Соглашение о политике конфиденциальности Интернет-сайта

Как избежать штрафов и что нужно знать о новых поправках

Почти все владельцы сайтов обрабатывают персональные данные — например, собирают почтовые адреса для рассылки.

1 июля 2017 года вступают в силу изменения в законе о персональных данных, из-за которых в разы вырастут штрафы. Максим Лагутин, Эксперт по персональным данным в компании Б-152, рассказывает, на кого это повлияет и как избежать штрафов.

Соглашение о политике конфиденциальности Интернет-сайта

Максим Лагутин

Эксперт по защите персональных данных, основатель консалтинговой компании Б-152 Сейчас по статье 13.11 есть только одно нарушение со штрафом 10 000 рублей для юрлиц. После 1 июля их станет семь и общий Штраф может составить до 295 000 рублей.Почему сейчас? Все штрафы, которые вступают в силу с 1 июля, являются наиболее частыми нарушениями, которые Роскомнадзор выявлял в течение последних пяти лет. Ужесточение нашего законодательства связано с ужесточением законодательства в Евросоюзе.Например, если в форме обратной связи нет ссылки на соглашение на обработку персональных данных, компания должна будет заплатить 50 000 рублей. Если на сайте нет политики конфиденциальности, ИП оштрафуют на 10 000 рублей, компанию — на 30 000 рублей. Соглашение о политике конфиденциальности Интернет-сайта

Операторов персональных данных. Оператор — любая организация, ИП и физическое лицо, которые обрабатывают персональные данные, например, собирает электронные адреса для рассылки.

Определение из закона 152-ФЗ «О персональных данных»:

Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Соглашение о политике конфиденциальности Интернет-сайта

Любые данные о человеке, по которым его можно опознать. Точного перечисления в законе нет, но, например, если логин пользователя нам ни о чем не говорит, то электронная почта — это уже персональные данные.

Определение из закона 152-ФЗ «О персональных данных»:

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Соглашение о политике конфиденциальности Интернет-сайта

Неважно, используете ли вы эту информацию по отдельности или в сочетании — если вы как-то получаете ее от пользователей, вы — оператор персональных данных.

  • Email
  • Телефон
  • Имя, фамилия, отчество (и по отдельности)
  • Адрес
  • Дата рождения
  • Фотография
  • Ссылка на персональный сайт и профиль в соцсетях

Трактовка расплывчатая, но исходя из позиции судов и Роскомнадзора даже cookie, данные об IP-адресе, местоположении без указания фамилии и имени являются персональными данными. В деле LinkedIn (который заблокировали за использование cookie, сведений о поведении пользователя на странице и сведений о местонахождении) и провайдера Скартел позиция судов и Роскомнадзора подтверждается.

Если на вашем сайте есть любая форма сбора данных — обратной связи, подписки на рассылку, регистрации или личный кабинет, это считается обработкой персональных данных.

Соглашение о политике конфиденциальности Интернет-сайта

Хранение и сбор тоже попадают под определение обработки. Даже если вы собираете данные и через пару минут удаляете, это будет считаться обработкой персональных данных.

Определение из закона 152-ФЗ «О персональных данных»:

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Соглашение о политике конфиденциальности Интернет-сайта

Вам нужно сделать так, чтобы сайт соответствовал требованиям 152-ФЗ. Эти требования применимы для всех — физических лиц и компаний. Убедитесь, что вы соблюдаете следующие условия:

Хостинг и база данных с персональными данными должна располагаться на территории России. Об этом прямо говорят данные проверок Роскомнадзора (снова LinkedIn) и Закон № 242-ФЗ, который обязывает записывать, хранить, обновлять и извлекать персональные данные граждан РФ с использованием баз данных на территории России с 1 сентября 2015 года.Это касается иностранных компаний с юрлицом в России и без него, а также российских компаний, которые пользуются иностранными хостинг-провайдерами, дата-центрами и облачными платформами. Все осложняется тем, что требования Роскомнадзора до конца не ясны, приходится догадываться самим.

Если вы не понимаете, где хранить данные и что делать, обратитесь с запросом в Роскомнадзор или Минкомсвязи. И возможно у вашего хостинг-провайдера есть готовые решения на такой случай.

Под каждой формой сбора данных, включая сбор email, разместить текст «Нажимая на кнопку, вы даете согласие на обработку своих персональных данных». В тексте должна быть ссылка на документ — Пользовательское соглашение, Договор или согласие на обработку персональных данных. Текст самого документа можно разместить на отдельной странице.

