Закон Азербайджана о персональных данных: чек-лист соответствия перед сбором данных

Сбор информации о клиентах в Азербайджане начинается задолго до создания записи в базе данных. Когда бизнес привлекает лиды, обрабатывает транзакции или запускает приложение, требования законодательства действуют с первой же записи. Согласно азербайджанскому законодательству, хранение персональных данных без соблюдения установленных предварительных условий подвергает организацию мерам регуляторного воздействия и гражданско-правовой ответственности.

Правовые основания и согласие: требования к форме сбора данных

Согласно статье 2.1.1 Закона Азербайджанской Республики «О персональных данных» (№ 998-IIIQ, 2010), персональные данные — это любая информация, прямо или косвенно идентифицирующая личность (официальный текст, e-qanun.az). Номера статей ниже относятся к этому закону. Имя клиента в сочетании с номером телефона, адресом электронной почты или физическим адресом представляет собой персональные данные.

Статья 8.1 устанавливает, что сбор и обработка персональных данных требуют явного письменного согласия субъекта. Закон приравнивает к письменному согласию электронный документ, подтверждённый усиленной электронной подписью. Когда пользователь предоставляет свои данные непосредственно в письменной форме, такая подача также может служить правовым основанием.

Обычные чекбоксы без конкретизации не соответствуют регуляторным стандартам. Статья 8.2 предписывает шесть обязательных компонентов для действительного письменного согласия:

1. Сведения, удостоверяющие личность субъекта персональных данных.
2. Сведения, идентифицирующие собственника или назначенного оператора данных.
3. Точная цель сбора и обработки данных.
4. Перечень персональных данных и охватываемых конкретных операций обработки.
5. Срок действия согласия и условия его отзыва.
6. Условия уничтожения или архивирования данных по истечении сроков хранения.

Согласно статье 8.4, обязанность доказывания факта получения согласия полностью лежит на компании. На практике форма сбора данных должна сохранять запись о согласии с временной меткой, привязанную к версии политики, которую видел пользователь.

Статья 11.2 также требует предварительного информирования до начала сбора. Перед сбором данных вы должны проинформировать пользователей о вашей личности, целях обработки, мерах безопасности системы и их законных правах.

Целевое назначение и минимизация данных: ограничение объёма хранения

Сбор избыточных данных клиентов создаёт операционные и правовые риски. Статья 9.1 предписывает заранее чётко определять цели обработки. Бизнес не может собирать информацию для неопределённых будущих проектов.

Статья 9.2 вводит принцип соразмерности. Объём и характер обрабатываемых данных должны строго соответствовать заявленной цели. Если при оформлении заказа требуется только номер телефона для уведомлений о доставке, запрос персонального идентификационного номера или места рождения нарушает этот стандарт.

К специальным категориям данных применяются повышенные ограничения. Статья 2.1.6 определяет специальные категории персональных данных как сведения о расовом или этническом происхождении, семейной жизни, религиозных убеждениях, здоровье или судимости. Статья 9.7 запрещает сбор этих категорий данных, за исключением перечисленных случаев: например, когда это предусмотрено законом или когда лицо даёт письменное согласие. Большинству коммерческих сайтов и потребительских приложений эти поля не нужны вовсе, поэтому самое простое правило — не запрашивать их.

Хранение данных по умолчанию носит временный характер. Статья 9.4 требует, чтобы данные уничтожались без промедления сразу после достижения целей обработки. Схема базы данных и логика приложения должны поддерживать автоматические регламенты хранения и процедуры безвозвратного удаления. Определение этих ограничений в ходе структурированного этапа исследования предотвращает накопление регуляторного долга ещё до начала разработки программного обеспечения.

Информационные системы и обязательная государственная регистрация

Любое программное обеспечение, в котором хранятся или обрабатываются персональные данные, представляет собой информационную систему персональных данных согласно статье 2.1.3. Под это определение подпадают заказные веб-приложения, бэкенды мобильных приложений, сторонние CRM-платформы и базы данных клиентов.

Статья 15.2 содержит строгий запрет: сбор и обработка персональных данных без государственной регистрации информационной системы незаконны.

