Как избежать штрафов и что нужно знать о новых поправках
Почти все владельцы сайтов обрабатывают персональные данные — например, собирают почтовые адреса для рассылки.
1 июля 2017 года вступают в силу изменения в законе о персональных данных, из-за которых в разы вырастут штрафы. Максим Лагутин, Эксперт по персональным данным в компании Б-152, рассказывает, на кого это повлияет и как избежать штрафов.
Максим Лагутин
Эксперт по защите персональных данных, основатель консалтинговой компании Б-152 Сейчас по статье 13.11 есть только одно нарушение со штрафом 10 000 рублей для юрлиц. После 1 июля их станет семь и общий Штраф может составить до 295 000 рублей.Почему сейчас? Все штрафы, которые вступают в силу с 1 июля, являются наиболее частыми нарушениями, которые Роскомнадзор выявлял в течение последних пяти лет. Ужесточение нашего законодательства связано с ужесточением законодательства в Евросоюзе.Например, если в форме обратной связи нет ссылки на соглашение на обработку персональных данных, компания должна будет заплатить 50 000 рублей. Если на сайте нет политики конфиденциальности, ИП оштрафуют на 10 000 рублей, компанию — на 30 000 рублей. 
Операторов персональных данных. Оператор — любая организация, ИП и физическое лицо, которые обрабатывают персональные данные, например, собирает электронные адреса для рассылки.
Определение из закона 152-ФЗ «О персональных данных»:
Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Любые данные о человеке, по которым его можно опознать. Точного перечисления в законе нет, но, например, если логин пользователя нам ни о чем не говорит, то электронная почта — это уже персональные данные.
Определение из закона 152-ФЗ «О персональных данных»:
Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Неважно, используете ли вы эту информацию по отдельности или в сочетании — если вы как-то получаете ее от пользователей, вы — оператор персональных данных.
- Телефон
- Имя, фамилия, отчество (и по отдельности)
- Адрес
- Дата рождения
- Фотография
- Ссылка на персональный сайт и профиль в соцсетях
Трактовка расплывчатая, но исходя из позиции судов и Роскомнадзора даже cookie, данные об IP-адресе, местоположении без указания фамилии и имени являются персональными данными. В деле LinkedIn (который заблокировали за использование cookie, сведений о поведении пользователя на странице и сведений о местонахождении) и провайдера Скартел позиция судов и Роскомнадзора подтверждается.
Если на вашем сайте есть любая форма сбора данных — обратной связи, подписки на рассылку, регистрации или личный кабинет, это считается обработкой персональных данных.
Хранение и сбор тоже попадают под определение обработки. Даже если вы собираете данные и через пару минут удаляете, это будет считаться обработкой персональных данных.
Определение из закона 152-ФЗ «О персональных данных»:
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Вам нужно сделать так, чтобы сайт соответствовал требованиям 152-ФЗ. Эти требования применимы для всех — физических лиц и компаний. Убедитесь, что вы соблюдаете следующие условия:
Хостинг и база данных с персональными данными должна располагаться на территории России. Об этом прямо говорят данные проверок Роскомнадзора (снова LinkedIn) и Закон № 242-ФЗ, который обязывает записывать, хранить, обновлять и извлекать персональные данные граждан РФ с использованием баз данных на территории России с 1 сентября 2015 года.Это касается иностранных компаний с юрлицом в России и без него, а также российских компаний, которые пользуются иностранными хостинг-провайдерами, дата-центрами и облачными платформами. Все осложняется тем, что требования Роскомнадзора до конца не ясны, приходится догадываться самим.
Если вы не понимаете, где хранить данные и что делать, обратитесь с запросом в Роскомнадзор или Минкомсвязи. И возможно у вашего хостинг-провайдера есть готовые решения на такой случай.
Под каждой формой сбора данных, включая сбор email, разместить текст «Нажимая на кнопку, вы даете согласие на обработку своих персональных данных». В тексте должна быть ссылка на документ — Пользовательское соглашение, Договор или согласие на обработку персональных данных. Текст самого документа можно разместить на отдельной странице.
