Политика обработки персональных данных на сайте: что в ней должно быть

Два разных требования, которые часто путают

Закон предъявляет к политике два самостоятельных требования, и нарушить можно любое из них по отдельности.

Первое: политика опубликована и доступна

Документ должен быть размещён так, чтобы попасть на него можно было без ограничений с любой страницы сайта. На практике это означает прямую ссылку в подвале каждой страницы — не в одном разделе, не внутри пользовательского соглашения и не по запросу.

Нормач. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»

Санкция: ч. 3 ст. 13.11 КоАП РФ — для организаций от 30 000 до 60 000 ₽, для индивидуальных предпринимателей от 10 000 до 20 000 ₽, для должностных лиц от 6 000 до 12 000 ₽.

Второе: содержание политики отвечает закону

Опубликованный документ должен раскрывать сведения, перечень которых установлен законом. Это и есть то место, где ломается большинство шаблонов: тема упомянута одной строкой, а порядок не раскрыт.

Нормач. 1 ст. 14, ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ

Что должно быть в политике

1. Цели обработки. Не «для улучшения качества услуг», а конкретно: обработка заявок, заключение и исполнение договора, ответы на обращения, направление информационных рассылок.
2. Правовые основания. Договор, согласие субъекта, требование закона — по каждой цели своё.
3. Категории субъектов и категории данных. Кто именно и какие сведения: посетители сайта, клиенты, кандидаты; имя, телефон, электронная почта, сведения об устройстве.
4. Порядок и сроки хранения, порядок уничтожения. Сколько хранятся данные и что происходит после достижения цели обработки.
5. Права субъекта и порядок их реализации. Как человек может получить сведения о своих данных, потребовать уточнения, отозвать согласие, — с указанием адреса, куда обращаться, и срока ответа.
6. Сведения о трансграничной передаче. Передаются ли данные за пределы России и в какие страны.
7. Сведения о месте нахождения баз данных. Где физически хранятся данные граждан России.
8. Принимаемые меры защиты. Организационные и технические.
9. Реквизиты и контакты оператора. Полное наименование, ИНН, ОГРН или ОГРНИП, адрес, телефон, электронная почта.

Три ошибки, которые встречаются чаще всего

1. Контакты в политике не совпадают с контактами на сайте

В шапке сайта один телефон, в политике — другой, в форме согласия — третий. Человеку непонятно, куда обращаться, а формально нарушен порядок реализации прав субъекта.

Нормач. 1 ст. 14, ст. 20, ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ

Санкция: ч. 4 ст. 13.11 КоАП РФ — от 40 000 до 80 000 ₽; при нарушении срока ответа на обращение — ч. 5, от 50 000 до 90 000 ₽, повторно от 300 000 до 500 000 ₽.

2. В политике нет ни слова про счётчики и cookie

Сайт с «Яндекс.Метрикой» или любым другим счётчиком собирает идентификатор в браузере посетителя, сведения об устройстве, источник перехода и метки кампаний. Это обработка персональных данных, и она должна быть раскрыта в политике отдельным разделом — с указанием, что именно собирается, для чего и на каком основании.

Санкция: ч. 1 ст. 13.11 КоАП РФ — для организаций от 150 000 до 300 000 ₽; повторно от 300 000 до 500 000 ₽.

3. Политика написана «на все случаи жизни»

Скачанный шаблон описывает видеонаблюдение, пропускной режим и работу с кандидатами, хотя на сайте одна форма обратной связи. Проверяющий видит расхождение между заявленным и фактическим — а это отдельный риск: сведения в уведомлении Роскомнадзора должны соответствовать фактической обработке.

Как проверить свою политику за десять минут

1. Откройте сайт в режиме инкогнито и найдите ссылку на политику из подвала любой внутренней страницы. Не нашли — первое нарушение уже есть.
2. Пройдите по списку из девяти пунктов выше и отметьте, какие разделы отсутствуют.
3. Сверьте контакты оператора в политике с контактами в шапке сайта и в тексте согласия.
4. Проверьте, описан ли сбор технических сведений — счётчики, cookie, идентификаторы.
5. Уберите из политики то, чего вы фактически не делаете.