Статья 15.3 перечисляет ограниченный список исключений из регистрации. Системы, содержащие государственную тайну, и внутренние системы работодателя, обрабатывающие данные сотрудников для организации доступа на рабочее место, не требуют регистрации. Однако клиентские приложения, маркетинговые базы данных и интернет-магазины под эти исключения не подпадают.

Государственная регистрация осуществляется уполномоченным государственным органом согласно статье 15.4 в течение одного месяца со дня подачи письменного заявления. Заявление требует тринадцати подробных пунктов сведений, включая:

• Правовые основания и цели создания системы.
• Категории обрабатываемых персональных данных и групп пользователей.
• Обзор организационных и технических мер защиты.
• Перечень внешних получателей данных и механизмы аудита.
• Направления трансграничной передачи данных, если применимо.

Согласно статье 15.5, обо всех изменениях зарегистрированных параметров системы необходимо письменно сообщать в течение трёх рабочих дней. Документирование моделей данных в виде формализованного чертежа до начала разработки упрощает подачу регистрационных документов.

Собственник и оператор: инфраструктура и лицензирование

Азербайджанское законодательство разграничивает понятия собственника и оператора данных. Статья 2.1.9 определяет собственника как лицо, осуществляющее право полного владения информационной системой и определяющее цели обработки. Статья 2.1.10 определяет оператора как лицо, осуществляющее сбор, обработку и защиту данных.

Компания может выступать собственным оператором либо поручить эти функции третьему лицу в соответствии со статьёй 9.9. Однако создание и обслуживание информационных систем персональных данных требуют специального разрешения согласно статье 9.14. Эту лицензию выдаёт Министерство цифрового развития и транспорта Азербайджанской Республики.

Передача операций с данными третьей стороне не снимает ответственности с собственника. Согласно статье 10.1, собственник сохраняет установленную законом обязанность обеспечивать законную и безопасную обработку и несёт прямую ответственность в суде за материальный или моральный ущерб. Статья 10.3 предусматривает, что обязанности оператора вытекают из закона и письменного договора с оператором.

Webiland обладает лицензией оператора персональных данных, выданной Министерством цифрового развития и транспорта. В рамках наших услуг по управлению персональными данными мы обрабатываем данные клиентов на основании письменных договоров с оператором на собственных серверах в Баку.

Местонахождение данных также влияет на соблюдение требований. Сам по себе закон не требует обязательного хостинга в Азербайджане. Отраслевые нормы и требования по защите, принятые в соответствии со статьёй 5.9, могут устанавливать дополнительные условия, поэтому проверяйте правила для вашей сферы деятельности. Статья 14.2 ограничивает трансграничную передачу. Передача данных за рубеж запрещена, если она угрожает национальной безопасности или направлена в страны с более низким уровнем правовой защиты, чем в Азербайджане. Статья 14.3 разрешает трансграничную передачу при наличии явного согласия субъекта данных. Размещение базы данных в Азербайджане, например на локальной инфраструктуре, выводит её из-под действия правил трансграничной передачи.

Операционный контроль: доступ, журналы аудита и права субъектов

Соблюдение требований законодательства требует внедрения технических механизмов контроля в кодовую базу и серверную среду. Статья 5.8 обязывает собственников и операторов принимать технические и организационные меры для предотвращения несанкционированного доступа, утраты или незаконного изменения данных. Кроме того, статья 5.5 требует от всех сотрудников, работающих с персональными данными, подписания письменного обязательства о неразглашении, которое продолжает действовать и после прекращения трудовых отношений.

Статья 9.12 устанавливает законодательное требование к ведению журналов. Системы обязаны вести контрольно-аудитные журналы, фиксирующие сбор, обработку, запросы пользователей, действия по администрированию системы и инциденты безопасности. Включение неизменяемого логирования в продакшен-архитектуру обеспечивает возможность предоставления проверяемых записей при проверках регулятора.

Ваши операционные процессы должны также учитывать установленные законом права субъектов данных согласно статье 7.1. Пользователи имеют право знакомиться со своими записями, проверять законность оснований, требовать исправления или удаления данных.