Соглашение о политике конфиденциальности Интернет-сайта

В Тильде в каждом блоке с формой сбора данных есть поле, в котором можно разместить текст о согласии на обработку данных и ссылку на соглашение и таким образом выполнить требование закона.

Какая информация должна быть в соглашении об обработке персональных данных

Согласно ч.4 ст.

 9 закона 152-ФЗ «О персональных данных» в соглашении обязательно должна быть следующая информация:

  • наименование или фамилия, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
  • цель обработки персональных данных;
  • перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
  • наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
  • перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
  • срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;

Также нужно указать информацию о том, как физическое лицо может отозвать свое согласие на обработку персональных данных (ч.2 ст. 9 152-ФЗ «О персональных данных»).

Разместить на сайте в общем доступе (например, в подвале сайта) ссылку на документ — политику организации в отношении обработки персональных данных на сайте.

Показывать всем новым пользователям сайта предупреждение с текстом о том, что вы собираете метаданные пользователя (cookie, данные об IP-адресе и местоположении) для функционирования сайта и, если он не хочет, чтобы эти его данные обрабатывались, то должен покинуть сайт.

Соглашение о политике конфиденциальности Интернет-сайта

На Тильде блок с предупреждением находится в категории «Другое» под номером Т657

Подать уведомление, чтобы внести организацию в реестр операторов персональных данных Роскомнадзора — можно сделать через сайт.

Уведомление можно не подавать, если вы:

  • обрабатываете только данные работников и только для исполнения требований трудового законодательства (без передачи данных в банки, например, оформления зарплатного проекта)
  • обрабатываете данные, заключая договор с каждым клиентом и работником, и не передаете данные третьим лицам
  • обрабатываете персональные данные только на бумажных носителях.

Другие исключения, когда уведомление в Роскомнадзор можно не подавать, содержатся во втором пункте статьи 22 закона 152-ФЗ.

Подтверждать статус оператора в Роскомнадзоре не нужно. Вы или ваша компания итак уже является оператором, если имеет доступ к персональным данным.

Выше мы назвали главные требования, которые Роскомнадзор предъявляет ко всем сайтам — неважно, физическое вы лицо или юридическое. Ниже еще несколько групп требований, которые должны дополнительно выполнять юридические лица.

Что нужно еще сделать компаниям:

Назначить ответственных лиц и разработать пакет внутренних документов, регламентирующих процессы обработки и защиты персональных данных.

Правильно отрегулировать взаимодействие с физическими лицами, государственными органами и контрагентами. Это значит, вам нужно:

  1. Подписать с сотрудниками обязательства о неразглашении персональных данных, согласие на обработку персональных данных и под роспись ознакомить их с внутренними документами по персональным данным.
  2. Со всеми другими физическими лицами подписывать согласие на обработку персональных данных или добавлять пункты об обработке персональных данных в договоры, которые вы заключаете.
  3. Заключать поручения на обработку персональных данных, если вы передаете кому-то данные физических лиц (например, рекламным агентствам).
  4. Отвечать на запросы физических лиц по поводу обработки их персональных данных — не игнорировать, как часто делают.

Защитить персональные данные техническими и организационными мерами — антивирусными системами, средствами межсетевого экранирования, разграничить права доступа. Все это прописано в приказе ФСТЭК № 21. В зависимости от требований проверять компанию могут разные инстанции: Роскомнадзор, ФСТЭК и ФСБ России. Самые редкие случаи проверки для частных организаций — проверка технической защиты персональных данных, это делает ФСБ в малом количестве.

ФСТЭК

Федеральная служба по техническому и экспортному контролю

Основной риск представляет Роскомнадзор, проводящий тысячи проверок в год.

Если раньше сумма штрафов для юридических лиц не превышала 10 000 рублей, то с 1 июля она спокойно может доходить до 300 000 рублей. Если нарушений несколько, штрафов тоже будет несколько.

Например, если вам напишет пользователь и попросит уточнить или удалить его персональные данные с вашего сайта, а вы не предоставите эту информацию, то штраф для физических лиц будет до 2000 рублей, для ИП — до 20 000 рублей, для компаний — до 45 000 рублей. Все штрафы можно посмотреть в поправках к закону.

Читайте также:  Если есть завещание, кто имеет право по закону на наследство – как оспорить завещание для получения обязательной доли

Как правило, вначале Роскомнадзор присылает «письмо счастья», в котором указывает выявленные нарушения на сайте, связанные с неправомерной обработкой персональных данных. Хотя в случае с астраханскими сайтами, которых оштрафовали за форму обратной связи на сайте, проверку просто начали по алфавиту.

