Как хранить персональные данные для VK mini app?

Question

[Влад aka iamkisly]

Делаю мини приложение, и в силу его специфики я не могу обрабатывать запросы к vk на клиентской стороне. Приложение должно работать с рядом полей, например vk id текущего пользователя приложения, или owner_id владельца контентной записи.

"owner_id": {
  "type": "integer",
  "description": "Owner ID of created somethink",
  "entity": "owner",
  "format": "int64",
  "required": true
},

Так как так по этим полям можно явно идентифицировать пользователя, то данные относятся к категории персональных, а это автоматом накладывает ограничение на обработку и хранение. Подскажите сети плюс-минус актуальный с технической и юридической сторон мануал по этой теме, чтобы не выдумывать велосипед?

Answer 1

[Пума Тайланд]

Смотри, vk_id пользователя по факту ПДн — по нему профиль открывается. А вот owner_id сообщества уже нет. По 152-ФЗ тебе нужно определить правовое основание обработки (ст. 6, согласие не единственный вариант), опубликовать политику и хранить данные на территории РФ. Ну и уведомить Роскомнадзор. На dev.vk.com в правилах мини-приложений есть раздел про данные, и плюс почитай ст. 18-19 самого закона — там про локализацию и техзащиту.

Comments

[Влад aka iamkisly]

Спасибо я как раз читаю этот раздел

А вот owner_id сообщества уже нет

Это если владельцем контента является сообщество. Если его создал индивидуальный пользователь, то это тоже ПДн.. и здесь есть не понятный для меня момент. Я потенциально могу запрашивать согласие у пользователя miniapp на обработку его данных, а обрабатывать данные другого пользователя, который знать об этом не знает. Например пост мой, а комментарий к нему - нет. Я могу проверять что vk_id = owner_id на фронте, и для защиты от "злоумышленника" дублировать проверку на беке.. но как только я получаю response от vk, я фактически уже обрабатываю данные.

нужно определить правовое основание обработки

Ну как бы.. пользователю надо показать только интересующие его данные, которые он добавил явно или данные по сообществу которое он модерирует

[Пума Тайланд]

Если чужие owner_id ты просто прокидываешь из VK и не сохраняешь в свою базу — это не обработка. А если сохраняешь, пропиши в политике как законный интерес (ст. 6 п. 7) и храни минимум.