Политика конфиденциальности

По многочисленным просьбам трудящихся вебмастеров и владельцев сайтов мы опубликовали бесплатный образец Политики конфиденциальности для сайтов с формой обратной связи, подписки или заказа звонка.

Решились на такой шаг, потому что данная форма Политики не предусматривает обработку персональных данных, и в результате не предполагает большой вариативности решения. Важно помнить, что она не подходит для сайтов, на которых обрабатываются ПДн. Например, интернет-магазины и прочие сервисы, на которых помимо номера телефона или email пользователем дополнительно предоставляются иные сведения о себе, требуют большего внимания к вопросам обработки персональных данных.

Поэтому мы подумали над вариантами составления «народной» Политики конфиденциальности с обработкой ПДн. Простым шаблоном здесь не обойдешься. Взяли за основу вышедшие в 2017 году Рекомендации Роскомнадзора (далее – «Рекомендации») по составлению документа, определяющего политику оператора в отношении обработки персональных данных (далее – «Политика). Дополнили ее живыми примерами.

Смотрим, что получилось.

Пролистываем первые 2 раздела Рекомендаций в связи с их бессодержательностью В разделе 1 Роскомнадзора заявляет, что Рекомендации разработаны в целях выработки унифицированных подходов к структуре и форме Политики. Охотно верим и следуем пожеланиям ведомства для облегчения дальнейшей работы с ревизорами. В разделе 2 процитированы основные понятия из ФЗ «О персональных данных». Пропускаем за ненадобностью. При желании в Политику лучше ввести собственные термины, уточняющие легальные. В разделе 3 наконец пошли долгожданные советы по структуре и наполнению Политики. Остановимся на них подробно. В указанном разделе рекомендуется описать назначение Политики, а также включить основные понятия, используемые в ней (обработка персональных данных, оператор, субъект персональных данных, конфиденциальность персональных данных и т.д.), перечислить основные права и обязанности оператора и субъекта (ов) персональных данных. По задумке авторов Рекомендаций Политика, как любой серьезный документ, должна иметь внушительные размеры, чтоб все прониклись уважением и трепетали от одного ее упоминания.

Итак, начнем с определений. Чтоб не повторять ФЗ 152, предлагаем делать отсылки к конкретным пунктам и разделам Политики, которые конкретизируют используемые понятия. Ниже приведен пример с терминами и определениями Политики конфиденциальности для интернет-магазина.

1.1. В настоящем документе и вытекающих или связанных с ним отношениях Сторон применяются следующие термины и определения:

Персональные данные – предоставляемые субъектом персональных данных или его представителем данные, объем и состав которых указаны в п.Х.Х. Политики.

Администрация – ООО «Ромашка», ИНН ХХХ, ОГРН ХХХ, Адрес: ХХХХХ, в законном владении и/или управлении которого находится Сайт. В предусмотренных настоящей Политикой случаях Администрация выступает в качестве оператора персональных данных.

Пользователь – лицо, использующее Сайт в целях заключения и/или исполнения Договоров.

Договор – пользовательское соглашение использование Сайта, договор купли-продажи, договор поставки, договор перевозки и/или иное соглашение, предлагаемое к заключению и/или заключенное Пользователем на основании любой оферты, размещенной на Сайте.

Обработка персональных данных – действие (операция) или совокупность действий (операций) с персональными данными, перечисленные в п.Х.Х. Политики.

Сайт – автоматизированная информационная система, доступная в сети Интернет по сетевому адресу: /URL/.

1.2. В настоящей Политике используются термины и определения, предусмотренные Соглашением, а также иными заключаемыми с Пользователем Договорами, если иное не предусмотрено настоящей Политикой или не вытекает из ее существа. В иных случаях толкование применяемого в Политике термина производится в соответствии с действующим законодательством Российской Федерации, или обычаями делового оборота. Согласно Рекомендациям, обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Если нет желания вставать на учет в Роскомнадзоре и проходить последующие обязательные проверки, мы предлагаем связать все цели обработки ПДн с заключением и исполнением договоров. Роль такого договора может выполнять Пользовательское соглашение, принимаемое всяким пользователем в начале использования Сайта, либо иное соглашение, предлагаемое владельцем Сайта.