Пример «письма счастья»:

Еще Роскомнадзор может запросить большой список документов. Если проверка выявит нарушения, то Роскомнадзор может заблокировать сайт, наложить штрафы и в редких случаях приостановить деятельность компании. Не ждите «письмо счастья». Начните выполнять все основные требования, чтобы избежать плачевных последствий и штрафов.

Максим ЛагутинИллюстрации, дизайн и верстка: Юлия Засс

Если материал вам понравился, расскажите о нем друзьям. Спасибо!

Примеры политики конфиденциальности для интернет-магазина

Политика конфиденциальности для интернет магазина не только важна, но также обязательна, ведь деятельность e-commerce сопряжена с обработкой массивов персональных данных клиентов.

Чтобы сделать покупку в интернет-магазине, вам необходимо оставить хотя бы минимальные данные о себе. Это может быть телефон для связи в случае ускоренного заказа и расширенный перечень информации в случае регистрации:

  • ФИО;
  • Телефон;
  • Электронная почта;
  • Адрес доставки.

Сбором персональных данных занимаются не только торговые площадки, но это самый актуальный и показательный пример. Составлением и размещением правильной политики обработки персональных данных озабочены очень многие владельцы интернет магазинов.

Что такое политика конфиденциальности и зачем она нужна

Для сбора информации о посетителе сайта:

  • При регистрации;
  • Размещении заказа;
  • Подписки на рассылки;
  • владелец ресурса обязан разъяснить посетителю все возможные варианты и последствия сбора и использования его личной информации.
  • Это обязывает делать Закон 152-ФЗ «О персональных данных».
  • Согласно закона, если оператор осуществляет сбор персональных данных, то он обязан обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

Таким документом является политика конфиденциальности. В ней описывается то, в каком порядке посетитель предоставляет согласие на обработку своих данных, методы и цели их обработки, порядок обеспечения безопасности и конфиденциальности данных.

В частности, в политике конфиденциальности могут быть перечислены виды обезличенной информации, получаемые оператором. Это могут быть данные геолокации, cookie, IP и так далее.

Грамотно составленная политика конфиденциальности позволяет избежать получения письменного согласия владельца данных и регистрации как оператора персональных данных.

Более того, с июля 2017 года внесены изменения в ст. 13.11 КоАП, в связи с чем изменилось наказание за неисполнение требований закона.

Для чего нужна политика конфиденциальности 

Политика обработки персональных данных в интернет-магазине необходима для получения разрешения пользователей на использование их личной информации.

Эта практика — часть работы владельцев интернет-магазинов, так как процесс покупки товаров связан с передачей конфиденциальных данных.

При поступлении заказа происходит передача контактной информации для обработки заказа. Обрабатываются персональные сведения:

  • личные — имена, фамилии, адреса;
  • обезличенные — cookie-файлы, которые собираются сайтами.

Действительно ли политика конфиденциальности обязательна

Получение согласия от пользователей — настоятельная рекомендация многих специалистов, и лучше ей не пренебрегать. Тем не менее, в случае, если вы не обзавелись подобным документом, у вас есть аргументы в свою защиту.

Для начала, стоит выяснить, какая именно информация относится к персональным данным. Ни один правовой акт не даёт точного ответа на этот вопрос.

Во многих прецедентах одни и те же данные определялись как персональные и не определялись. В связи с этим необходимо быть осторожными и бдительными.

Вместе с тем, правильно составленный договор об оказании услуг и политика конфиденциальности способны вывести вас из-под удара. Далеко не всегда требуется согласие пользователя на обработку его данных. Так, ООО «В Контакте», представляющее известную социальную сеть, не зарегистрировано в реестре операторов Роскомнадзора.

Если же вы не защитили себя должным образом, то штраф в случае неуведомления РКН для юридических лиц составит до 5 000 рублей.

Что касается самого документа, то его наличие на сайте обязательно, если вы владелец сайта. Аналог политики конфиденциальности — Положение об обработке персональных данных — также желательно составить работодателям и предпринимателям, оказывающим Услуги физическим лицам.

Как и кем составляется

Владелец сайта может составить документ самостоятельно или обратиться за помощью к юристам. Составление политики конфиденциальности осложняется тем, что не существует единой утвержденной законом нормы. Формирование документа основывается только на рекомендациях Роскомнадзора. Согласно им, политики конфиденциальности должна включать в себя:

  • основания и цель сбора персональных сведений;
  • название организации и контактные данные;
  • информация о компании, занимающейся сбором и обработкой, сведения о доступе третьих лиц;
  • сведения о том, какая информация будет обработана;
  • сроки обработки и хранения.