В Тильде в каждом блоке с формой сбора данных есть поле, в котором можно разместить текст о согласии на обработку данных и ссылку на соглашение и таким образом выполнить требование закона.
Какая информация должна быть в соглашении об обработке персональных данных
Согласно ч.4 ст.
9 закона 152-ФЗ «О персональных данных» в соглашении обязательно должна быть следующая информация:
- наименование или фамилия, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
- наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
- срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
Также нужно указать информацию о том, как физическое лицо может отозвать свое согласие на обработку персональных данных (ч.2 ст. 9 152-ФЗ «О персональных данных»).
Разместить на сайте в общем доступе (например, в подвале сайта) ссылку на документ — политику организации в отношении обработки персональных данных на сайте.
Показывать всем новым пользователям сайта предупреждение с текстом о том, что вы собираете метаданные пользователя (cookie, данные об IP-адресе и местоположении) для функционирования сайта и, если он не хочет, чтобы эти его данные обрабатывались, то должен покинуть сайт.
На Тильде блок с предупреждением находится в категории «Другое» под номером Т657
Подать уведомление, чтобы внести организацию в реестр операторов персональных данных Роскомнадзора — можно сделать через сайт.
Уведомление можно не подавать, если вы:
- обрабатываете только данные работников и только для исполнения требований трудового законодательства (без передачи данных в банки, например, оформления зарплатного проекта)
- обрабатываете данные, заключая договор с каждым клиентом и работником, и не передаете данные третьим лицам
- обрабатываете персональные данные только на бумажных носителях.
Другие исключения, когда уведомление в Роскомнадзор можно не подавать, содержатся во втором пункте статьи 22 закона 152-ФЗ.
Подтверждать статус оператора в Роскомнадзоре не нужно. Вы или ваша компания итак уже является оператором, если имеет доступ к персональным данным.
Выше мы назвали главные требования, которые Роскомнадзор предъявляет ко всем сайтам — неважно, физическое вы лицо или юридическое. Ниже еще несколько групп требований, которые должны дополнительно выполнять юридические лица.
Что нужно еще сделать компаниям:
Назначить ответственных лиц и разработать пакет внутренних документов, регламентирующих процессы обработки и защиты персональных данных.
Правильно отрегулировать взаимодействие с физическими лицами, государственными органами и контрагентами. Это значит, вам нужно:
- Подписать с сотрудниками обязательства о неразглашении персональных данных, согласие на обработку персональных данных и под роспись ознакомить их с внутренними документами по персональным данным.
- Со всеми другими физическими лицами подписывать согласие на обработку персональных данных или добавлять пункты об обработке персональных данных в договоры, которые вы заключаете.
- Заключать поручения на обработку персональных данных, если вы передаете кому-то данные физических лиц (например, рекламным агентствам).
- Отвечать на запросы физических лиц по поводу обработки их персональных данных — не игнорировать, как часто делают.
Защитить персональные данные техническими и организационными мерами — антивирусными системами, средствами межсетевого экранирования, разграничить права доступа. Все это прописано в приказе ФСТЭК № 21. В зависимости от требований проверять компанию могут разные инстанции: Роскомнадзор, ФСТЭК и ФСБ России. Самые редкие случаи проверки для частных организаций — проверка технической защиты персональных данных, это делает ФСБ в малом количестве.
ФСТЭК
Федеральная служба по техническому и экспортному контролю
Основной риск представляет Роскомнадзор, проводящий тысячи проверок в год.
Если раньше сумма штрафов для юридических лиц не превышала 10 000 рублей, то с 1 июля она спокойно может доходить до 300 000 рублей. Если нарушений несколько, штрафов тоже будет несколько.
Например, если вам напишет пользователь и попросит уточнить или удалить его персональные данные с вашего сайта, а вы не предоставите эту информацию, то штраф для физических лиц будет до 2000 рублей, для ИП — до 20 000 рублей, для компаний — до 45 000 рублей. Все штрафы можно посмотреть в поправках к закону.
