Какие персональные данные можно показывать фрилансеру по GDPR

Вопрос о том, какие персональные данные можно показывать фрилансеру по GDPR, почти всегда всплывает не в теории, а в будничной суете: нужен макет к пятнице, текст — к вечеру, а заказчик уже готов переслать весь архив. И вот тут легко перегнуть. Один лишний файл, одна лишняя таблица — и круг доступа стал шире, чем задача.

Для заказчика логика простая: фрилансеру показывают не “всё, что есть”, а только то, без чего он не сделает работу. Это базовая линия и для внутренней дисциплины, и для GDPR, когда речь идёт о доступе к клиентским или сотрудническим сведениям. Если задача маленькая, круг данных тоже маленький. Если задача большая, круг всё равно не должен расти без меры.

Когда “показывать” данные фрилансеру вообще уместно

Фрилансеру показывают персональные данные тогда, когда без них задача не сдвинется. Например, дизайнеру нужны имя бренда и контакты ответственного лица; копирайтеру — тон коммуникации и примеры переписки; разработчику — тестовые записи, а не живая база клиентов. Это обычная рабочая ситуация, а не исключение.

Есть и второй сценарий: фрилансер помогает в проекте, где данные уже собраны у заказчика. Тогда заказчик фактически открывает часть своего архива, и тут особенно заметно, где предел. Один подрядчик может видеть только список имён, другой — ещё и номера заказов, а третий — внутренние письма. Разница в доступе должна быть видна заранее.

Смысл GDPR здесь не в запрете работы с подрядчиками. Смысл в ограничении: показывайте ровно то, что нужно для цели, а не “на всякий случай”. Так проще объяснить выбор и внутри команды, и при проверке.

Если хочется быстро свериться с правилами площадки, иногда полезно посмотреть правила сайта profreelance.biz. Сайт фриланса, Правила. Это не заменяет внутреннюю политику компании, но помогает не путать бытовую передачу файлов с публичным размещением информации.

Какие именно персональные данные обычно оказываются в поле зрения фрилансера

На практике в поле зрения подрядчика чаще всего попадают 5–6 типов сведений. Первый тип — контакты: имя, рабочая почта, телефон, мессенджер. Второй — внутренние документы: ТЗ, брифы, договоры, счета, переписка по проекту. Третий — данные клиентов или сотрудников, если задача завязана на CRM, саппорт или контент.

Четвёртый тип — доступы. Это логины, временные пароли, токены, ссылки на админки, тестовые кабинеты. Пятый — сканы и фото документов, например паспорта, актов, пропусков, карточек. Шестой — фрагменты переписки, где уже есть имена, адреса, даты, суммы. Всё это может быть персональными данными по смыслу GDPR, даже если файл выглядит как “просто рабочий”.

Тут важна одна тонкость. Не каждое упоминание имени превращает документ в опасный объект, но любая связка имени с адресом, номером договора, финансовой информацией или историей действий уже повышает чувствительность. И чем больше таких связок, тем осторожнее надо показывать материал.

Если подрядчик ищется через платформу, иногда удобно заранее посмотреть профиль исполнителя и отзывы. Для этого подойдёт найти фрилансера на сайте ProFreelance, отзывы. Но сам факт поиска на площадке не отменяет вопрос о том, какие персональные данные вы откроете после выбора.

Что можно показывать без лишнего риска, если это нужно для задачи

Минимум обычно выглядит буднично: имя контактного лица, рабочая почта, один канал связи, описание задачи, сроки и обезличенные примеры. Для верстальщика — макет без лишних вкладок. Для таргетолога — статистика без фамилий клиентов. Для переводчика — текст без личных адресов и внутренних пометок, если они не нужны для результата.

Иногда достаточно урезанной версии файла. Например, вместо полного договора показывают только страницу с предметом работы и сроками. Вместо полной базы клиентов — 20 тестовых записей. Вместо скрина CRM — таблицу без телефонов и e-mail. Это не бюрократия, а обычная экономия риска.

Если задача простая, показывайте простой набор. Если задача на один день, не надо открывать архив за год. Тут правило скучное, зато надёжное: чем меньше строк видит фрилансер, тем меньше вопросов потом возникает по поводу доступа.

Для отдельных работ удобно использовать обезличенные тестовые материалы. На площадке можно, к примеру, найти исполнителя через написать скрипт для дайс бота. Требуется, но даже в таком проекте не стоит отдавать живые аккаунты, если задачу можно проверить на тестовой среде.

Какие данные лучше не показывать фрилансеру без дополнительной проверки

Есть категории, которые без нужды лучше не открывать вовсе. Это паспортные сканы, банковские реквизиты, полные базы клиентов, сведения о здоровье, внутренние HR-материалы, личные адреса сотрудников, а также всё, что связано с доступом к продакшн-системам. Один такой файл может потянуть за собой ещё десять.

