Все интернет-площадки, занимающиеся сбором данных о посетителях, их обработкой и передачей третьим лицам, обязаны размещать на своём сайте политику конфиденциальности. Этот документ не является типовым, а адаптируется под конкретный бизнес, его цели, задачи. Отличаться могут и способы обработки информации. Важно, чтобы документ был и находился в свободном доступе. В противном случае сайт могут заблокировать, а владельца оштрафовать.
Что такое политика конфиденциальности
Это документ, в котором описываются способы сбора и обработки персональных данных (ПДн), цели, задачи, а также, как осуществляется защита. Он должен содержать конкретный список данных, которые собирают, например:
- ФИО;
- номер телефона;
- e-mail;
- дата рождения;
- адрес страниц в соцсетях.
Человек, чьи данные собираются, называется субъектом, а компания или ИП, которые собирают, – операторами.
Второй аспект – это объяснение цели сбора, например, для оптимизации работы сайта или обслуживания клиентов.
Также из политики должно быть понятно, кому сведения передаются.
Название документа имеет несколько синонимов, которые могут использоваться на сайте:
- пользовательское соглашение;
- privacy policy;
- политика приватности;
- положение об обработке персональных данных;
- политика защиты ПДн.
Когда privacy policy необходима
- При сборе ПДн на сайте в момент регистрации. Их могут собирать при подписке на рассылки, для доставки заказов, если это интернет-магазин.
- При использовании личной информации. Она может задействоваться в маркетинговых целях, для рассылки новостей или рекламы, для веб-аналитики. Все цели надо расписать и добавить пункт о том, как можно отказаться от рассылок, рекламы.
- При передаче третьим лицам. Если владелец компании планирует передавать сведения подрядчикам, партнёрам, рекламодателям, в документе надо указать этих лиц, а также прописать способы защиты информации.
Пользовательское соглашение обязательно должно присутствовать на сайте, если на нём размещены формы:
- для сбора данных;
- регистрации;
- обратной связи;
- отзывов,
а также, если используются файлы-сookie.
Чем грозит отсутствие или нарушение пользовательского соглашения
Работу с ПДн в РФ регулирует ФЗ-№ 152. Согласно ему запрещается собирать, обрабатывать и передавать личные данные без согласия их владельца. В нём прописаны права субъекта и обязанности оператора.
Меры ответственности за нарушение закона отражены в ст. 13.11 КоАП.
Если на сайте нет пользовательского соглашения, бизнесу грозит штраф:
- для физлиц – от 1500 до 3000 руб.;
- для должностных лиц – от 6 до 12 тыс. руб.;
- для малых предприятий и ИП – от 10 до 20 тыс. руб.;
- для среднего и крупного бизнеса – от 30 до 60 тыс. руб.
Но штраф можно заработать, даже если на сайте размещена privacy policy, но её положения нарушаются. Например:
- если документ есть, но его положения не соблюдаются, то владельца оштрафуют на 60-100 тысяч рублей;
- в документе отсутствуют пункты, в которых разъясняется, как происходит обработка сведений, – сумма штрафа может составить от 40 до 80 тысяч рублей;
- если пользователь обращается к владельцу компании с просьбой исправить данные, но последний не реагирует, его могут наказать штрафом от 50 до 90 тысяч рублей.
За повторные нарушения наказания ужесточаются вплоть до блокировки страницы.
Основные разделы положения об обработке персональных данных
Каждый пункт положения должен содержать название, краткое описание сути. Само описание должно быть ясным, чётким, без воды, сложных для восприятия формулировок. Обязательные пункты:
- Общие положения. Здесь указывают:
- название документа;
- цель;
- сведения об операторе.
- Основания обработки ПДн – это законы, юридически акты, а также согласие пользователя. Рекомендуется прописывать словами, что проставление галочки в соответствующем окне расценивается как согласие.
- Цели сбора и обработки данных. Необходимо доступным языком рассказать, для чего оператору нужны сведения. Формулировки этого пункта не должны иметь ни единой непонятности или двойного толкования, поскольку любая из подобных недоработок может обернуться заявлением пользователя в Роскомнадзор.
- Перечень сведений, которые оператор хотел бы собрать. Важно, чтобы каждый пункт перечня отвечал поставленным целям. РКН следит, чтобы оператор не собирал информации больше, чем требуется для реализации поставленных целей.
- Порядок обработки сведений. Это один из наиболее объёмных пунктов, в котором оператор должен описать, как:
- и для чего будет собирать сведения;
- долго собирается их хранить;
- уничтожит после истечения срока хранения.
- Меры безопасности. В этом пункте надо рассказать о том, как оператор планирует защитить ПДн от утечки. Например, описать способы шифрования, отметить, что не планируется передавать личную информацию третьим лицам.
- Права пользователей. Человек вправе в любой момент отозвать разрешение на предоставление ПДн. Это право обязательно должно быть зафиксировано в privacy policy. Среди других прав – свободный доступ к ПДн, возможность их редактировать, а также удалять.
- Контакты для связи с оператором. Здесь обычно указывают e-mail, куда можно обратиться с вопросом или жалобой.
Если оператор планирует передавать информацию третьим лицам или за пределы России (трансгранично), то в privacy policy надо внести пункт о том, как и зачем это будет делаться, а также гарантии, что передача не приведёт к утечке.
