Почему юристу стоит проверить, как сайт работает с персданными
Каждый раз, когда пользователь заполняет форму обратной связи, оформляет заказ, подписывается на рассылку или даже просто заходит на сайт, он оставляет цифровой след. Этот след может содержать персональные данные. Закон относит сюда любую информацию, которая прямо или косвенно определяет физлицо.
Что это может быть? Фамилия, имя, отчество, адрес и номер телефона человека. А еще его дата рождения, адрес электронной почты, ИНН, СНИЛС, данные банковской карты, фотографии и другие сведения.
Если неправильно собирать и обрабатывать такие сведения, будет штраф — они исчисляются сотнями тысяч, а иногда, например при утечках, и сотнями миллионов рублей.
Как защититься от претензий РоскомнадзораПолучить материалы
Выпустили мини-курс с памятками, инструкциями и анализом практики, которые помогут не допустить нарушений при работе с персональными данными на сайте и не только.
С чего начать проверку: реестр операторов и уведомление РКН
Компания, которая собирает информацию о посетителях своего сайта, является оператором персональных данных. Ей нужна регистрация в реестре операторов персональных данных. Иначе собирать и обрабатывать ПДн незаконно (ч. 1 ст. 22 Закона о персональных данных).
Как попасть в реестр операторов. Подайте уведомление через форму на сайте Роскомнадзора — там есть подсказки по заполнению. Надо будет отметить:
- кто обрабатывает ПДн: наименование компании или Ф. И. О. предпринимателя, ИНН, ОГРН, юридический и фактический адрес, контакты;
- зачем нужна обработка;
- какие сведения собирает;
- как будет обрабатывать данные.
Госпошлины за подачу уведомления нет.
Важно подать уведомление до начала обработки персональных данных. Если не подать вообще или сделать это несвоевременно, владельца сайта оштрафуют на сумму до 300 тысяч рублей (ч. 10 ст. 13.11 КоАП РФ).
Какие документы должны быть на сайте по закону
Обязательно добавьте два элемента.
Политика обработки персональных данных. Еще этот документ называют политикой конфиденциальности. Его надо разместить в свободном доступе на сайте (п. 2 ч. 1, ч. 2 ст. 18.1 Закона о персональных данных).
В документе прописывают, зачем собирают данные, какие именно, на каком основании, как долго хранят и уничтожают, какие права у пользователей и куда обращаться с вопросами.
Нет политики — штраф
Если на сайте в открытом доступе не будет документа, который определяет политику в отношении обработки персональных данных, владельцу грозит административная ответственность по ч. 3 ст. 13.11 КоАП РФ. Штраф для компаний — от 30 до 60 тысяч рублей.
Согласие на обработку персональных данных. По общему правилу обрабатывать персональные данные можно только с письменного согласия человека. Исключения есть, но их перечень ограничен подп. 2–11 ч. 1 ст. 6 Закона о персональных данных. Например, сбор и обработка ПДн не требует согласия, если это нужно для исполнения полномочий госорганов.
Если согласия на сбор и обработку данных нет, такие действия считаются административным правонарушением. За него компании грозит штраф от 300 до 700 тысяч рублей (ч. 2 ст. 13.11 КоАП РФ).
Поэтому у каждой формы на сайте (заявки, регистрации, подписки) должно быть специальное поле, куда пользователь поставит галочку и тем самым даст согласие на обработку персональных данных. Также нужно текстовое ясное пояснение этому действию. О форме согласия скажу далее.
Важно
Владельцу сайта нельзя заранее ставить галочку в специальном поле. Это должен делать сам пользователь.
Как проверить формы сбора данных и согласия
При проверке форм ориентируйтесь на главный принцип: объем данных должен соответствовать цели. Собирать лишнее — нарушение (ч. 5 ст. 5 Закона о персональных данных).
Избыточная обработка — это сбор информации, которая не нужна для заявленной цели. Например, когда интернет-магазин при оформлении доставки запрашивает не только адрес и телефон, но еще паспортные данные или СНИЛС покупателя. Это прямое нарушение. За сбор лишних данных компании грозит штраф от 150 до 300 тысяч рублей (ч. 1 ст. 13.1 КоАП РФ).
