+7 (3842) 76-19-02

Новости

Актуальные новости и полезные статьи из мира интернет маркетинга

Зачем нужна “Политика конфиденциальности” на сайте?

167 1 Июля 2017

Зачем нужна “Политика конфиденциальности” на сайте?

С 1 июля 2017 в связи с ужесточением законодательства (Закон N 152-фз «О персональных данных») выдвигаются новые требования к владельцам сайтов и агентствам.

Перечень изменений:

1. Суды стали относить данные о поведении пользователя на сайте, cookie, сведения о его геопозиции и IP-адрес к персональным данным. Из-за этого уже попали LinkedIn и МГТС. Роскомнадзор того же мнения и в списке запрашиваемой информации у проверяемых организаций добавил трактовку того, что он относит к пользовательским (персональным) данным.  

2. 1 июля 2017 года, кратно увеличены число и размер штрафов за нарушения требований обработки персональных данных. Если раньше сумма штрафов в большинстве случаев не превышала 10 000 рублей, то теперь она может спокойно доходить до 300 000 рублей.

Теперь штрафовать Роскомнадзор может не по одной статье 13.11 Кодекса об административных правонарушениях (КоАП), а по семи:

1) ч.1 ст.13.11 КоАП - До 50 000 рублей для юр. лиц 
1. Когда через сайт собираются сканы паспортов и иных документов. Роскомнадзор считает именно сканы документов избыточной информацией.
2. Обработка не в тех целях, когда это требуется (например, взяли для исполнения договора, но попутно рассылаем email-рассылки)

2) ч.2 ст.13.11 КоАП- До 75 000 рублей для юр. лиц
1. Сбор, хранение и обработка специальных персональных данных (сведения о здоровье, о вероисповедании, политических взглядах и тд) на сайте без явного согласия на обработку таких данных.
2. Проведение онлайн-скоринга его данных (включая IP, cookie и сведения из аккаунтов в соц.сетях) без явного согласия на обработку персональных данных в целях скоринга
3. Отсутствие в согласии или оферте списка третьих лиц, кому могут передаваться персональные данные
4. Неисполнение требований к форме согласия на обработку персональных данных, описанных в ч.4 ст.9 152-ФЗ (пруфлинк)

3) ч.3 ст.13.11 КоАП - До 30 000 рублей для юр. лиц
1. Отсутствие на сайте или странице мобильного приложения общедоступной ссылки на Политику организации в отношении обработки персональных данных.

4) ч.4 ст.13.11 КоАП - До 40 000 рублей юр. лиц
1. Игнорирование запросов физических лиц по поводу обработки и защиты их персональных данных.
2. Ответ на запрос в сроки, превышающие установленные законом
3. Предоставление ложной информации

5) ч.5 ст.13.11 КоАП - До 45 000 рублей для юр. лиц
1. Игнорирование запросов физических лиц и Роскомнадзора по поводу прекращения обработки персональных данных и их уничтожении
2. Нарушение сроков предоставления ответов на поступившие запросы

6) ч.6 ст.13.11 КоАП - До 50 000 рублей для юр. лиц
1. Отсутствие списка лиц, допущенных к такой обработке
2. Отсутствие раздельного хранения данных

7) ч.7 ст.13.11 КоАП - до 6 000 рублей для должностных лиц
1. Сабж

3. Роскомнадзор получил право выносить административные дела по вышеперечисленным статьям нарушений без Прокуратуры. То есть теперь от штрафа точно не отделаться.

4. Все базы персональных данных должны первоначально собираться и обрабатываться на территории Российской Федерации. С учётом того, что Роскомнадзор считает персональными данными также и данные посетителей сайта, то это касается практически любого сайта. За нарушение этого требования Роскомнадзор их блокирует. 

Что является персональными данными?

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Так выглядит трактовка термина в законе 152-ФЗ «О персональных данных» и она более чем размытая.
Исходя из позиции судов и Роскомнадзора, персональными данными является информация вплоть до пользовательских данных. Именно на позицию судов за неимением более четких трактовок необходимо ссылаться.

Если в форме обратной связи есть поле «Имя» или «Представьтесь», то вкупе с автоматически передаваемыми cookie и другими метаданными это будет являться персональными данными.
Нововведения станут сюрпризом для Интернет-магазинов, которые поставляют товары или услуги. Как правило, при оформлении заказа они собирают данные, по которым можно идентифицировать личность: фамилию, адрес. Предвидя возражения, что не все указывают реальное имя, советуем все же избежать нарушений заблаговременно. И естественно, что у каждого владельца Интернет-магазина должен быть подготовлен ряд необходимых документов, фиксирующих все данные о том, как в компании следят за соблюдением закона «О персональных данных».

Список минимальных требований для владельцев сайта и агентств

Чтобы не попасть на штрафы и не получить блокировку сайта, советуем применить следующие меры: 

1.   Под каждой формой ввода данных на сайтах и в мобильных приложениях (форма регистрации, заявки, обратной связи и т.д.) разместить текст «Нажимая на кнопку НАЗВАНИЕ_КНОПКИ, я даю согласие на обработку персональных данных», где текст «согласие на обработку персональных данных» является ссылкой на сам документ. Вместо согласия можно использовать единую публичную оферту, но в ней нужно прописать, в каких целях, какие данные обрабатываются, то есть указать всё, согласно ч.4 ст.9 152-ФЗ. В этом случае обязательно хранить логи, чтобы в случае чего доказать Роскомнадзору, что тот или иной пользователь действительно заходил на сайт и оставлял там свои персональные данные.

Screenshot_1.png

2.   Владельцу сайта необходимо утвердить приказом Политику в отношении обработки персональных данных и разместить её в своём офисе, на сайте и в мобильном приложении в общем доступе. Проще всего это реализовать, вставив ссылку на документ в футер. При этом с данным документом регистрирующийся не должен соглашаться при заполнении формы.

3.   Перенести сайт на территорию РФ и узнать у технической поддержки хостинг-провайдера или ЦОДа адрес месторасположения вашего сервера (узнать вплоть до здания). Эту информацию Роскомнадзор умеет проверять, так как также контролирует операторов связи, обмануть его не получится.

4.   Указать email, куда физическое лицо может обратиться за тем, чтобы его персональные данные были удалены, заблокированы и вообще куда он может задать вопрос по персональным данным. Можно всё отправлять и на общую почту, но вы тогда должны проконтролировать, что письмо, касающееся персональных данных, будет отфильтровано и не проигнорировано.

5.   Агентству и владельцу сайтов необходимо подать уведомление об обработке персональных данных и помимо всего прочего указать там адреса местонахождения баз персональных данных и перечень персональных данных, которые в ней содержатся.

6.   Агентству/студии и владельцу сайта, в случае если агентство имеет доступ к персональным данным из заявок, БД или просто привлекает клиентов, необходимо заключить соглашение об обеспечении безопасности персональных данных, в котором будет указано, какие персональные данные агентство/студия может обрабатывать, в каких целях и какие действия с ними выполнять. Также там должны быть требования по защите персональных данных, но защиту у частных компаний не проверяют.

7.  Поставить на сайте дисклеймер, который будет уведомлять посетителей сайта, что его персональные данные обрабатываются на сайте в целях его функционирования и если он не согласен, то должен покинуть сайт. В противном случае это будет являться согласием на обработку его персональных данных.
Данный список содержит лишь минимальный перечень требований Роскомнадзора, полный список содержится в законе N 152-фз «О персональных данных».
 

Возврат к списку

Подпишитесь на новости


Будьте в курсе последних событий в мире digital