Статья 12 регулирует порядок рассмотрения запросов:

• Согласно статьям 12.1 и 12.4, компании обязаны бесплатно отвечать на запросы субъектов персональных данных в течение семи рабочих дней. Этот срок может быть продлён ещё на семь рабочих дней, если требуется направление запросов третьим лицам.
• Согласно статье 12.5, при изменении или ограничении использования данных третьи лица, получившие эти данные, должны быть уведомлены в течение трёх рабочих дней.
• Согласно статье 12.6, отказ в удовлетворении запроса субъекта требует направления мотивированного письменного ответа в течение пяти рабочих дней.

В отношении инцидентов безопасности закон устанавливает обязанности по предотвращению нарушений (статья 5.8), а также по законной и безопасной обработке (статья 10.1). Он не устанавливает конкретных сроков для уведомления клиентов об утечке данных. Порядок выявления инцидента оператором и информирования собственника данных фиксируется в письменном договоре с оператором (статья 10.3).

Чек-лист соответствия до начала сбора данных

Перед публикацией форм сбора данных или регистрацией учётных записей клиентов проверьте готовность по этому структурированному чек-листу:

• Правовое основание и согласие. Ссылка на закон: Закон № 998-IIIQ, ст. 8.1, 8.2. Обязательное действие: получить письменное или подтверждённое электронной подписью согласие, содержащее все шесть обязательных сведений.
• Доказательная база согласия. Ссылка на закон: Закон № 998-IIIQ, ст. 8.4. Обязательное действие: сохранять неизменяемые временные метки, идентификаторы пользователей и версии политики для выполнения установленной законом обязанности доказывания.
• Определение целей. Ссылка на закон: Закон № 998-IIIQ, ст. 9.1, 9.2. Обязательное действие: определить точные операционные цели обработки и удалить лишние поля из форм сбора данных.
• Проверка специальных категорий данных. Ссылка на закон: Закон № 998-IIIQ, ст. 2.1.6, 9.7. Обязательное действие: удалить поля, запрашивающие сведения о здоровье, этническом происхождении, религии, семейной жизни или судимостях, если только этого не требует закон или лицо не предоставило письменное согласие.
• Регистрация системы. Ссылка на закон: Закон № 998-IIIQ, ст. 15.1, 15.4. Обязательное действие: подать заявление о регистрации информационной системы из тринадцати пунктов до начала реального сбора данных клиентов.
• Договоры с оператором. Ссылка на закон: Закон № 998-IIIQ, ст. 9.9, 9.14. Обязательное действие: проверить наличие лицензии у подрядчика, создающего или обслуживающего систему, и заключить письменный договор с оператором.
• Аудит и логирование. Ссылка на закон: Закон № 998-IIIQ, ст. 9.12. Обязательное действие: внедрить журналы доступа, фиксирующие любое создание, запрос, изменение записей и административные события.
• Процессы обработки запросов субъектов. Ссылка на закон: Закон № 998-IIIQ, ст. 12.4, 12.6. Обязательное действие: настроить рабочие процессы для выполнения запросов субъектов на доступ и удаление данных в течение семи рабочих дней.
• Хранение и уничтожение. Ссылка на закон: Закон № 998-IIIQ, ст. 9.4. Обязательное действие: настроить автоматические регламенты удаления для уничтожения персональных данных с истёкшим сроком хранения без промедления.
• Обязательства персонала. Ссылка на закон: Закон № 998-IIIQ, ст. 5.5. Обязательное действие: подписать письменные обязательства о соблюдении конфиденциальности со всеми сотрудниками и подрядчиками, имеющими доступ к данным системы.

Эта статья представляет собой практический инженерный и управленческий обзор регуляторных требований, а не официальную юридическую консультацию. Ваши индивидуальные условия обслуживания и регистрационные документы должны быть проверены квалифицированным юристом.

Начинайте подготовку к соблюдению требований ещё на этапе проектирования системы, а не после запуска продукта. Составьте реестр данных, внедрите проверяемые механизмы согласия и убедитесь, что инфраструктура хостинга отвечает законодательным стандартам. Мы предоставляем письменную детализированную оценку после вводной консультации, чтобы проанализировать архитектуру вашего приложения и рабочие процессы обработки персональных данных.