В результате мы получаем достаточно стандартный набор целей:

1. Заключение с пользователем договоров на использование или с использованием Сайта.
2. Идентификация пользователя в рамках исполнения обязательств по заключенным с ним договорам.
3. Исполнение обязательств по заключенным договорам, включая предоставление пользователю доступа к Сайту и технической поддержки, использование пользователем функциональных возможностей Сайта.
4. Выставление счетов и возврат остатка денежных средств в случае расторжения заключенных с пользователем возмездных договоров.
5. Нотификация в рамках информационного обслуживания, рассылок и улучшения качества обслуживания по заключенным Договорам, в том числе с привлечением третьих лиц.

Согласно разъяснению Роскомнадзора, правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных. При наличии указанной выше связки в качестве правового основания обработки персональных данных могут быть указаны договоры, заключаемые между оператором и субъектом персональных данных. Если ПДн обрабатываются в иных целях, в качестве основания необходимо указывать отдельное согласие на обработку персональных данных. Роскомнадзор предупреждает, что содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. С учетом данных рекомендаций Роскомнадзора указываем в Политике те сведения, персонального характера, которые вы собираете с использованием Сайта. В первую очередь приводим данные из полей онлайн-форм обратной связи, заказа, подписки и регистрации. Затем обращаем пристальное внимание на состав информации, вносимой пользователем при заполнении профиля в личном кабинете. Дополнительно указываем данные, которые запрашиваются поддержкой или отделом продаж при оформлении или обработке заявок по телефону или в местах обслуживания. В данном разделе Роскомнадзор рекомендует указывать перечень действий, совершаемых оператором с персональными данными субъектов, а также используемые оператором способы обработки персональных данных и сроки обработки персональных данных. Выбираем. ФЗ 152 предусмотрен следующий перечень операций с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Способы обработки могут включать:

а) автоматизированную обработку персональных данных б) обработку персональных данных без использования средств автоматизации. Согласно определению, данному в ФЗ 152, автоматизированная обработка персональных данных представляет собой обработка персональных данных с помощью средств вычислительной техники. Казалось бы, что сюда попадают любые действия с ПДн, выполняемые с использованием вычислительной техники. Но не все так просто. Смотрим Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждено постановлением Правительства РФ от 15 сентября 2008 г. N 687. В п.1 указано, что обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее — персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее (п.2). Иными словами, если ПДн не используется, не уточняются, не распространяются и не уничтожаются в ИПДН вашего сайта в автоматическом режиме без участия человека, можно смело выбирать второй способ обработки — обработку персональных данных без использования средств автоматизации. Результатом этого простого действия будет легальный отказ от применения драконовских требований ФЗ 152 по обработке автоматизированной обработке ПНн в информационной системе.

В отношении сроков обработки ПДн предлагаем указывать как минимум срок действия договора, во исполнение которого запрашивались ПДн. Можно добавить к сроку действия договора 3 года исковой давности на защиту прав в связи с его исполнением.

Роскомнадзор напоминает, что при осуществлении хранения персональных данных оператор персональных данных обязан использовать базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона «О персональных данных». Отражать данный пункт в Политике не обязательно, поскольку он связан с фактическими обстоятельствами. Хотя для проформы можно включить в Политику декларативную статью об обработке ПДн на территории России.

Далее Роскомнадзор рекомендует указывать условия передачи персональных данных в адрес третьих лиц. Важный момент. Обычно данный перечень сводится к следующим основаниям передачи ПДн:

• Пользователь выразил свое согласие на такие действия;
• Передача требуется для заключения и исполнения договоров на или с использованием Сайта;
• По запросу суда или иного уполномоченного государственного органа в рамках установленной законодательством процедуры
• Для защиты прав и законных интересов в связи с нарушением заключенных с пользователем договоров.