Как правило, вначале Роскомнадзор присылает «письмо счастья», в котором указывает выявленные нарушения на сайте, связанные с неправомерной обработкой персональных данных. Хотя в случае с астраханскими сайтами, которых оштрафовали за форму обратной связи на сайте, проверку просто начали по алфавиту.
Пример «письма счастья»:
Еще Роскомнадзор может запросить большой список документов. Если проверка выявит нарушения, то Роскомнадзор может заблокировать сайт, наложить штрафы и в редких случаях приостановить деятельность компании. Не ждите «письмо счастья». Начните выполнять все основные требования, чтобы избежать плачевных последствий и штрафов.
Максим ЛагутинИллюстрации, дизайн и верстка: Юлия Засс
Если материал вам понравился, расскажите о нем друзьям. Спасибо!
Приводим сайт в соответствие с законом о персональных данных
С 1 июля вступили в силу поправки в КоАП о нарушениях в работе с персональными данными. Штрафы за нарушения стали на порядок больше, и теперь эти штрафы реально будут накладывать.
Это касается всех владельцев сайтов — юридических и физических лиц. Если вы собираете хоть какие-то персональные данные не в соответствии с законом 152-ФЗ, Роскомнадзор может наказать рублём.
В этой статье мы расскажем, как сделать всё правильно и избежать штрафов. Она будет полезна, если вы раскручиваете сайты клиентов или собственные проекты, продаёте что-то с лендингов или ведёте личный блог.
Немного теории: персональные данные и что о них надо знать
Персональные данные (ПД) — это любая информация, по которой можно прямо или косвенно определить человека:
- ФИО;
- дата рождения;
- телефон;
- адрес;
- электронная почта;
- ИНН;
- фотографии;
- сведения о работе;
- ссылки на аккаунты в соцсетях или личный сайт;
- метрики сайта (ip-адрес, геотеги, cookies и т.д.);
- и очень многое другое.
Проблема вот в чём: в самом законе нет точного и исчерпывающего объяснения, что и при каких условиях считать персональными данными.
По отдельности большинство перечисленных данных не считаются персональными. Нельзя определить человека ТОЛЬКО по дате рождения или ТОЛЬКО по email-адресу. И даже по ФИО нельзя — есть же полные тёзки. А вот если от человека обязательно требуется указать на сайте имя и email — это уже персональные данные.
Персональные данные — почти всегда совокупность нескольких разных данных о человеке.
Но есть исключения. Например, номер телефона. Обычно SIM-карты в салонах связи продают по паспорту, а паспортные данные вносят в базу. А значит, если у вас есть доступ к базе оператора — теоретически вы можете установить личность человека по одному только номеру.
Закон не может регламентировать каждую мелочь и каждый частный случай. Приходится руководствоваться здравым смыслом. Если вы абсолютно уверены, что нельзя установить личность человека по данным, которые собираете на сайте — хорошо. Если не уверены — лучше сразу считайте, что всё-таки собираете персональные данные.
Посмотрите на примеры. Здесь посетитель должен ввести только email, чтобы подписаться на рассылку. Email в этом случае — обезличенные данные:
А здесь обязательно нужно указать и имя, и адрес почты. Это уже персональные данные:
Если сайт собирает персональные данные — его владелец считается оператором персональных данных. Операторами могут быть и юридические, и физические лица.
Как понять, оператор вы или нет
Иногда владелец сайта и сам не знает, что он — оператор персональных данных. Вот распространённые «сборники» ПД:
- формы подписки на рассылку (имя + email, телефон и т.д.);
- личный кабинет интернет-магазина (имя + адрес, телефон и т.д.);
- форма заявки или обратной связи (имя + email или телефон);
- системы онлайн-чат, онлайн-консультант (имя + email, телефон и т.д.);
- форма размещения комментариев в блоге (имя + email или адрес сайта).