Как составить
- Определите виды данных, которые хотите собирать:
- личные;
- контактную информацию;
- финансовые сведения, например, номера карт;
- Информацию об активности пользователя – сколько раз посещал страницы, как долго на них оставался.
- Сформулируйте цели сбора:
- для рассылок;
- для доставки заказов;
- для аналитических исследований с целью улучшения работы сайта.
- Опишите способы защиты. Составьте подробное описание того, где будут храниться ПДн и как они будут защищены от попадания в открытый доступ. Это могут быть протоколы защиты, системы шифрования.
- Опишите, какие сведения собираетесь передавать третьим лицам (партнёрам, подрядчикам), а также гарантии, что посторонние лица также будут защищать полученную личную информацию.
- Перечислите права клиентов в отношении ПДн, которые они передают:
- иметь доступ к ним;
- возможность изменять или удалять информацию о себе;
- право на отказ от предоставления сведений.
- Внесите контакты, куда посетитель может обратиться с вопросом или жалобой. Обычно это адрес электронной почты или службы поддержки.
- Проверьте вместе с юристом, что все положения документа соответствуют букве закона.
Способы составления
- Документ можно составить самостоятельно, включив в него обязательные положения и пункты. Способ не подойдёт для тех, у кого нет опыта в составлении юридических актов.
- Создать privacy policy по шаблону. Найдите в интернете сайт, схожий по содержанию с вашим, и по готовой политике составьте свою.
- Можно воспользоваться онлайн-конструктором. Введите в поля запрашиваемые сведения и нажмите кнопку «Составить». Машина выдаст готовое соглашение, которое сразу можно размещать.
- Обратитесь к юристу. Этот способ самый надёжный, поскольку специалист не упустит ни одного нюанса.
Где разместить политику на сайте
Ссылку на соглашение об обработке данных можно разместить:
- В основном навигационном меню. Это место видно на каждой странице и позволяет пользователям легко находить информацию о конфиденциальности.
- В футере (нижней части страницы) — это распространенная практика. Обычно такая ссылка остаётся неизменной на всех страницах, что обеспечивает пользователям доступ к соглашению независимо от того, какой раздел сайта они просматривают.
- На странице регистрации или подписки, если таковая имеется.
- В разделах «О нас» или «Контакты».
- На всплывающее окно согласия (Cookie Banner) на использование файлов cookie, которое появляется при первом посещении сайта.
Рекомендации:
- Политика конфиденциальности должна быть легко доступной и понятно изложена, чтобы посетители могли быстро найти информацию.
- Следите, чтобы текст политики постоянно обновлялся в соответствии с изменениями в законодательстве и внутренними процессами.
Правильное размещение политики конфиденциальности на сайте поможет создать доверие у пользователей и выполнить юридические обязательства.
Как брать согласие пользователей
При сборе согласия необходимо создать описание, из которого посетили поймут, на что они соглашаются, а также для каких целей проводится сбор ПДн.
Вот несколько шагов и рекомендаций, как это сделать правильно:
- Специфичность разрешения. Если вы собираете информацию для разных целей, лучше всего запрашивать отдельные согласия для каждой. Например, одно для маркетинговых рассылок, другое — для аналитики. Не допускайте предположений: разрешение должно быть активным (т. е. посетитель должен нажать галочку) и не может быть подразумеваемым.
- Использование форм и чекбоксов. Включите не предустановленные чекбоксы в формы регистрации или подписки. Посетитель должен сам выбрать опцию согласия.
- Разрешение в cookie-banner. При первом посещении сайта показывайте посетителю всплывающее окно, объясняющее, что используются файлы cookie, и запрашивайте разрешение на их использование, указывая ссылку на политику приватности.
- Возможность отзыва согласия. Человек должен иметь возможность в любой момент отозвать своё согласие. Укажите, как это сделать.
- Документирование согласия. Ведите учёт того, когда и как пользователи дали разрешение. Записи пригодятся в случае аудита или запроса Роспотребнадзора.
- Регулярный пересмотр. Периодически пересматривайте свою privacy policy и методы сбора согласия, чтобы оставаться в соответствии с актуальными нормами и практиками.
Соблюдение правил сбора согласия на обработку ПДн не только поможет избежать юридических проблем, но и способствует повышению доверия пользователей к интернет-ресурсу. Это важно для создания положительного имиджа компании и формирования долгосрочных отношений с клиентами.
Обновление privacy policy
Политику приватности нельзя разработать раз и навсегда. Изменения происходят в компании, меняется законодательство, появляются новые правила и условия. Всё это следует отражать в privacy policy. Приведём примеры, когда обновление необходимо:
- компания изменила цели сбора информации;
- появились новые категории субъектов ПДн;
- изменилось законодательство;
- обновились внутренние регламенты;
- у владельца компании появилась необходимость передавать сведения третьим лицам;
- компания внедрила новые способы сбора и обработки данных.
Заключение
Размещение политики конфиденциальности на сайте компании – обязательное требование закона о персональных данных. Его несоблюдение приведёт к штрафным санкциям, а также может стать причиной блокировки страницы. Чтобы избежать проблем с контролирующими органами и не получить штраф, важно правильно составить документ, внести в него все необходимые положения и разместить его правильно. Лучше всего доверить работу по составлению privacy policy юристу.
Кроме этого, важно регулярно обновлять соглашение, внося в него пункты, описывающие новые обстоятельства.