Пример политики конфиденциальности

Соглашение о политике конфиденциальности Интернет-сайта

В нашем случае мы зашили основные положения о работе с данными регистрирующегося лица в Согласие на обработку персональных данных. Помимо него в форме регистрации предусмотрен Договор-Оферта и Пользовательское соглашение, что немаловажно наряду с политикой конфиденциальности.

Наш документ состоит из главных пунктов, предусмотренных законодательством:

  • Порядок предоставления согласия пользователем;
  • Данные юридического лица;
  • Перечень персональных данных;
  • Цель обработки персональных данных;
  • Основание для обработки персональных данных;
  • Совершаемые с данными действия;
  • Порядок передачи данных третьим лицам;
  • Порядок обработки и хранения данных;
  • Порядок отзыва персональных данных.

Соглашение о политике конфиденциальности Интернет-сайта

В каких еще случаях нужна политика конфиденциальности

Политика конфиденциальности публикуется только у операторов персональных данных. Это могут быть физические лица, компании или государственные организации, которые занимаются сбором, хранением, обработкой конфиденциальной информации. 

Если для работы на сайте пользователю необходимо только оставить имя или указать никнейм, политика конфиденциальности не нужна. В данном случае информация никак не поможет в идентификации личности человека.

Генераторы политики конфиденциальности

Генераторы — это специальные сервисы, формирующие документ об обработке персональных данных в соответствии с заданными пользователем параметрами. С их помощью может быть составлена политика конфиденциальности для интернет-магазина. Популярные сервисы:

  • artbashlykov.ru. Этот сайт обучает продажам методами интернет-маркетинга. Помимо обучающих материалов содержит стандартный генератор политики конфиденциальности, формирующий одинаковые для всех условия обработки данных.

Соглашение о политике конфиденциальности Интернет-сайта

  • tilda.cc. Конструктор для создания сайтов, включающий в себя конструктор профильного документа. Имеет более расширенные возможности при создании политики конфиденциальности.

Юридические ошибки интернет-магазина

Частые ошибки в юридической деятельности интернет-магазинов:

  • отсутствие юридического оформления договоров с поставщиками;
  • использование при описании товаров чужих фотографий;
  • отсутствие информации о доставке.

Отсутствие на сайте политики конфиденциальности

Все клиенты, заполняющие форму для покупки товаров в интернет-магазинах, передают сайту свои персональные данные, что регламентируется ФЗ «О персональных данных». Поэтому любой владелец ресурса, как оператор данных, должен соблюдать требования, прописанные в законе.

Оператор обязуется предоставлять всем пользователям информацию в открытом доступе, касающуюся сведений о политике обработки данных. За нарушение закона предусматривается штраф, в редких случаях компаниям удается отделаться предупреждением. 

Отсутствие в оферте полной информации о товаре и продавце

Продавец перед заключением сделки должен проинформировать покупателя о свойствах товара, особенностях продажи. В число таких сведений должны входить:

  • характеристики товара;
  • полное название продавца с указанием организационно-правовой формы;
  • адрес продавца;
  • место, где был изготовлен продукт;
  • стоимость товара, правила оплаты;
  • сведения о доставке;
  • информация о сроках годности и гарантиях.

Следует указать состояние продаваемого товара. Например, важно отметить, находился ли он ранее в употреблении, проводился ли ремонт или продукт продается новым.

Отсутствие на сайте необходимой информации о рекламодателе

Эта проблема характерна для продажи продуктов через интернет-магазина от различных поставщиков. ФЗ «О рекламе» указывает на то, что покупатели перед заключением сделки должны получить следующую информацию:

  • наименование организации, регистрационный номер юр.лица;
  • данные ИП, регистрационный номер физ.лица в качестве ИП.
Читайте также:  Можно ли исключить родственника из круга наследников

Обратите внимание на то, что рекламой не будет считаться информация о продаваемых товарах, размещенная с целью информирования посетителей. При указании отметок о проведении акций, мероприятий не нужно указывать информацию о рекламодателе, так как это сведения информационного характера.

Штрафы за несоблюдение политики конфиденциальности

КоАП РФ предусматривает штрафы для владельцев интернет-магазинов, не размещающих политику конфиденциальности. За ее отсутствие выписываются следующие штрафы:

  • для физических лиц — до 1 500 рублей;
  • для ИП — до 10 000 рублей;
  • для ООО — до 30 000 рублей.