Если что-то из этого есть на сайте и требует от посетителей ввода персональных данных, то владелец автоматически признаётся оператором. И это только частные случаи. Возможно, вы собираете данные каким-то другим образом.
Важно. Если человек сам проявляет инициативу и выкладывает свои ПД на сайте, хотя вы его об этом не просили — вы не становитесь оператором. В х к статье посетитель может выложить хоть скан паспорта и фотографию банковской карты. Вы не несёте за это ответственность.
Как видим, почти все коммерческие сайты попадают под действие закона. Но не обязательно управлять интернет-магазином, чтобы быть оператором — даже сайты с информационными рассылками и блоги собирают персональные данные.
Что делать, если вы собираете персональные данные
Законодатель предъявляет 3 главных требования:
- Составить политику конфиденциальности и разместить её на сайте.
- Уведомить Роскомнадзор, что вы собираете персональные данные.
- При сборе данных брать согласие с посетителей сайта.
Обо всём по порядку.
Как составить политику конфиденциальности
Вот что нужно прописать в политике:
- Наименование компании-оператора. Если сайт принадлежит ИП или просто физическому лицу — ФИО.
- Адрес оператора: юридический (для юрлиц) или фактический (для физлиц).
- Список собираемых данных: имя, почта, телефон, cookies, геометки и т.д. Список должен быть максимально полным. Посмотрите, какие данные попадают в системы аналитики (и CRM-систему, если пользуетесь).
- Цель сбора данных. Вы должны объяснить, для чего будете использовать персональные данные. Например, для доставки товара, рассылки рекламных писем, отправки СМС-сообщений с напоминанием о конференции и т.д. Собирайте и обрабатывайте только нужные для работы данные — иначе могут выписать штраф.
- Действия с данными: это сбор, уточнение, хранение и т.д.
- Сроки обработки данных. Нельзя хранить ПД вечно — после «использования по назначению» их надо удалять. Интернет-магазин взял email, чтобы присылать уведомления о заказе? Когда человек примет товар — его почту следует стереть из базы. Исключение — если вы собираете данные для регулярной рассылки.
- Факт привлечения третьих лиц к обработке данных.
Сбор персональных данных и подготовка документации для их обработки: как избежать типовых нарушений Закона № 152-ФЗ?
- Павел Новожилов
- Руководитель группы консалтинга Центра информационной безопасности компании «Инфосистемы Джет»
- специально для ГАРАНТ.РУ
Последние несколько лет по всему миру наблюдается тенденция к увеличению штрафных санкций за несоответствие требованиям законодательства в области обработки и защиты персональных данных. Например, с 2 декабря 2019 года в России был введен один из самых крупных штрафов в этой сфере – за нарушение требований к локализации баз данных при первичном сборе персональных данных (ч. 8-9 ст. 13.11 КоАП). Его размеры для компаний варьируются от 1 млн до 6 млн руб. за первое нарушение и от 6 млн до 18 млн руб. при повторном. Существенно возросли штрафы и в Евросоюзе, где последние два года действует Общий регламент по защите данных (General Data Protection Regulation, GDPR), который пришел на смену ранее принятой директиве о защите данных. Так, согласно статистике, опубликованной на сайте www.itpro.co.uk, общая сумма штрафов для компаний, работающих на территории ЕС, за несоответствия требованиям GDPR с начала года составила 68 млн евро. Более 66% этой суммы пришлось на компании из Италии, где было зафиксировано 13 случаев нарушения регламента.
Неудивительно, что вопросы выполнения требований в части обработки и защиты персональных данных неизменно остаются одними из самых важных для компаний. В колонке я выделю ключевые нарушения, которые допускаются при обработке персональных данных в России, и поделюсь рекомендациями, как их избежать.
Что нужно знать о сборе персональных данных, чтобы не нарушить закон?
Как правило, основанием для обработки персональных данных служит либо требование законодательства РФ, либо согласие на обработку персональных данных.
