Разберемся, кому без политики конфиденциальности не обойтись и как реализовать ее на своем ресурсе.
Кому нужна политика конфиденциальности на сайте
Закон обязывает публиковать политику конфиденциальности только операторов персональных данных. Чтобы понять, нужен ли такой документ на вашем сайте, сначала надо разобраться, что это за данные и кто такие операторы.
Первому понятию 152-ФЗ дает такое определение:
Персональные данные — любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Точного перечня в законе нет, но исходя из определения, можно сделать вывод, что персональными можно считать все данные, которые относятся к конкретному человеку и позволяют его идентифицировать. Также в тексте встречаются понятия общие, специальные и биометрические данные.
С операторами все проще — это любой человек, компания или государственный орган, который собирает, хранит, обрабатывает и совершает другие действия с персональными данными. Владельца интернет-ресурса можно отнести к операторам, если на сайте есть формы заказа, комментариев, регистрации и обратной связи, в которые человек вводит имя, фамилию, электронный адрес, номер телефона и т. д.
Если при отправке комментария от пользователя требуют только имя или никнейм, политика конфиденциальности не нужна, так как по такой информации идентифицировать человека невозможно.
Как составить текст политики конфиденциальности
Утвержденной законом формы нет. Но есть перечень сведений, которые обязательно прописывать в документе.
- На каком основании и с какой целью вы собираете персональные данные.
- Ваши наименование, контактные данные и адрес.
- Сведения о том, кто обрабатывает данные, если этим занимается другая компания, а также о третьих лицах, у которых есть доступ к ним.
- Какие данные обрабатываете и из каких источников получаете, включая файлы cookie.
- Сроки обработки и хранения персональных данных.
- Каким образом вы соблюдаете права субъекта, предусмотренные законом «О персональных данных».
- Информация о том, что вы передаете данные за пределы России.
Всю эту информацию можно изложить в свободной форме. Главное — чтобы документ содержал все сведения, которые требует закон, а также понятно разъяснял пользователю, что происходит с его персональными данными, как вы можете их использовать и что делаете, чтобы защитить его право на неприкосновенность частной жизни и личную тайну.
Копировать политику конфиденциальности с других сайтов не стоит. Как минимум, нужно адаптировать текст под свои условия обработки данных.
Называться на сайте документ может по-разному: политика в отношении персональных данных, политика конфиденциальности, пользовательское соглашение и т. д. Сути это не меняет и нарушением не считается.
Как оформить документ и разместить на сайте
Единственное требование законодательства в этом плане, чтобы субъекты персональных данных имели свободный и неограниченный доступ к политике конфиденциальности. В остальном владелец сайт волен сам решать, как лучше реализовать ее на сайте.
Обычно документ публикуют на отдельной странице и обеспечивают доступ в один клик с любой другой. Ссылки на политику конфиденциальности стоит разместить рядом с формами, где пользователь дает согласие на обработку. Также сноску на документы зачастую размещают в подвале или верхнем меню сайта.
Флажок «Согласие на обработку персональных данных» рядом с формами тоже обязателен. Согласно закону, собирать и обрабатывать информацию о пользователях можно только с их согласия, за исключением нескольких случаев, которые к сайтам не относятся. Более того, в случае проверки владелец ресурса должен иметь возможность доказать, что согласие было.
Соблюсти это требование на конструкторах и популярных CMS несложно — большинство разработчиков быстро среагировали и добавили такую возможность в свои продукты.
Для WordPress есть специальный плагин — «Политика конфиденциальности для сайта. Согласие под формами Contact-Form 7».
Он соответствует требованиям 152-ФЗ и позволяет :
- автоматически добавлять галочки к формам комментариев и тем, что созданы с помощью плагина «Контакт Форм 7»;
- создать и настроить страницу с политикой конфиденциальности;
- настроить оповещение об использовании cookies;
- настроить текст для флажка согласия на обработку;
- задать установку этой галочки по умолчанию, хотя делать этого все же не стоит — пользователь должен дать согласие, а значит отметить чекбокс сам;
- запретить отправку формы без нее.
Есть еще старые плагины, в том числе англоязычные, с помощью которых добавляются флажки для подписки на рассылку, принятия пользовательского соглашения и т. д. Однако новые продукты разрабатывались специально для соблюдения 152-ФЗ и настроить их под эти цели будет проще.
Напоследок еще несколько требований, о которых не стоит забывать
- Нельзя собирать больше данных, чем нужно для достижения целей, прописанных в политике конфиденциальности.
- Нельзя хранить и обрабатывать данные с использованием баз данных, размещенных на иностранных серверах.
- Прежде чем начать собирать персональные данные, об этом нужно уведомить Роскомнадзор в бумажной или электронной форме. Перечень сведений есть в ст. 22 152-ФЗ.
- Чтобы делегировать обработку персональных данных другим юридическим или физическим лицам, нужно заключить договор.
- Оператор персональных данных обязан обеспечить их безопасность с помощью организационных, правовых и технических мер — инструктировать сотрудников, разработать локальные акты, обеспечить надежную защиту баз данных, исключающую утечку информации и доступ третьих лиц.