В определенных пределах данный перечень можно расширить на случаи продажи Сайта или передачи ПДн в обезличенном виде. Помимо этого Роскомнадзор рекомендует указывать в данном разделе Политики сведения о соблюдении требований конфиденциальности персональных данных, установленных ст. 7 Федерального закона «О персональных данных», а также информацию о принятии оператором мер, предусмотренных ч. 2 ст. 18.1, ч. 1 ст. 19 Федерального закона «О персональных данных». На практике данные сведения сводятся к заявлению, что администрация Сайта осуществляет хранение Персональных данных и обеспечивает ее охрану от несанкционированного доступа и распространения в соответствии с внутренними правилами и регламентами. Роскомнадзор рекомендует включить в Политику регламент(ы) реагирования на запросы/обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным, а также соответствующие формы запросов/обращений. В таких случаях обычно указывают, что пользователь вправе в любой момент самостоятельно отредактировать в своем личном кабинете предоставленную им информацию. В случае прекращения заключенного договора, пользователь вправе удалить собственный личный кабинет самостоятельно либо обратившись в службу поддержки по адресу электронной почты ХХХ@ХХХ.ХХ. При желании можно ужесточить условия регламента обработки запросов на изменение/удаление ПДн, требуя от пользователя высылать ценные письма на ваш адрес в Бобруйске. Таковы основные Рекомендации в отношении формы и содержания Политики. Заслуживает внимания тот факт, что Роскомнадзор, как всегда, обошел вопрос обработки не менее важных для пользователей данных, которые не считаются персональными. Речь идет об информации, собираемой на сайте в автоматическом режиме: cookie, IP, сведения об устройстве и месте его расположения, и т.п. По всей видимости, Роскомнадзор упорно не хочет раскрывать состав ПДн даже методом исключения через сведения, не относящиеся к персональным. Однако на практике в Политику конфиденциальности принято включать уведомление и порядок обработки таких данных в целях наиболее полного информирования пользователя о последствиях использования сайта.

Ниже пример такого уведомления.

Политика конфиденциальности — Эльба

Большинство сайтов содержит раздел «Политика конфиденциальности». Это незаметная ссылка, которую обычно располагают в подвале страницы. Владельцы сайтов размещают её неслучайно: они защищают себя от штрафа и блокировки Роскомнадзором. Позаботьтесь о ней тоже, если на вашем сайте есть корзина или форма обратной связи.  

Почему важно правильно работать с персональными данными

Персональные данные — любая информация о посетителе страницы, которая позволяет его опознать. Например, имя, возраст, телефон, электронная почта, домашний адрес, фотография. Закон 152-ФЗ запрещает собирать, хранить и обрабатывать эти данные без согласия человека.  За нарушения владельцев сайтов штрафуют по ст. 13.11 КоАП.

Штрафы для ИП и ООО:

• — Нет политики конфиденциальности: для ИП — от 5000 до 10 000 рублей, для ООО — от 15 000 до 30 000 рублей.
• — Владелец сайта отказался сообщить пользователю, какие данные о нём собраны и с какой целью: для ИП — от 10 000 до 15 000 рублей, для ООО — от 20 000 до 40 000 рублей;
• — Владелец сайта не удалил персональные данные по требованию пользователя: для ИП — от 10 000 до 20 000 рублей, для ООО — от 25 000 до 45 000 рублей
• — Персональные данные оказались у третьих лиц: для ИП — от 10 000 до 20 000 рублей, для ООО — от 25 000 до 50 000 рублей.
• — Обработка персональных данных противоречит целям сбора: для ИП — от 5 000 до 10 000, для ООО — от 30 000 до 50 000 рублей.
• — Персональные данные обрабатывают без согласия посетителя сайта: для ИП — от 10 000 до 20 000 рублей, для ООО — от 15 000 до 75 000 рублей.

Кто находит нарушения и как

Сайты проверяет Роскомнадзор. Самая популярная причина проверки — жалоба клиента. Плановые проверки тоже бывают, но к малому бизнесу с ними приходят редко.

Пример:

Владимир планирует семейное путешествие в Грецию. Он оставил свои контакты на сайте компании «Горящие туры». Ему перезвонили и предложили слишком дорогую путёвку, поэтому он отказался. На следующий день Владимир получил СМС: «Турция, Стамбул, 22-28 марта, 30 000 руб.

/чел, отель 5 звёзд, подробности на сайте». Подобные СМС доставали его до самого отпуска. Когда он вернулся из поездки, рассылка продолжилась. Он позвонил в ООО «Горящие туры» и попросил больше не писать ему.

