Напоминаем, что с 18 ноября 2023 года в силу вступает приказ Минцифры от 17 августа 2023 г. №720, касающийся сбора персональных данных, а точнее, уведомления об этом пользователей и контролирующих органов.
В чем суть – приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 15 ноября 2021 г. №1187 (зарегистрирован Министерством юстиции Российской Федерации 14 января 2022 г., регистрационный №66870) дополнился пунктом:
«3. Установление контролирующим органом трех и более фактов несоответствия информации, указанной контролируемым лицом в уведомлениях, подлежащих направлению в контролирующий орган в соответствии с частью 3 статьи 12 и частью 1 статьи 22 Федерального закона от 27 июля 2006 г. №152-ФЗ "О персональных данных", сведениям, размещенным на принадлежащем такому контролируемому лицу сайте в информационно-телекоммуникационной сети "Интернет" в соответствии с частью 2 статьи 18.1 Федерального закона от 27 июля 2006 г. №152-ФЗ "О персональных данных"».
Следствие
Расшифровываем: о намерении обрабатывать персональные данные нужно направлять уведомление в Роскомнадзор. Также следует сообщить ведомству, если ваша компания будет также осуществлять трансграничную передачу персональных данных (на территорию иностранного государства – органу власти, физическим или юридическим лицам).
Эта информация будет занесена в реестр операторов, который ведет Роскомнадзор.
Если, мониторя ваш сайт и, в частности, страничку «Политика компании», Роскомнадзор обнаружит «три и более фактов несоответствия информации» (между заявленной в ведомство и отображенной на сайте), то вас ждет неплановая проверка по согласованию с прокуратурой.
К проверке приведет и факт сбора незаявленной в Роскомнадзор информации. Например, если вы не заявляли о том, что будете требовать от пользователей указывать их е-мейл, но при этом поле для него в анкетах есть, то ждите проверки.
Пример
У агентства TexTerra есть опубликованная на сайте «Политика», и в ней присутствует отдельный пункт о сборе персональных данных, которые нужны нам для работы с обращениями клиентов, желающими заказать продвижение, разработку сайта, написание контента и так далее. И вот как выглядит данный пункт:
3. Оператор может обрабатывать следующие персональные данные Пользователя3.1. Фамилия, имя, отчество;
3.2. Номер телефона;
3.3. Адрес электронной почты;
3.4. Также на сайте происходит сбор и обработка обезличенных данных о посетителях (в т. ч. файлов cookie) с помощью сервисов интернет-статистики («Яндекс.Метрика», Google Analytics и других).
3.5. Вышеперечисленные данные далее по тексту Политики объединены общим понятием Персональные данные.
Трансграничной передаче данных у нас посвящен отдельный пункт – №7.
Для ведения бизнеса не нужны ни биометрия, ни место проживания или нахождения клиента, ни возраст, пол, ОГРН, семейное положение и так далее. Что касается ИНН и прочих реквизитов, необходимых для заключения договоров, то это к сбору персональных данных не относится и является частью делопроизводства, где действуют уже другие законы.
Совет
Прямо сейчас проверьте, что написано в Политике вашей компании и актуальны ли указанные данные – не собираете ли вы какую-либо информацию, о которой не сказано в политике.
Помимо проверки объема собираемых персональных данных уточните также категории субъектов сбора персональных данных, способы и сроки обработки. Расхождения практики с Политикой быть не должно, и у вас есть право лишь на две неточности. За пример можете, опять же, взять Политику TexTerra.
Сделав это, уведомьте Роскомнадзор о том, что вы собираете персональные данные, а также предоставьте информацию о том, какие именно данные вами собираются и как они обрабатываются.
Помните, что Роскомнадзор нужно уведомлять обо всех изменениях в сборе персональных данных – не позднее 15 числа месяца следующего месяца (если изменения были в ноябре, то сообщить о них нужно до 15 декабря).
Читайте также:
Треть компаний нарушает один и тот же закон. А ваша? [обновлено]