Как показывают результаты последних проверок Роскомнадзора – основного регулятора в области защиты персональных данных в России, одной из распространенных ошибок компаний является неправильная организация сбора данных.
Обычно проверяющие в этой области чаще всего фиксируют следующие типовые нарушения:
- компании не всегда собирают все необходимые согласия на обработку персональных данных у субъектов персональных данных;
- объем обрабатываемых персональных данных не соответствует заявленной цели обработки;
- форма согласия не соответствует требованиям Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).
До начала сбора персональных данных в организации важно определиться с целью их обработки: именно от этого будет зависеть весь процесс обработки персональных данных. Далее для выбранной цели определяется объем собираемых данных и срок их обработки. С решением последнего вопроса поможет Приказ Росархива от 20 декабря 2019 г.
№ 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения». Если же в нем не удастся найти необходимые документы, организация может определить срок обработки самостоятельно.
Самое важное мероприятие в организации сбора данных – это основание их обработки. Если объем персональных данных соответствует требованиям законодательства, в большинстве случаев получать дополнительное согласие не придется.
Исключение составляют передача данных сторонним организациям, сбор дополнительных контактных данных для проведения маркетинговых мероприятий и другие случаи, оговоренные в нормативных актах.
Если же объем персональных данных не соответствует требованиям законодательства РФ, необходимо получить согласие на обработку данных.
Существует несколько форм согласий: конклюдентное, письменное и иные (в форме галочки, по телефону и т. д.). Самый строгий тип согласия – в письменной форме, в законодательстве даже прописаны все случаи, когда их нужно получать.
Среди них, например, обработка биометрических данных (подп. 1 п. 2 ст. 10 Закона № 152-ФЗ), специальных категорий персональных данных (п. 1 ст. 11 Закона № 152-ФЗ) и т. п.
Если же задача организации не попадает в список особых случаев, можно использовать согласие в другой форме.
По моему опыту сопровождения проверок, у каждой формы согласия есть свои плюсы и минусы:
| Конклюдентное согласие | Согласие в письменной форме | Иные формы согласия | |
| + | Легко получить (за исключением случаев, когда нужно согласие в письменной форме) | При разработке и получении формы согласия по требованиям законодательства РФ регулятору не требуются дополнительные доказательства | Как правило, допускается Роскомнадзором, что подтверждается проверками ведомства (за исключением случаев, когда необходимо согласие в письменной форме) |
| – | Не предусматривает каких-либо подтверждений получения. Ввиду отсутствия подтверждений может рассматриваться Роскомнадзором как нарушение требований Закона № 152-ФЗ | Форма согласия должна соответствовать требованиям ч. 4 ст. 9 Закона № 152-ФЗ Для каждой цели нужно получать отдельное согласие, т.к. в ч. 4 ст. 9 Закона № 152-ФЗ «цель» указана в единственном числе | Требуется сохранять подтверждение получения (например, лог-файл на сайте или запись телефонного звонка в случае обработки персональных данных) и доказывать факт наличия согласия при возникновении инцидента. Данные подтверждения могут храниться в течение длительного периода Представители Роскомнадзора, как правило, рекомендуют учитывать требования ч. 4 ст. 9 Закона № 152-ФЗ |
На что еще важно обратить внимание до сбора персональных данных?
- В случаях, не установленных законодательством РФ, необходимо получать согласие на передачу данных сторонним организациям. Оно может быть как отдельным, так и встроенным в общее (за исключением случаев, когда требуется согласие в письменной форме).
- Когда организация получает данные не напрямую от самого субъекта, нужно либо направить ему уведомление об этом (оно должно соответствовать п. 3 ст. 18 Закона № 152-ФЗ), либо запросить у него согласие на обработку персональных данных. Способ уведомления при этом определяется организацией-оператором обработки данных.
Например, это может быть письмо по электронной почте или SMS-сообщение.
- При сборе данных нужно использовать базу данных, размещенную на территории РФ.