На следующий день получил очередное СМС — и не выдержал, написал жалобу в Роскомнадзор.

Роскомнадзор заблокировал сайт на время проверки. Политики конфиденциальности на сайте не обнаружилось. Владелец «Горящих туров» получил два штрафа: за отсутствие политики конфиденциальности и отказ удалить данные пользователя. Он заплатил 75 000 рублей. 

1. Какие термины используют в законе
2. Знание терминов пригодится, если будете читать нормативно-правовые акты или другие статьи по теме.
3. Операторы персональных данных — владельцы сайтов.

Операторы собирают, обрабатывают и хранят персональные данные. Все три действия важно прописать в политике конфиденциальности.

1. Сбор информации — получение сведений о человеке. Например, при заполнении формы.
2. Обработка информации — передача сведений. Например, курьеру сообщают номер телефона покупателя, чтобы доставить товар.
3. Хранение информации — это когда её не удаляют сразу после получения.

Что такое политика конфиденциальности

Владелец сайта берёт у каждого посетителя согласие на сбор, обработку и хранение персональных данных. Подписывать документ на бумаге — затруднительно, из-за этого сайт растеряет всех посетителей. Поэтому есть способ проще — выложить на сайт специальный документ.

В политике конфиденциальности прописывают, какую информацию и с какой целью собирают. Сообщают также, какое действие считается согласием на обработку персональных данных. Например, оформление заказа или заполнение формы — ч. 2 ст. 18.1 152-ФЗ.

Как принять политику конфиденциальности

1. Составьте документ

Подготовьте политику конфиденциальности в виде отдельного документа. Также можно включить правила обработки персональных данных в пользовательское соглашение или договор-оферту, если работаете по ним.

• Проще всего подготовить политику конфиденциальности при помощи специальных сервисов — например, конструктора Тильды.
• Пример политики конфиденциальности
• В документе отразите:

— Перечень персональных данных. Например, имя, адрес, телефон. Не забудьте перечислить файлы cookie — обезличенные данные о посетителях, которые собирают Яндекс.Метрика и Гугл.Аналитика.

— Цели сбора и обработки. Например, исполнение договора, создание рекламных акций, продвижение товаров, улучшение сайта.

— Срок хранения. Он должен соответствовать целям.

— Меры защиты персональных данных. Например, резервное копирование.

— Какое действие считать согласием пользователя. Например, проставление галочки, создание личного кабинета, заполнение формы.

2. Опубликуйте политику конфиденциальности на сайте

Пользователю должно быть понятно, на что он соглашается. Когда он заполняет форму или регистрируется, покажите ему ссылку на политику конфиденциальности. При заходе на сайт — предупредите, что обрабатываете файлы cookie. Обычно используют всплывающее окно с кнопкой «ок».

Опубликуйте документ в доступном месте. У посетителей должна быть возможность в любой момент ознакомиться с ним. Обычно политику конфиденциальности прячут в подвал, чтобы ссылка не отвлекала от содержания сайта.

3. Уведомите Роскомнадзор

Владельцы сайтов, которые собирают персональные данные, обязаны уведомлять Роскомнадзор. За отсутствие уведомления штрафуют по ст. 19.7 КоАП РФ: ИП — на сумму до 500 рублей, ООО — до 5000 рублей.

Роскомандзор необязательно уведомлять, только если:

1. Пользователи сами выкладывают свои данные в открытый доступ. Например, пишут ФИО и телефон на площадке для объявлений.
2. Пользователи отправляют только ФИО.
3. Вы получаете персональные данные только для исполнения конкретного договора с клиентом. Например, на сайте киносалона открыта онлайн-запись на платную встречу с режиссером. Посетитель оставляет имя, телефон и электронную почту. После мероприятия эти данные удаляются.

Лучше всё равно подстраховаться: уведомление бесплатное. 

Форма уведомления

4. Назначьте ответственного за хранение персональных данных

Обычно ответственность возлагают на сотрудника, который работает с данными — кадровика, оператора колл-центра, менеджера продаж. Если вы ИП и работаете один — на самого себя.

5. Храните данные на серверах в России

Хранить персональные данные за пределами России запрещено по ст. 18 152-ФЗ. Если арендуете хранилище, узнайте, в какой стране расположены серверы.