Рассмотрели, как РКН проверяет сайты, и разобрали ошибки компаний на стриме с приглашенным экспертом. Подробно объяснили, что включить в политику конфиденциальности и как оформить согласие.Смотреть запись
Что проанализировать в части обработки данных третьими лицами и трансграничной передачи ПДн
Сайт редко обходится без сторонних сервисов: счетчики аналитики, CRM, облачные хранилища, виджеты. Когда вы их подключаете, вы передаете персональные данные пользователей на обработку другому лицу. А это — дополнительные обязательства.
Как передать права на обработку ПДн. Привлекать сторонние компании к обработке персональных данных можно, но только с согласия человека, если закон не разрешает без него. В поручении прописывают, какие данные передают, что с ними делать, зачем и как обеспечивать конфиденциальность (ч. 3 ст. 6 Закона о персональных данных).
На практике для каждого стороннего сервиса нужно заключить отдельное поручение. Иначе не получится доказать контроль над процессом.
Локализация баз данных. Закон требует, чтобы базы данных для работы с персональными данными россиян находились на территории России. Это значит, что собирать, хранить и обновлять информацию о гражданах можно только на серверах внутри страны.
Что делать, если передаете информацию за рубеж. Если вы используете иностранные облачные сервисы (CRM, аналитику, корпоративные мессенджеры), вы, скорее всего, осуществляете трансграничную передачу. Об этом обязательно надо уведомить РКН.
Что грозит нарушителям: блокировки и штрафы
Роскомнадзор вправе заблокировать сайт, если на нем обрабатывают персональные данные с нарушением закона. Для этого ресурс включают в реестр нарушителей прав субъектов персональных данных (ст. 15.5 Закона об информации № 149-ФЗ).
Важно
Основание для включения в реестр — только решение суда. Это исключает произвол со стороны административных органов.
Что такое реестр нарушителей. Это автоматизированная система, через которую ограничивают доступ к сайтам, нарушающим законодательство о персональных данных. В реестр вносят:
- доменные имена;
- указатели страниц сайтов;
- сетевые адреса, по которым можно идентифицировать ресурс.
Также в реестре указывают ссылку на вступившее в силу решение суда, которое стало основанием для блокировки, и дату направления данных операторам связи.
Последствия. Если сайт компании внесли в этот реестр, операторы связи обязаны ограничить к нему доступ на территории России.
О втором последствии работы в нарушении законодательства о персональных данных я упоминаю на протяжении всей статьи — это административная ответственность и весомые штрафы. Подробный разбор санкций от РКН и возможности их снижения смотрите в статье моей коллеги.Узнать о снижении штрафов
Как юристу провести аудит сайта: пошаговый чек-лист
Чтобы не упустить ни одного обязательного требования, действуйте по такому алгоритму. Проверьте:
1. Регистрацию в реестре операторов. Удостоверьтесь, что компания подала уведомление в РКН, а ведомство внесло ее в реестр операторов обработки персданных.
2. Политику обработки персональных данных. Убедитесь, что документ размещен в свободном доступе и содержит все обязательные разделы:
- цели обработки;
- категории данных;
- правовые основания;
- сроки хранения;
- порядок уничтожения;
- права субъектов;
- контакты оператора.
Проверенный шаблон можно взять в КонсультантПлюс.
3. Согласие на обработку. Убедитесь, что вы получаете согласие от пользователей, которое оформлено как отдельный документ и содержит все обязательные реквизиты. Форму можно взять в КонсультантПлюс.
Удостоверьтесь, что во всех формах есть чекбокс о согласии, отметку в котором проставляет сам пользователь — по умолчанию никакой галочки в нем нет.
4. Формы сбора данных на избыточность. Убедитесь, что объем запрашиваемых данных соответствует целям обработки. Лишнее — уберите. Пример: если вы просите паспортные данные при оформлении заказа, хотя они не нужны для доставки — это нарушение.
5. Локализацию баз данных. Удостоверьтесь, что персональные данные граждан РФ на серверах, которые физически находятся в России.
6. Обработку данных третьими лицами. Убедитесь, что с каждым сторонним сервисом (аналитика, CRM, облачные хранилища) компания оформила поручения на обработку персональных данных.
7. Трансграничную передачу. Если компания передает персданные на территорию иностранного государства, удостоверьтесь, что об этом подано специальное уведомление в РКН.