Подготовка к сбору персональных данных – один из важнейших этапов выстраивания процесса их обработки, а его правильная организация поможет избежать достаточно большого количества ошибок и, как следствие, штрафных санкций со стороны регулятора.
О чем всегда забывают при подготовке документации?
Еще один широко распространенный и не менее важный вид нарушений связан с документацией в области обработки персональных данных.
Дело в том, что для полного соответствия требованиям Закона № 152-ФЗ и подзаконных актов организациям нужно иметь огромное количество документов, в иерархии которых не просто разобраться.
Как показывают результаты проверок Роскомнадзора, компании допускают три основных нарушения в этой области:
- отсутствует большая часть необходимой документации;
- документация не актуализируется на постоянной основе (например, при изменениях процессов обработки персональных данных);
- не заполняются типовые формы документов (перечни, журналы и др.) в соответствии с внутренней документацией организации.
Как же сформировать полный комплект документов, чтобы пройти проверку без нареканий со стороны представителей регулятора? Работа с персональными данными в любой организации начинается с верхнеуровневого документа, определяющего общие требования, то есть политики. При ее разработке полезно изучить рекомендации Рекомендации Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 31 июля 2017 г.
Среди документов второго уровня в иерархии можно выделить следующие:
- Положение об обработке персональных данных. Его можно разработать как отдельно для работников и остальных субъектов данных, так и в виде единого документа. Я рекомендую выбирать второй вариант и не забывать, что с документом нужно ознакомить каждого работника под подпись;
- Регламент обработки обращений от субъектов персональных данных / Роскомнадзора;
- Регламент проведения внутренних проверок в части соблюдения требований Закона № 152-ФЗ и подзаконных актов в области обработки персональных данных;
- Методика оценки вреда субъектам персональных данных. По моей практике, компании крайне редко разрабатывают этот документ, хотя он необходим для успешного прохождения проверки Роскомнадзора;
- Иные документы.
Для наглядности иерархическая структура необходимых документов представлена на схеме:
Рис. Иерархическая верхнеуровневая схема документов оператора персональных данных
Список внушительный, не говоря о том, что в этой колонке я не рассматриваю документы по защите персональных данных по требованиям ФСТЭК и ФСБ России. Но и это еще не все: организациям, в которых планируется проверка Роскомнадзора, также следует обратить внимание на подготовку справок по различным вопросам.
Например, это может быть информация по обработке данных уволенных работников, справка об обработке биометрических данных и не только. Например, в моей практике был случай, когда компании пришлось подготовить суммарно порядка 200 справок по разным вопросам обработки персональных данных.
Так что этот вопрос лучше продумать заранее.
***
При сборе персональных данных важно правильно организовать процесс с самого начала, чтобы в ходе проверок избежать предписаний от Роскомнадзора за такие распространенные нарушения, как отсутствие согласия на форме обратной связи или отсутствие всплывающего баннера в случаях, когда компания использует cookie-файлы посетителей сайта. В настоящий момент планируются изменения в Закон № 152-ФЗ, которые прояснят многие неоднозначные моменты в нормативных требованиях к защите персональных данных. Например, сейчас на рассмотрении в Госдуме находится законопроект1, разрешающий получать одно согласие в письменной форме сразу для нескольких целей обработки персональных данных, что не предусмотрено положениями действующего закона. Кроме того, Роскомнадзор планирует разработать методические рекомендации по обезличиванию данных для коммерческих компаний. Сегодня подобный документ действует только для государственных организаций, что вызывает большое количество вопросов со стороны бизнеса. Тем не менее важно понимать, что даже в случае принятия этих поправок к положениям Закона № 152-ФЗ останется немало открытых вопросов, что требует уделять повышенное внимание к выстраиванию процессов обработки Пдн.
_____________________________
1 С текстом законопроекта № 992331-7 «О внесении изменений в Федеральный закон «О персональных данных»» и материалами к нему можно ознакомиться на официальном сайте Госдумы.