Почему важно защищать персональные данные

Брать согласие с посетителей сайта — недостаточно. Важно не передавать сведения третьим лицам и физически защитить их от утечки. Установите пароли к компьютерам и серверам, где храните информацию. Ограничьте к ним доступ своих сотрудников без необходимости. Бумажные документы храните в сейфе.

Если персональные данные стали известны кому-то ещё — это плохо. Пострадавший имеет право пойти в суд и потребовать компенсацию за моральный вред по ст. 24 152-ФЗ.

Пример из судебной практики:

Мама Евгения взяла кредит. Рассчитаться по нему она не успела: умерла. На сына обрушились звонки от коллекторов. Он пошёл в суд и заявил, что не принимал наследство, поэтому не отвечает по долгам.

Что важно для нашей темы, Евгений добавил: банк передал коллекторам номер его телефона, а он не подписывал на это согласия. Суд встал на сторону Евгения. Банк выплатил ему компенсацию за моральный вред.

Апелляционное определение Хабаровского краевого суда № 33-2412/2013

Статья актуальна на 02.02.2021

Что это такое политика конфиденциальности: для чего нужна

Правильное понимание, что такое политика конфиденциальности и для чего нужна будет полезно как владельцам сайтов, так и пользователям. Для всех владельцев сайта предусмотрена ответственность за получаемую от пользователей информацию. Поэтому в этой статье разберём в чём суть политики конфиденциальности.

Начнём с того, что значит политика конфиденциальности и где она применяется. Обращали ли Вы при заполнении форм обратной связи, быстрых заказов и подобных скриптов внимание на небольшую приписку ниже? В ней говорилось о согласии на обработку персональных данных и о принятии политики конфиденциальности компании. Ставя галочку и продолжая работу с сайтом, пользователь выражает свою готовность передать данные.

Что происходит с личными данными дальше? Именно это регламентирует политика конфиденциальности сайта. В ней указано, как будет обработана полученная информация и что с ней будут делать.

Большинство сайтов используют разные виды защиты личной информации пользователей.

Например, если Вы знаете про SLL-сертификат: что это и как он защищает от потери личных данных, создание политики конфиденциальности не покажется бесполезным.

По законодательству РФ нет шаблона этого документа. Да, политика конфиденциальности – не призрачное понятие, а вполне конкретный текст. Если вы создаёте онлайн курсы СЕО продвижения и рекламируете их на собственном сайте, стоит задуматься о составлении политики. Его наличие регламентирует закон № 152-ФЗ «О персональных данных» от 27.07.2006 года.

Для чего нужна политика конфиденциальности на сайте

Рассмотрим, для чего нужна политика конфиденциальности на сайте, если её наличие установлено законодательным путём. Если сказать коротко – она нужна для получения разрешения пользователей на обработку их личных данных.

Чаще всего, обработку персональных данных используют владельцы интерне-магазинов. После поступления заказа необходимо уточнить детали и передать информацию о человеке для исполнения обязательств, а для этого нужны его контакты.

Персональные данные бывают двух видов: личные и обезличенные. К первым относятся все данные, необходимые для идентификации человека. Это могут быть имя, фамилия, адрес и так далее. Ко вторым, чаще всего, относят cookie-файлы, собираемые аналитическими сервисами. В большинстве случаев вёрстка сайта предусматривает ссылку на политику конфиденциальности и в формах сбора, и в подвале ресурса.

За отсутствие документа, предусмотрены штрафные санкции для владельца сайта. В согласие с частью 3 статьи 13.11 КоАП РФ сумма для физических лиц будет составлять 700-1500 рублей. Для юридических лиц штрафы крупнее: 5000-10000 для ИП и 15000-30000 рублей для ООО. Поэтому, при создании сайта и его продвижение в сети не стоит забывать про составление этого важного документа.

Что значит изменение политики конфиденциальности

Разберём, что значит изменение политики конфиденциальности и как его регламентировать. В процессе работы сайта, могут измениться методы сбора и хранения информации.

Обо всём этом владельцы сайта обязаны предупреждать пользователей. В некоторых случаях, новые способы работы с личными данными могут не понравится людям.

В этом случае у них будет возможность отозвать личные данные и перестать пользоваться ресурсом.

