить от обычной заметки. Проверьте описания сами.
  • Очередь и история отправки уведомлений. Остаются как факт отправки.
  • Факт взаимодействия в ленте изменений и служебных журналах. Само значение из ленты уничтожается, но факт, что событие было, остаётся.
  • Копия записи разговора у оператора связи. Свою копию система уничтожает и перестаёт дотягиваться до чужой — но уничтожает её сам оператор связи, по вашему письменному требованию. Это письмо, а не кнопка в системе.
  • Копия переписки у провайдера. Письмо остаётся в вашем почтовом ящике, сообщение — у Telegram и у собеседника. Удалять их нужно там.
  • Непривязанные адреса. Адрес в мессенджере или почте, не привязанный к клиенту, система не считает его адресом. План показывает такие адреса как кандидатов, но стирает их только после привязки к клиенту.
  • Резервные копии, созданные до уничтожения. Они хранятся не более 35 суток и затем удаляются; для текущей работы из них ничего не берётся.

Это необратимо

Уничтожение выполняется одной операцией и не откатывается — ни кнопкой, ни обращением в поддержку, ни из резервной копии. Записи, которые ссылались на уничтоженные сведения, остаются без них: пустое место в старом документе — ожидаемый результат, а не поломка.

Отдельно про номера: третий уровень — это отвязка, а не уничтожение. Номер перестаёт принадлежать человеку, но остаётся в системе. Обратного пути нет и здесь: после отвязки система уже не знает, чей это был номер, и повторно убрать его по требованию того же человека будет нечем.