Что нужно знать о персональных данных владельцу сайта
У вашего проекта есть сайт, но нет формы согласия на обработку персональных данных и политики конфиденциальности? Считаете, что к вам требования законодательства о персональных данных не относятся? Скорее всего, это не так.
Мы часто слышим возражения: но мы не занимаемся обработкой персональных данных! На самом деле, с точки зрения закона получение персональных данных через сайт и их временное хранение на сервере – это уже обработка.
Даже если на сайте есть только форма подписки на рассылку, где нужно оставить e-mail, или форма обратной связи, пользователь все равно передает вам персональные данные, не говоря уже о случаях, когда вы принимаете интернет-заказ или исполняете онлайн договор на оказание услуг.
- А значит, вы являетесь оператором персональных данных и на вас распространяются требования закона, соблюдение которых контролирует специальный проверяющий орган – Роскомнадзор.
- Штрафы за нарушение этих требований могут доходить до 75 000 рублей для юридических лиц, при этом за каждое нарушение (а их, как правило, сразу несколько) налагается отдельный штраф.
- Так какие же требования необходимо соблюдать?
- Рассмотрим самые основные моменты, тот минимум, который обязательно стоит учесть во избежание претензий проверяющих органов.
1. Политика обработки персональных данных (или политика конфиденциальности)
В соответствии с требованиями 152-ФЗ, любые лица, осуществляющие обработку персональных данных при помощи сайта, должны разместить на этом сайте в общедоступном режиме политику обработки персональных данных.
В политике, среди прочего, необходимо указать категории персональных данных, которые вы обрабатываете, способы и цели их обработки, способы защиты данных, а также каким образом субъект персональных данных может изменить или удалить эти данные.
Мы крайне не рекомендуем использовать «типовую» политику, найденную на просторах интернета или даже специальные он-лайн конструкторы, поскольку почти наверняка такие документы не будут учитывать специфику и все нюансы ваших бизнес-процессов, а значит, будут содержать недостоверные сведения, касающиеся способов и целей обработки персональных данных вашей организацией.
2. Согласие на обработку персональных данных
На обработку персональных данных необходимо получать согласие субъекта персональных данных.
Однако из этого правила есть исключение – если персональные данные обрабатываются только для целей исполнения договора, заключенного с этим субъектом. Руководствуясь этим исключением, многие пренебрегают получением согласия.
Однако необходимо учитывать, что в большинстве случаев исполнением договора обработка персональных данных не ограничивается.
Например, интернет-магазин, выполнив заказ, продолжает хранить данные заказчиков на сервере, а возможно даже использует их для онлайн-рассылок или в иных маркетинговых целях. Поэтому согласие на обработку персональных данных лучше все же получать.
Как это правильно делать, соблюдая все требования законодательства – тема отдельной обширной статьи. Если речь идет о сайте, согласие обычно можно получить, например, путем проставления пользователем соответствующей отметки при вводе персональных данных.
3. Можно ли не уведомлять Роскомнадзор
В соответствии со статьей 22 ФЗ «О персональных данных», оператор персональных данных до начала обработки таких данных должен направить соответствующее уведомление в Роскомнадзор. В той же статье перечислен ряд исключений, когда такое уведомление необязательно. Среди них есть и исключения, применимые к онлайн-коммерции.
Так, если ваша организация использует персональные данные исключительно для заключения и исполнения договоров с клиентами (например, для приема и доставки заказа) и никаким образом не распространяет их и не передает третьим лицам, то уведомлять контролирующие органы не обязательно.
Гость, для Вас есть резерв в группе на новом курсе Мы выяснили, что тяжелее всего бухгалтерам дается финанализ и планирование бюджета. Учли это и вложили в новый курс повышения квалификации «Антикризисный управленческий учет и бюджетирование».
Старт 1 апреля. Разберем пошагово управленку и бюджетирование с нуля до внедрения в 1С.
Обработка персональных данных на сайте: как избежать штрафов
Деятельность по обработке, хранению и защите персональных данных граждан РФ регулируется Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных» (далее – ФЗ № 152).
