Запрос копии или фотографии DNI при оформлении услуги или получении посылки может обернуться для компании финансовыми и репутационными последствиями. Испанское агентство по защите данных (AEPD) опирается на принцип минимизации данных, закрепленный в статье 5(1)(c) Общего регламента по защите данных (GDPR): организация должна собирать только сведения, необходимые для конкретной и законной цели. Сумма в 100 000 евро не становится автоматическим штрафом за любой случай копирования документа: взыскание зависит от квалификации нарушения и обстоятельств дела.
DNI, национальное удостоверение личности гражданина Испании. Само предъявление документа для визуальной проверки не дает компании автоматического права фотографировать его или хранить копию. Для этого нужны отдельное правовое основание и конкретная цель обработки. Также, компания должна определить срок хранения и ограничить доступ к данным.
Копирование документа «на всякий случай» создает дополнительный риск: фотография может содержать больше сведений, чем требуется для проверки личности, а хранение увеличивает последствия возможной утечки или неправомерного использования. Принцип минимизации действует вместе с требованием ограничить цель обработки, закрепленным в статье 5(1)(b) GDPR: данные нельзя собирать и хранить без ясного объяснения, зачем они нужны.
Когда копия может быть допустима
Показать DNI не значит разрешить его копировать. Копия может требоваться, если это предусмотрено законом или необходимо для конкретной услуги и есть надлежащее правовое основание. Однако компании следует заранее оценить необходимость и соразмерность такого сбора: если задачу можно решить визуальной сверкой имени и документа, сохранение изображения может оказаться избыточным.
В рекомендациях AEPD по реализации прав граждан на доступ, исправление или удаление данных копия удостоверения личности также не считается обязательной по умолчанию. Ее можно запросить при обоснованных сомнениях в личности заявителя. В остальных случаях организации следует рассмотреть менее обременительный способ проверки.
Дело Orange и размер санкций
В описываемом случае оператор Orange требовал фотографировать обе стороны DNI при выдаче посылок. Первоначальный штраф, согласно опубликованным данным, составил 100 000 евро, а после обжалования его снизили до 40 000 евро. Этот пример не означает, что подобные суммы применяются во всех случаях: размер взыскания зависит от характера и продолжительности нарушения. Учитываются также число затронутых лиц и другие обстоятельства.
Поэтому важно различать первоначально назначенную сумму и итоговую санкцию после обжалования. Указанные суммы относятся к конкретному делу и не устанавливают универсальный тариф за копирование DNI. Для компаний практический вывод шире одного штрафа: сбор избыточных данных может повлечь расходы на устранение последствий нарушения и подорвать доверие клиентов.
Что делать клиенту
Если компания просит копию или фотографию DNI, клиент вправе узнать цель обработки, ее правовое основание, срок хранения данных и круг лиц, которые получат к ним доступ. Запрос «для удобства» сам по себе не объясняет, зачем необходимо сохранять полное изображение документа. Если для услуги достаточно сверить данные при предъявлении, клиент может спросить, допустим ли подобный способ идентификации.
В качестве менее обременительных мер компания может зафиксировать сам факт проверки, не сохраняя копию, или закрыть поля, не нужные для конкретной операции. Однако если закон прямо устанавливает требования к идентификации или хранению документов, организация должна соблюдать их и объяснить клиенту, как именно обрабатывает его данные.
По оценке Talent24h, усиление внимания к защите персональных данных отражает общеевропейскую тенденцию: организациям приходится пересматривать привычные процедуры и доказывать, что объем собираемой информации соразмерен цели. Для бизнеса это означает необходимость заранее определить правовое основание и сроки хранения, а также правила доступа к копиям документов вместо того, чтобы собирать их автоматически.