Стоит помнить, что за отсутствие информирования об изменениях в политике сайта, так же предусматривается ответственность. Стоит знать что такое форма собственности и о прямом отношении к ней личных данных. А, как мы знаем, защита владельцев любых видов собственности, является задачей государственных органов власти.

При этом, опыт огромного числа компаний, маленьких и крупных, подтверждают, что вести работу в соответствии с законом не сложно. Поэтому, при оформлении интернет ресурсов, полезно знать, что такое лиды в продажах и как правильно получать информацию для их формирования.

Чем отличается политика конфиденциальности от соглашения

Многие задаются вопросом, чем отличается политика конфиденциальности от соглашения о пользовании сайтом. Про то, что значит первое понятие, мы разобрали выше. Это набор инструментов для защиты личных данных пользователей. Стоит упомянуть, что такое HTTPS и что именно эта аббревиатура говорит о том, что на сайте используется шифрование для повышения безопасности.

Пользовательское соглашение представляет собой взаимные обязательства для использования того или иного ресурса. В нём подробно прописывают условия работы с сайтом, его сервисами и информацией, находящейся на нём. Это документ будет защищать владельца от неправомерного использования возможностей ресурса.

Стоит отметить, что составление политики конфиденциальности очень важно. Она защищает пользователей и помогает ресурсу работать без нареканий со стороны законодательства. Рекомендуем при создании сайта не забывать про этот небольшой, но важный пункт.

Политика конфиденциальности – как сделать правильно? — CMS Magazine

Июль 2017 все же заставил владельцев сайтов изрядно понервничать. Виной тому вступившие 01 июля 2017 года в силу поправки в статью 13.11 КоАП РФ (см. Федеральный закон от 07.02.2017 № 13-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»), ужесточающие административную ответственность за нарушение персональных данных.

Размер штрафов для предпринимателей варьируется в диапазоне от 5 тыс. руб. до 75 тыс. руб. Последняя цифра касается организаций, допустивших обработку персональных данных, не получив письменного согласия субъекта персональных данных.

Прежде чем бить тревогу и думать, что же делать и бросаться отключать на сайте формы для обратной связи, необходимо провести диагностику собственного сайта на предмет наличия или отсутствия документов, регулирующих отношения с пользователями, в том числе по вопросу обработки оставляемых ими данных, а также оценить их содержание с точки зрения прозрачности, полноты, непротиворечивости и достаточности.

Если не знаете, как это сделать правильно, и что должна включать в себя политика конфиденциальности, предлагаем обратить внимание на ключевые моменты.

Больше не нужно искать и обзванивать каждое диджитал-агентство Создайте конкурс на workspace.ru – получите предложения от участников CMS Magazine по цене и срокам. Это бесплатно и займет 5 минут. В каталоге 15 617 диджитал-агентств, готовых вам помочь – выберите и сэкономьте до 30%.

Создать конкурс →

Зачем нужна Политика конфиденциальности?

Думаем, что здесь ответ очевиден.

Документ, регулирующий обработку персональных данных пользователей и размещаемый на сайте, является ни чем иным как правилами игры, которые устанавливает владелец сайта в отношениях с пользователями.

Цель фиксации и размещения таких правил — снизить риски из законодательства о персональных данных, при необходимости дать отпор потребительскому экстремизму.

Как лучше назвать — оферта, соглашение об обработке персональных данных или политика конфиденциальности?

С юридической точки зрения название документа, регулирующего обработку персональных данных пользователей, не имеет значения. Остальное — дело вкуса каждого владельца сайта. Со своей стороны можем выделить название «политика конфиденциальности» из-за его емкости, повсеместного использования и понятности для пользователя.

Как лучше разместить — в виде отдельного документа или сделать частью оферты/пользовательского соглашения?

Здесь также нет обязательных правил и универсального шаблона. Можно отразить необходимые положения в отдельном документе или сделать частью, например, пользовательского соглашения.

Как правило, пользовательское соглашение содержит немало особенностей использования сайта, что влияет на объем документа. Включение в пользовательское соглашение еще и положений по обработке данных будет явно перегружать документ и усложнять его восприятие пользователем.