Персональные данные – это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных) – п. 1 ст. 3 ФЗ № 152.
Таким образом, практически любая информация, указанная на сайте пользователем, будь то информация, указанная при регистрации или заполнении формы на сайте (фамилия, имя, отчество, дата и место рождения, образование/профессия, адрес, семейное, имущественное, социальное положение и другое), попадает под действие ФЗ № 152.
Помимо информации, которую сам пользователь указывает на сайте, Роскомнадзор относит к персональным данным также сведения о геопозиции пользователя, IP-адрес, cookie.
Что такое обработка персональных данных?
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. — п. 1 ст. 3 ФЗ № 152.
Иными словами, если на вашем сайте имеется форма обратной связи, форма заказа, форма комментариев, регистрация и личные кабинеты, формы подписки по e-mail, то вместе с автоматически передаваемыми cookie и другими данными, указанные сведения будут являться персональными данными, а вы как владелец сайта – оператором персональных данных, который обязан обрабатывать такие данные в соответствии с требованиями ФЗ № 152.
Какие штрафы ожидают нарушителей?
За нарушение законодательства в области персональных данных статьей 13.
11 Кодекса Российской Федерации об административных правонарушениях предусмотрена административная ответственность в виде административного штрафа в размере до 75 000 рублей в зависимости от вида нарушения. Если нарушений несколько, то штрафы по ним будут суммироваться и максимально могут достигать 295 000 рублей.
Что сделать, чтобы избежать штрафа?
1. Перевести свой сайт на сервер. находящийся на территории Российской Федерации.
Согласно ФЗ РФ №242 операторы интернет-сайтов «обязаны обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ».
Место нахождения сервера, на котором расположен ваш сайт, можно уточнить у своего хостинг-провайдера.
2. Разработать и разместить на своем сайте документ «Политика в отношении обработки персональных данных».
Указанный документ должен быть размещен на сайте в свободном доступе, в нем необходимо прописать процедуры обработки, хранения и защиты персональных данных пользователей сайта.
В данном документе Роскомнадзор рекомендует указывать следующую информацию:
- Общие положения, в которых указывается назначение Политики и основные понятия, используемые в ней, перечисляются основные права и обязанности оператора и субъекта (-ов) персональных данных.
- Цели сбора персональных данных.
- Правовые основания обработки персональных данных (например, уставные документы, договора и т.д.).
- Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных.
- Порядок и условия обработки персональных данных.
- Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным.
- Также необходимо указать информацию о возможности отзыва физическим лицом согласия на обработку персональных данных.
3. Получить согласие пользователей/посетителей сайта на обработку персональных данных.
С этой целью под каждой формой ввода данных на сайте необходимо разместить текст «Нажимая на кнопку, я даю согласие на обработку своих персональных данных». Также здесь необходимо предусмотреть ссылку на «Политику в отношении обработки персональных данных», разработанную и размещенную на вашем сайте.
4. Указать e-mail для обращений пользователей по вопросам, связанным с обработкой персональных данных.
E-mail, по которому пользователь сайта может обратиться по любому вопросу, касающемуся работе с персональными данными, можно указать в «Политике в отношении обработки персональных данных».
При этом e-mail, созданный для вышеуказанных целей, должен постоянно проверяться, чтобы своевременно реагировать на полученные пользователями сайта запросы.
5. Подать заявление о внесении вашей компании в реестр операторов, осуществляющих обработку персональных данных.
Форму и порядок подачи такого заявления можно найти на сайте Роскомнадзора. Там же можно заполнить электронную форму.
Кроме того, согласно приказа ФСТЭК России №21, вы обязаны защитить персональные данные техническими и организационными мерами: антивирусными системами, средствами межсетевого экранирования, а также разграничить права доступа. Выполнение данного условия не менее важно, и подлежит проверке наряду с остальными требованиями.
Мы надеемся, что указанные советы будут полезными при разработке и работе вашего сайта и помогут избежать нарушений закона о персональных данных.