Фиксация получения согласия по телефону - Форум по вопросам информационной безопасности

Добрый день, коллеги! Помогите, пожалуйста, организовать сбор согласий клиентов по телефону. Как зафиксировать сбор данных согласий, обязательно ли хранить запись? Или можно просто зачитать на автоответчик текстовку типа " Если вы подтверждаете свое согласие на обработку ПДн нажмите 1" и просто хранить журнал вызовов без записи самих разговоров....

"Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом."
Очень интересно, кто как на практике подтверждает факт его получения...., запись разговоров очень не хочется хранить.

Каким образом, Вы удостоверяете личность субъекта ПДн? И с какой целью собираете ПДн?

Волонтерская горячая линия по ковиду для тех кому за 65, для покупки продуктов, лекарств и тд. Берем ФИО, телефон, адрес. Личность больше никак не удостоверяем, на достоверность информацию не проверяем, далее эта информация передается волонтеру для исполнения заявки. Получается база заявок, которая хранится на наших серверах + АТС сторонней организации, на которую планируется записывать разговоры, с целью фиксации согласий. Получается если будем записывать разговору придется брать с субъекта согласие на обработку и передачу + заключать с организацией которая предоставляет АТС Договор (поручение) на передачу ПДн. Дополнительно с волонтером думаю нужно соглашение о неразглашении ПДн. Правильно я понимаю процесс?

А как Вы узнаете, что человеку за 65?
Я правильно понимаю, что у Вас уже есть какая-то БД с ПДн на основании которой Вы обзванивате людей и уточняете у них о необходжимости волонтёрской помощи?

Или же Вы наугад обзваниваете тупо все номера возможных телефонов и узнаете у человека, свыше ли ему 65, а далее формируете заявку?

Мы субъектов не обзваниваем, они сами нам звонят, только после звонка мы собираем их ПДн для обработки заявки. Всю информацию узнаем со слов, никак ее больше не проверяя, по факту она может быть ложной.

*в сторону*
Если запрашивать и хранить в базе только имя и контактный телефон, то получится обезличка, если вы не ОПСОС, ага. Тогда согласие в целом не нужно... но:
1. Цель обращения - весьма чувствительные данные, особенно, когда дело касается лекарств. При определенном раскладе легко подвести под "спец.ПДн" или еще чего по-хуже...
2. Полные ФИО (наверняка) и адрес проживания (обязательно) будет знать оконечный волонтер. И, если обращение будет "долгоиграющим" - целый штат сменяющихся волонтеров. Подписывать со всеми соглашение о неразглашении (и уничтожении всех указанных данных после завершения "волонтерской" деятельности), конечно, можно. Но вероятность утечки этих данных все таки будет много больше 0...
Вектор последствий: волонтер сливает (умышленно или неумышленно) накопленную информацию по ФИО+телефон+адрес+лекарства и общее состояние (определенное при личной встрече) группе нарушителей. Последние выявляют наиболее соблазнительную жертву и... дальше по ситуации (думаю, объяснять тут нечего)...
Конечно, все вышесказанное происходит не по вине автоматизации и ИСПДн в целом, но от этого не легче...
Кстати, а волонтерский центр на общественных началах? Или учрежден "под кем-то" (читай, гос.организацией/органом)? Просто по-хорошему именно этот "кто-то" должен найти контакт с регуляторами и продумать схему безопасного взаимодействия (при необходимости, внеся поправки в части необязательности запроса согласия - пандемия же, дело серьезное)...

ЗЫ А так, запрос согласия на обработку ПДн по телефону сродни волшебной галочке на web-сайте. Т.е. вроде и помогает (перенося ответственность), но не доказано, ага...