При размещении на сайте двух отдельных документов (например, политики конфиденциальности и пользовательского соглашения) рекомендуем проверить их на отсутствие противоречий друг другу, а также на наличие ссылок друг на друга.

Нужно ли помимо Политики конфиденциальности размещать также отдельную форму согласия на обработку персональных данных?

Здесь ответ прост. Если из Политики конфиденциальности очевидно следует согласие на обработку каких данных и с какой целью дает пользователь, то отдельная форма согласия будет явно лишней.

Как заставить правила работать?

Политика конфиденциальности это та же оферта (соглашение), только по вопросам, связанным с обработкой персональных денных пользователей. Для того, чтобы пользователь считался принявшим условия обработки его данных владельцем сайта, он должен акцептовать предложенные правила (принять, согласиться).

Таким акцептом могут быть:

1. регистрация/авторизация,

2. проставление отметок в полях,

3. выполнение последовательности действий,

4. использование функционала сайта.

Рекомендуем не привязываться и не ограничиваться описанием одной формы акцепта, а использовать и фиксировать их совокупность, например, следующим образом:

«Пользователь дает своё согласие с положениями настоящей Политики конфиденциальности нажатием кнопки «Принять Политику конфиденциальности» или «Продолжить», проставлением соответствующей отметки в поле при Регистрации, в том числе на любом этапе такой регистрации и (или) в любой момент пользования сайтом.»

Что включать в Политику конфиденциальности (далее также Политика)?

Универсального шаблона Политики конфиденциальности нет. В любом случае при составлении Политики конфиденциальности стоит учитывать специфику работы сайта, его назначение, функциональные возможности, круг пользователей, объем оставляемых ими данных.

Анализ действующего законодательства в сфере обработки персональных данных, а также собственный опыт, позволил нам сформулировать следующие рекомендации владельцам сайтов по содержанию Политики конфиденциальности:

1. По желанию включаем раздел с терминами и определениями — не является обязательным.

   Для удобства пользователя и унификации документов на сайте можно включить соответствующий раздел с понятиями и определениями, которые являются общими как для Политики конфиденциальности, так и для Пользовательского соглашения (например, «Политика конфиденциальности», «пользователь», «сайт», «владелец сайта», «личный кабинет» и др.).

   Отсутствие такого раздела в Политике конфиденциальности не связано с рисками для владельца сайта.

2. Выделяем общие положения, где описываем:

   • предмет регулирования Политики (например, «регулирет порядок обработки персональных данных пользователей, в том числе с целью обеспечения безопасности обработки персональных данных пользователей, обеспечения их прав и интересов при обработке персональных данных»).
   • формы акцепта пользователя с условиями Политики и обработкой данных (пример приведен в п. 5 настоящей статьи).
   • место разрешения споров, вытекающих из Политики, с оговоркой (например, все возможные споры по поводу настоящей Политики конфиденциальности и отношений между пользователем и Администрацией сайта будут разрешаться по нормам российского права в суде по месту нахождения Администрации сайта, если иное прямо не предусмотрено законодательством РФ). Оговорка необходима для соблюдения действующего законодательства, а указание на место рассмотрения споров по месту нахождения владельца сайта призвано оказывать скорее превентивный эффект на пользователя.
   • порядок изменения и обновления Политики (например, «Администрация сайта оставляет за собой право изменять и (или) дополнять настоящую Политику конфиденциальности без какого-либо специального уведомления. Новая редакция Политики конфиденциальности вступает в силу с момента ее размещения на странице сайта, если иное не предусмотрено новой редакцией Политики конфиденциальности. Действующая редакция Политики конфиденциальности всегда находится на странице сайта по адресу…»). Стоит указать, что молчание пользователя расценивается как согласие с изменениями и (или) дополнениями Политики конфиденциальности.
   • отсутствие доступа к данным, которые пользователь оставляет на сайтах третьих лиц. Подобное может быть связано с оплатой пользователем услуг и предоставлением своих платежных данных. В таком случае стоит четко указать, например, следующее: «пользователь признает и подтверждает, что любые данные (в том числе, реквизиты банковских карт), прямо или косвенно связанные с оплатой услуг и сервисов, размещаются Пользователем на страницах сайтов, принадлежащих третьим лицам, не имеющим отношения к Администрации сайта; Администрация сатйа не имеет доступа к таким сведениям, не осуществляет любых действий в отношении таких данных, включая их сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в т.ч. передача), обезличивание, блокирование, уничтожение, трансграничную передачу».