Иногда Роскомнадзор принимает решение о блокировке ресурса до момента, пока нарушение не будет устранено. Разместить документ владелец сайта может оперативно, а дожидаться разблокировки придется длительное время. Поэтому при запуске сайта важно предусмотреть это.

Заключение

Политика конфиденциальности обязательна для всех операторов персональных данных. Ее необходимо размещать для того, чтобы обезопасить себя от санкций.

Она направлена на информирование пользователей об условиях работы на сайте, что необходимо в случаях предоставления персональных данных.

Составить документ можно самостоятельно, с помощью онлайн-генераторов или посредством консультации с юристом.

Сквозная аналитика Calltouch

  • Анализируйте воронку продаж от показов до денег в кассе
  • Автоматический сбор данных, удобные отчеты и бесплатные интеграции

Узнать подробнее

Кому нужна политика конфиденциальности на сайте и как ее разработать

Разберемся, кому без политики конфиденциальности не обойтись и как реализовать ее на своем ресурсе.

Кому нужна политика конфиденциальности на сайте

Закон обязывает публиковать политику конфиденциальности только операторов персональных данных. Чтобы понять, нужен ли такой документ на вашем сайте, сначала надо разобраться, что это за данные и кто такие операторы.

Первому понятию 152-ФЗ дает такое определение:

Персональные данные — любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Точного перечня в законе нет, но исходя из определения, можно сделать вывод, что персональными можно считать все данные, которые относятся к конкретному человеку и позволяют его идентифицировать. Также в тексте встречаются понятия общие, специальные и биометрические данные.

Соглашение о политике конфиденциальности Интернет-сайта

С операторами все проще — это любой человек, компания или государственный орган, который собирает, хранит, обрабатывает и совершает другие действия с персональными данными. Владельца интернет-ресурса можно отнести к операторам, если на сайте есть формы заказа, комментариев, регистрации и обратной связи, в которые человек вводит имя, фамилию, электронный адрес, номер телефона и т. д.

Если при отправке от пользователя требуют только имя или никнейм, политика конфиденциальности не нужна, так как по такой информации идентифицировать человека невозможно.

Разрабатываем и продвигаем сайты Подробнее

Как составить текст политики конфиденциальности

Утвержденной законом формы нет. Но есть перечень сведений, которые обязательно прописывать в документе.

  • На каком основании и с какой целью вы собираете персональные данные.
  • Ваши наименование, контактные данные и адрес.
  • Сведения о том, кто обрабатывает данные, если этим занимается другая компания, а также о третьих лицах, у которых есть доступ к ним.
  • Какие данные обрабатываете и из каких источников получаете, включая файлы cookie.
  • Сроки обработки и хранения персональных данных.
  • Каким образом вы соблюдаете права субъекта, предусмотренные законом «О персональных данных».
  • Информация о том, что вы передаете данные за пределы России.

Всю эту информацию можно изложить в свободной форме. Главное — чтобы документ содержал все сведения, которые требует закон, а также понятно разъяснял пользователю, что происходит с его персональными данными, как вы можете их использовать и что делаете, чтобы защитить его право на неприкосновенность частной жизни и личную тайну.

Копировать политику конфиденциальности с других сайтов не стоит. Как минимум, нужно адаптировать текст под свои условия обработки данных.

Называться на сайте документ может по-разному: политика в отношении персональных данных, политика конфиденциальности, пользовательское соглашение и т. д. Сути это не меняет и нарушением не считается.

Как оформить документ и разместить на сайте

Единственное требование законодательства в этом плане, чтобы субъекты персональных данных имели свободный и неограниченный доступ к политике конфиденциальности. В остальном владелец сайт волен сам решать, как лучше реализовать ее на сайте.

Обычно документ публикуют на отдельной странице и обеспечивают доступ в один клик с любой другой. Ссылки на политику конфиденциальности стоит разместить рядом с формами, где пользователь дает согласие на обработку. Также сноску на документы зачастую размещают в подвале или верхнем меню сайта.

Флажок «Согласие на обработку персональных данных» рядом с формами тоже обязателен. Согласно закону, собирать и обрабатывать информацию о пользователях можно только с их согласия, за исключением нескольких случаев, которые к сайтам не относятся. Более того, в случае проверки владелец ресурса должен иметь возможность доказать, что согласие было.