Отдельно осторожно обращайтесь с данными третьих лиц. Если фрилансер не должен видеть переписку с клиентом, не показывайте переписку. Если ему не нужен складской реестр, не давайте реестр. Если он делает дизайн, ему редко нужны паспортные страницы и счета. Это банально, но на практике именно тут чаще всего и возникают лишние показы.

Когда у материала высокий риск, заказчику нужен отдельный правовой повод, договорные ограничения и чёткое описание цели. Иначе получается странная конструкция: доступ выдали, а зачем — не объяснили. По логике GDPR это слабая позиция.

На этапе сложных работ лучше сначала разделить данные, а потом уже открывать доступ. Иногда подрядчику хватает обезличенного набора и двух примеров. Иногда нужен закрытый просмотр без скачивания. Для задач по визуалу или ремеслу, вроде сграффито на стене пристройки, это особенно заметно: чертёж можно показать, но полный пакет документов — не всегда.

Как отличать персональные данные от служебной информации на практике

Проверка проста: если информация помогает идентифицировать человека или связана с ним напрямую, это повод насторожиться. Имя сотрудника в списке задач — ещё рабочая информация. Имя плюс личный телефон, адрес и история платежей — уже совсем другой уровень.

Полезно задавать себе три коротких вопроса. 1) Можно ли обойтись без этого файла? 2) Можно ли замаскировать часть строк? 3) Можно ли показать только один фрагмент? Если ответ “да” хотя бы на один пункт, значит, материал стоит урезать.

Служебная информация тоже бывает разной. Номер заказа, код проекта, статус задачи — это рабочие данные. Но если к ним приклеены ФИО, контакты клиента и условия оплаты, набор становится чувствительным. В таких случаях лучше показывать только то, что связано с конкретной задачей фрилансера.

Одна короткая проверка часто решает половину вопросов. Её легко провести до отправки файла. И это дешевле, чем потом объяснять, почему подрядчик увидел больше, чем должен был.

Как безопасно показывать данные фрилансеру в процессе работы

Самый удобный порядок — сначала тестовая среда, потом закрытый канал, потом, при необходимости, ограниченный доступ. Для переписки используйте один рабочий чат, а не пять. Для файлов — одну защищённую папку с ограничением прав. Для правок — копию, а не оригинал.

Если можно, подменяйте имена. Вместо “Иван Петров” пишите “Клиент A”. Вместо реального номера заказа используйте тестовый. Вместо живого доступа к CRM — выгрузку с замазанными полями. Это не делает работу хуже, если задача не требует точных идентификаторов.

Иногда фрилансеру достаточно увидеть структуру, а не содержание. Разработчик может проверить логику формы на фиктивных пользователях, бухгалтер — порядок полей в шаблоне, редактор — стиль текста без подписей и адресов. Для задач по технике и содержанию это нормально. Даже аспирация в мастерской чаще требует схемы и размеров, чем персональных данных людей, которые потом будут работать с оборудованием.

Что закрепить в договоре и внутренних правилах

В договоре стоит прямо написать, что фрилансер получает доступ только к тем персональные данные, которые нужны для конкретной задачи. Полезно добавить пункт о конфиденциальности, сроке хранения, запрете на передачу третьим лицам и обязанности удалить материалы после окончания работы. Это звучит сухо, зато потом меньше споров.

Если подрядчик работает долго, имеет смысл отдельно описать цель обработки, форму доступа и способ возврата или удаления материалов. Для разового проекта хватит короткого условия о неразглашении и уничтожении копий после сдачи результата. Для постоянной работы нужен более строгий режим.

С практической точки зрения внутреннее правило должно отвечать на 4 вопроса: кто открывает доступ, что именно открывает, на какой срок и что делает после завершения задачи. Если на один вопрос нет ответа, риск уже вырос. И тогда лучше не выдавать доступ, пока ответ не появился.

Для сложных или необычных задач, вроде складные нарды на заказ, условия доступа иногда проще описать в переписке до старта: какие фото, чертежи и контакты видит исполнитель, а какие остаются у заказчика.

Короткий чек-лист перед тем, как открыть фрилансеру доступ

Проверьте, нужна ли информация именно для этой задачи. Уберите всё лишнее. Замаскируйте имена, телефоны и адреса, если они не влияют на результат. Передайте только тот набор, который реально нужен фрилансеру на текущем этапе.

После этого выберите канал с ограниченным доступом. Не отправляйте чувствительные файлы в общий чат, если можно дать ссылку с правами просмотра. Не складывайте всё в один архив, если можно разделить материалы на 2 папки. Не открывайте тестовый доступ на месяц, если работа занимает 3 дня.

Потом проверьте правовое основание по GDPR и зафиксируйте ограничения в договоре или в отдельном письме. Если есть сомнение, лучше остановиться на урезанной версии данных. Один лишний просмотр иногда стоит дороже, чем кажется.

И ещё одна простая вещь: когда фрилансер видит только нужное, заказчик спокойнее. Это не абстрактная осторожность, а рабочая привычка, которая экономит время на исправлениях, объяснениях и неприятных вопросах после сдачи проекта.