3. Фиксируем предоставление согласия на обработку персональных данных. Это просто «must have» любой политики конфиденциальности. Обязательно указываем, что давая согласие, пользователь действует своей волей и в своем интересе. Согласие дается пользователем с момента регистрации на сайте и (или) совершения иных действий, связанных с использованием сервисов или возможностей сайта.

4. Указываем на цель предоставления согласия. Здесь возможны одновременно несколько вариантов:

   • для целей заключения с Администрацией сайта соглашения, иных договоров, прямо предусмотренных Политикой, иных соглашений, размещенных на страницах сайта, и их дальнейшего исполнения,
   • участия в проводимых акциях, принятия решений или совершения иных действий, порождающих юридические последствия в отношении пользователя или других лиц,
   • для принятия, обработки запросов;
   • информирования о состоянии запроса, услугах, например, посредством электронных и SMS- уведомлений;
   • улучшения качества работы сайта;
   • проведения статистических и иных исследований на основе обезличенных данных.

   Ключевым является первый вариант с указанием на предоставление данных с целью заключения с Администрацией сайта соглашений и их исполнения. Этот вариант при возникновении проблем с Роскомнадзором позволит объяснить отсутствие согласия на обработку персональных данных «на бумаге», а также ненаправление владельцем сайта уведомления в Роскомнадзор.

5. Описываем состав персональных данных. Помним, что не все данные о пользователе являются персональными. К персональным относится такая совокупность данных, которая позволяет идентифицировать пользователя, например, ФИО и адрес места жительства.

   Можно указать, что согласие распространяется на фамилию, имя, отчество, адрес, номер телефона и любую иную информацию, относящуюся к личности пользователя, доступную либо известную в любой конкретный момент времени Администрации сайта.

6. Указываем срок, на который предоставляется согласие.

   Может быть описан такой вариант — согласие дается пользователем до истечения сроков хранения соответствующей информации или документов, содержащих вышеуказанную информацию, определяемых в соответствии с законодательством РФ, после чего оно может быть отозвано пользователем путем направления соответствующего письменного уведомления Администрации не менее чем за 3 месяца до момента отзыва согласия.

7. Фиксируем объем возможных действий по обработке. Здесь исходим из того, что чем больше описано возможных действий с данными, тем лучше.

   Можно описать так: согласие предоставляется на осуществление любых действий в отношении персональных данных, которые необходимы или желаемы для достижения указанных выше целей, включая, без ограничения: сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в т.ч.

   передача), обезличивание, блокирование, уничтожение, трансграничную передачу персональных данных, а также осуществление любых иных действий с персональными данными пользователя с учетом действующего законодательства РФ.

8. Указываем способы обработки данных. Можно указать следующие: хранение, запись на электронные носители и их хранение, составление перечней. Отдельно стоит отметить, что указанный перечень способов обработки не является исчерпывающим.

9. Включаем право на раскрытие третьим лицам. Стоит зафиксировать право Администрации сайта по передаче данных третьим лицам для достижения указанных в Политике целей, а также согласие пользователя на подобное.

10. Определяем порядок направления юридически значимых сообщений. Для регулирования потока входящих от пользователей обращений по вопросам обработки данных стоит усложнить процедуру взаимодействия с Администрацией сайта.

    Сделать это можно путем определения письменной формы для таких обращений, а также способа их представления — направление на указанный на сайте почтовый адрес и/или с курьером.

    Дополнительно стоит указать, что в противном случае, обращения и уведомления пользователя могут остаться без рассмотрения.

Надеемся, что приведенный выше «чек-лист» будет полезным не только для составления политики конфиденциальности «с нуля», но и для осознанной проверки уже имеющегося документа с его последующей доработкой.

Помним, что правильное и должным образом проработанное документальное оформление отношений по обработке персональных данных пользователей в последующем позволит минимизировать риски и избежать привлечения к ответственности.

Иллюстрация: http://www.2nsp.ru/wp-content/uploads/2016/12/safe2.jpg