Соблюсти это требование на конструкторах и популярных CMS несложно — большинство разработчиков быстро среагировали и добавили такую возможность в свои продукты.

Для WordPress есть специальный плагин — «Политика конфиденциальности для сайта. Согласие под формами Contact-Form 7».

Он соответствует требованиям 152-ФЗ и позволяет :

  • автоматически добавлять галочки к формам комментариев и тем, что созданы с помощью плагина «Контакт Форм 7»;
  • создать и настроить страницу с политикой конфиденциальности;
  • настроить оповещение об использовании cookies;
  • настроить текст для флажка согласия на обработку;
  • задать установку этой галочки по умолчанию, хотя делать этого все же не стоит — пользователь должен дать согласие, а значит отметить чекбокс сам;
  • запретить отправку формы без нее.

Есть еще старые плагины, в том числе англоязычные, с помощью которых добавляются флажки для подписки на рассылку, принятия пользовательского соглашения и т. д. Однако новые продукты разрабатывались специально для соблюдения 152-ФЗ и настроить их под эти цели будет проще.

Напоследок еще несколько требований, о которых не стоит забывать

  • Нельзя собирать больше данных, чем нужно для достижения целей, прописанных в политике конфиденциальности.
  • Нельзя хранить и обрабатывать данные с использованием баз данных, размещенных на иностранных серверах.
  • Прежде чем начать собирать персональные данные, об этом нужно уведомить Роскомнадзор в бумажной или электронной форме. Перечень сведений есть в ст. 22 152-ФЗ.
  • Чтобы делегировать обработку персональных данных другим юридическим или физическим лицам, нужно заключить договор.
  • Оператор персональных данных обязан обеспечить их безопасность с помощью организационных, правовых и технических мер — инструктировать сотрудников, разработать локальные акты, обеспечить надежную защиту баз данных, исключающую утечку информации и доступ третьих лиц.

Политика конфиденциальности

Большинство сайтов содержит раздел «Политика конфиденциальности». Это незаметная ссылка, которую обычно располагают в подвале страницы. Владельцы сайтов размещают её неслучайно: они защищают себя от штрафа и блокировки Роскомнадзором. Позаботьтесь о ней тоже, если на вашем сайте есть корзина или форма обратной связи.  

Персональные данные — любая информация о посетителе страницы, которая позволяет его опознать. Например, имя, возраст, телефон, электронная почта, домашний адрес, фотография. Закон 152-ФЗ запрещает собирать, хранить и обрабатывать эти данные без согласия человека.  За нарушения владельцев сайтов штрафуют по ст. 13.11 КоАП.

Штрафы для ИП и ООО:

  • — Нет политики конфиденциальности: для ИП — от 5000 до 10 000 рублей, для ООО — от 15 000 до 30 000 рублей.
  • — Владелец сайта отказался сообщить пользователю, какие данные о нём собраны и с какой целью: для ИП — от 10 000 до 15 000 рублей, для ООО — от 20 000 до 40 000 рублей;
  • — Владелец сайта не удалил персональные данные по требованию пользователя: для ИП — от 10 000 до 20 000 рублей, для ООО — от 25 000 до 45 000 рублей
  • — Персональные данные оказались у третьих лиц: для ИП — от 10 000 до 20 000 рублей, для ООО — от 25 000 до 50 000 рублей.
  • — Обработка персональных данных противоречит целям сбора: для ИП — от 5 000 до 10 000, для ООО — от 30 000 до 50 000 рублей.
  • — Персональные данные обрабатывают без согласия посетителя сайта: для ИП — от 10 000 до 20 000 рублей, для ООО — от 15 000 до 75 000 рублей.
Читайте также:  Наследники по завещанию: права и возможности получателей

Кто находит нарушения и как

Сайты проверяет Роскомнадзор. Самая популярная причина проверки — жалоба клиента. Плановые проверки тоже бывают, но к малому бизнесу с ними приходят редко.

Пример:

Владимир планирует семейное путешествие в Грецию. Он оставил свои контакты на сайте компании «Горящие туры». Ему перезвонили и предложили слишком дорогую путёвку, поэтому он отказался. На следующий день Владимир получил СМС: «Турция, Стамбул, 22-28 марта, 30 000 руб.

/чел, отель 5 звёзд, подробности на сайте». Подобные СМС доставали его до самого отпуска. Когда он вернулся из поездки, рассылка продолжилась. Он позвонил в ООО «Горящие туры» и попросил больше не писать ему.

На следующий день получил очередное СМС — и не выдержал, написал жалобу в Роскомнадзор.

