Инструкция по обработке персональных данных на сайте

ГРВ / Статьи

Общие положения

Настоящая инструкция устанавливает порядок действий при работе с персональными данными (далее — ПД) на сайте организаций и индивидуальных предпринимателей (Далее совместно – Оператор). Чтобы избежать рисков, компания должна выстроить системную работу. Ниже представлены основные моменты, на которые необходимо обратить внимание при построении процесса обработки ПД с использованием сайта.

Локализация баз данных (хранение в РФ)

Законодательство требует, чтобы запись, систематизация, накопление и хранение ПД граждан РФ осуществлялись с использованием баз данных, находящихся на территории Российской Федерации.

Что это значит на практике:

Сайт может быть создан на любой платформе, но серверы, где физически хранятся собранные данные (Например: ФИО, номера телефонов, адреса электронной почты и т.д.), должны находиться в России.

При использовании иностранных сервисов (Например: CRM, email-рассылки), убедитесь, что они имеют серверы в РФ и соблюдают требование о первичной записи данных на территории России.

Публикация Политики обработки персональных данных

Политика обработки персональных данных (Далее – Политика) — это публичный документ, который объясняет пользователям, как и зачем собираются их данные. Отсутствие Политики на сайте является основанием для привлечения к административной ответственности.

Политика включена в пакет документов по защите ПД.

Где размещать: ссылка на Политику должна быть в подвале сайта, либо в разделе с документами Оператора.

Настройка форм сбора данных и получение согласий

Правила оформления чек-бокса (галочки):

1. Активное действие: флажок не должен быть установлен по умолчанию. Пользователь должен сам поставить галочку. В противном случае — это нарушение.
2. Информированность: рядом с галочкой должна стоять ссылка на форму согласия на обработку ПД. Текст в форме сбора должен быть понятным, например: «Нажимая кнопку, я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных».
3. Обязательность: Сделайте поле обязательным для заполнения, чтобы нельзя было отправить форму без согласия.

Отдельные согласия:

Для СМС-рассылок и рассылок по электронной почте рекламного характера требуется отдельное согласие. Недостаточно простого согласия на обработку данных, нужен отдельный чек-бокс на получение согласия на рекламную рассылку.

Если на сайте предусмотрено опубликование отзывов клиентов компании, то для размещения не анонимного отзыва (при опубликовании отзыва на сайте будут фигурировать ПД клиента) необходимо получить отдельное согласие на распространение ПД.

Такое же согласие необходимо получить с работников компании, если в планах есть размещение на сайте информации о них.

Оператор обязан в срок не позднее 3 рабочих дней с момента получения согласия на распространение опубликовать на сайте информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных для распространения.

Специального раздела для размещения законом не установлено, но, это может быть страница с заголовком "Информация об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных".

Работа с Сookie (Куки)-файлами и системами аналитики

Если на сайте используются метрические программы (Например: Яндекс.Метрика) и файлы Куки, это тоже считается обработкой ПД.

Метрические программы — это сервисы, предназначенные для оценки посещаемости веб-сайтов и анализа поведения пользователей. Они могут собирать различные данные пользователей (например: возраст, геолокацию, IP-адреса и др.).

Файлы куки — это небольшие текстовые файлы, которые веб-сайт сохраняет на компьютере или мобильном устройстве при посещении сайта. Они используются для запоминания действий и предпочтений в течение определённого периода времени.

Что необходимо сделать:

1. Всплывающие баннеры: разместить на сайте всплывающие баннеры при первом посещении, которые предупреждают об использовании куки и метрических программ.
2. Механизм согласия: Баннеры должны предоставлять выбор: согласиться на все или отключить некоторые файлы (кнопка "Настроить" или "Отклонить").
3. Фиксация выбора: Факт нажатия на кнопку "Согласен" должен храниться (лог-файлы), чтобы подтвердить правомерность обработки в случае проверки.

Взаимодействие с третьими лицами (поручение на обработку)

При передаче данные другим сервисам (Например: платформе для email-рассылки, CRM-системе, хостинг-провайдеру), необходимо заключить с ними поручение на обработку ПД. В этом документе должно быть указано, что третье лицо обязано соблюдать конфиденциальность и требования 152-ФЗ.

Важно: Многие крупные сервисы (Например: Яндекс, Тильда) включают такое поручение в оферту (публичный договор), и подписывать отдельный документ не нужно, но необходимо убедиться в его наличии на сайте поставщика услуг.

Реагирование на запросы субъектов

Пользователи имеют право:

• Отозвать согласие. В каждом письме должна быть ссылка "Отписаться", а на сайте — простой механизм отзыва согласия (Например: форма обращения).
• Получить информацию о том, как и какие данные хранятся. На это у компании есть 10 рабочих дней.
• Требовать уточнения или уничтожения данных, если они неактуальны или обрабатываются незаконно.

Вывод: что должно быть на сайте прямо сейчас

• Страница с Политикой обработки ПД.
• Баннеры, информирующие об использовании файлов куки и метрических программ с возможностью выбора.
• Чек-боксы под всеми формами обратной связи (активное согласие, не предзаполненное).
• Контактные данные оператора (адрес электронной почты или форма для обращений).

Соблюдение этих правил — это не только защита от многомиллионных штрафов, но и построение доверительных отношений с клиентами.

Источник: ООО "Консалтинговая компания "Акцепт Групп", mfo-pro.ru.
Информация носит справочный характер.