Роскомнадзор заблокировал сайт на время проверки. Политики конфиденциальности на сайте не обнаружилось. Владелец «Горящих туров» получил два штрафа: за отсутствие политики конфиденциальности и отказ удалить данные пользователя. Он заплатил 75 000 рублей. 

  1. Какие термины используют в законе
  2. Знание терминов пригодится, если будете читать нормативно-правовые акты или другие статьи по теме.
  3. Операторы персональных данных — владельцы сайтов.

Операторы собирают, обрабатывают и хранят персональные данные. Все три действия важно прописать в политике конфиденциальности.

  1. Сбор информации — получение сведений о человеке. Например, при заполнении формы.
  2. Обработка информации — передача сведений. Например, курьеру сообщают номер телефона покупателя, чтобы доставить товар.
  3. Хранение информации — это когда её не удаляют сразу после получения.

Что такое политика конфиденциальности

Владелец сайта берёт у каждого посетителя согласие на сбор, обработку и хранение персональных данных. Подписывать документ на бумаге — затруднительно, из-за этого сайт растеряет всех посетителей. Поэтому есть способ проще — выложить на сайт специальный документ.

В политике конфиденциальности прописывают, какую информацию и с какой целью собирают. Сообщают также, какое действие считается согласием на обработку персональных данных. Например, оформление заказа или заполнение формы — ч. 2 ст. 18.1 152-ФЗ.

Как принять политику конфиденциальности

1. Составьте документ

Подготовьте политику конфиденциальности в виде отдельного документа. Также можно включить правила обработки персональных данных в пользовательское соглашение или договор-оферту, если работаете по ним.

  • Проще всего подготовить политику конфиденциальности при помощи специальных сервисов — например, конструктора Тильды.
  • Пример политики конфиденциальности
  • В документе отразите:

— Перечень персональных данных. Например, имя, адрес, телефон. Не забудьте перечислить файлы cookie — обезличенные данные о посетителях, которые собирают Яндекс.Метрика и Гугл.Аналитика.

— Цели сбора и обработки. Например, исполнение договора, создание рекламных акций, продвижение товаров, улучшение сайта.

— Срок хранения. Он должен соответствовать целям.

— Меры защиты персональных данных. Например, резервное копирование.

— Какое действие считать согласием пользователя. Например, проставление галочки, создание личного кабинета, заполнение формы.

2. Опубликуйте политику конфиденциальности на сайте

Пользователю должно быть понятно, на что он соглашается. Когда он заполняет форму или регистрируется, покажите ему ссылку на политику конфиденциальности. При заходе на сайт — предупредите, что обрабатываете файлы cookie. Обычно используют всплывающее окно с кнопкой «ок».

Опубликуйте документ в доступном месте. У посетителей должна быть возможность в любой момент ознакомиться с ним. Обычно политику конфиденциальности прячут в подвал, чтобы ссылка не отвлекала от содержания сайта.

3. Уведомите Роскомнадзор

Владельцы сайтов, которые собирают персональные данные, обязаны уведомлять Роскомнадзор. За отсутствие уведомления штрафуют по ст. 19.7 КоАП РФ: ИП — на сумму до 500 рублей, ООО — до 5000 рублей.

Роскомандзор необязательно уведомлять, только если:

  1. Пользователи сами выкладывают свои данные в открытый доступ. Например, пишут ФИО и телефон на площадке для объявлений.
  2. Пользователи отправляют только ФИО.
  3. Вы получаете персональные данные только для исполнения конкретного договора с клиентом. Например, на сайте киносалона открыта онлайн-запись на платную встречу с режиссером. Посетитель оставляет имя, телефон и электронную почту. После мероприятия эти данные удаляются.

Лучше всё равно подстраховаться: уведомление бесплатное. 

Форма уведомления

4. Назначьте ответственного за хранение персональных данных

Обычно ответственность возлагают на сотрудника, который работает с данными — кадровика, оператора колл-центра, менеджера продаж. Если вы ИП и работаете один — на самого себя.

5. Храните данные на серверах в России

Хранить персональные данные за пределами России запрещено по ст. 18 152-ФЗ. Если арендуете хранилище, узнайте, в какой стране расположены серверы.

????

Новым ИП — год Эльбы в подарок

Год онлайн-бухгалтерии на тарифе Премиум для ИП младше 3 месяцев

Попробовать бесплатно

Почему важно защищать персональные данные

Брать согласие с посетителей сайта — недостаточно. Важно не передавать сведения третьим лицам и физически защитить их от утечки. Установите пароли к компьютерам и серверам, где храните информацию. Ограничьте к ним доступ своих сотрудников без необходимости. Бумажные документы храните в сейфе.

Если персональные данные стали известны кому-то ещё — это плохо. Пострадавший имеет право пойти в суд и потребовать компенсацию за Моральный вред по ст. 24 152-ФЗ.

Пример из судебной практики:

Мама Евгения взяла Кредит. Рассчитаться по нему она не успела: умерла. На сына обрушились звонки от коллекторов. Он пошёл в суд и заявил, что не принимал Наследство, поэтому не отвечает по долгам.

Что важно для нашей темы, Евгений добавил: банк передал коллекторам номер его телефона, а он не подписывал на это согласия. Суд встал на сторону Евгения. Банк выплатил ему компенсацию за моральный вред.

Апелляционное определение Хабаровского краевого суда № 33-2412/2013

Статья актуальна на  25.05.2022

Политика конфиденциальности для сайта

Подборка наиболее важных документов по запросу Политика конфиденциальности для сайта (нормативно–правовые акты, формы, статьи, консультации экспертов и многое другое).

Формы документов: Политика конфиденциальности для сайта

Статьи, комментарии, ответы на вопросы: Политика конфиденциальности для сайта

Зарегистрируйтесь и получите пробный доступ к системе КонсультантПлюс бесплатно на 2 дня

Открыть документ в вашей системе КонсультантПлюс:«Научно-практический постатейный комментарий к Федеральному закону «О персональных данных»(2-е издание, переработанное и дополненное)(Савельев А.И.)

(«Статут», 2021)

8. Политику конфиденциальности целесообразно сделать доступной по соответствующей гиперссылке, размещенной на главной странице и иных интернет-страницах, особенно если там содержатся формы для заполнения персональных данных. При этом такая гиперссылка должна быть заметной и очевидной с точки зрения содержимого документа, к которому она отсылает. Отсутствие размещенной в сети Интернет политики конфиденциальности является одним из наиболее распространенных типов нарушений законодательства о персональных данных, которое достаточно легко выявляется в ходе мероприятий Роскомнадзора по контролю без взаимодействия с оператором (см. комментарий к ст. 23 Закона). Отсутствие опубликованной на веб-сайте политики конфиденциальности является основанием для привлечения к административной ответственности по ч. 3 ст. 13.11 КоАП РФ, а также одним из возможных оснований для блокировки интернет-ресурса (Апелляционное определение Московского городского суда от 26 февраля 2019 г. по делу N 33-8756/2019).

Зарегистрируйтесь и получите пробный доступ к системе КонсультантПлюс бесплатно на 2 дня

Открыть документ в вашей системе КонсультантПлюс:Статья: Legal design: новые вызовы и новые возможности(Янковский Р.М.)

(«Закон», 2019, N 5)

Наблюдая за клиентом, за его словами и действиями, Юрист должен анализировать не только рациональные, но и эмоциональные причины его поступков и поступков его контрагентов.

Сложно понять, почему клиент не хочет приобрести прекрасную (и недешевую) услугу по разработке политики конфиденциальности для сайта, но можно вспомнить, когда вы в последний раз сами внимательно изучали такую политику, прежде чем кликнуть на кнопку «Согласен» (скорее всего, никогда).

Нормативные акты: Политика конфиденциальности для сайта

Зарегистрируйтесь и получите пробный доступ к системе КонсультантПлюс бесплатно на 2 дня

Открыть документ в вашей системе КонсультантПлюс:Решение Карельского УФАС России от 18.03.2022 по делу N 010/05/18-786/2021Нарушение: ч. 1 ст. 18 Закона о рекламе.

Решение: Предписание не выдавать.

Комиссия полагает, что факт наличия надлежащего согласия заявителя на получение рекламы не доказан, поскольку, во-первых, невозможно достоверно установить, что именно заявитель осуществлял регистрацию на сайте https://justclick.ru в 2012, 2013,2016 годах, во-вторых, при регистрации на сайте в 2012,2013 годах заявитель в любом случае не мог быть ознакомлен с Политикой конфиденциальности от 26.05.2014, а также выразить согласие на получение рекламы ООО «ДБ» и ООО «ДА», поскольку указанные общества зарегистрированы в качестве юридических лиц в 2014 году, в-третьих при регистрации на сайте любого пользователя им не предоставлена возможность отказаться от получения информации.

Leave a Comment

Ваш адрес email не будет опубликован. Обязательные поля помечены *