Политика обработки персональных данных на сайте: обязательные разделы и штрафы
«Политика конфиденциальности» – самый недооценённый документ на сайте. Многие владельцы бизнеса считают её формальностью: скачали шаблон, вставили ссылку в подвал – и забыли. Между тем это прямое требование закона, а ошибки в этом документе – одна из частых причин штрафов по 152-ФЗ.
Разберём, что именно требует закон, какие разделы должны быть в политике и где чаще всего ошибаются.
«Политика конфиденциальности» или «политика обработки персональных данных»
Это один и тот же документ под двумя названиями. В законе он называется «политика в отношении обработки персональных данных» – так его именует ст. 18.1 152-ФЗ, и так его ищет инспектор. «Политика конфиденциальности» – прижившаяся калька с privacy policy, юридического значения название не имеет.
Назвать страницу можно как угодно, штраф за формулировку в заголовке не выпишут. Важно другое: оператор персональных данных обязан опубликовать документ с конкретным содержанием, и проверять будут именно содержание.
Почему политика обязательна
Статья 18.1 закона 152-ФЗ обязывает оператора персональных данных опубликовать документ, определяющий его политику в отношении обработки персональных данных, или обеспечить к нему неограниченный доступ. На практике это означает: на сайте, который собирает данные посетителей, должна быть отдельная общедоступная страница с политикой и рабочая ссылка на неё.
Важно: документ должен соответствовать реальности. Политика, которая описывает обработку, не имеющую отношения к вашему бизнесу, формально присутствует, но фактически не выполняет свою функцию – и это видно при проверке.
Что должно быть в политике: обязательные разделы
Грамотная политика обработки персональных данных обычно включает:
- Реквизиты оператора – кто обрабатывает данные: наименование, ИНН/ОГРН, контакты. Эти данные должны совпадать с тем, что указано в подвале сайта и на странице «Контакты».
- Цели обработки – зачем вы собираете данные (выполнение заказа, обратная связь, рассылка и т. д.).
- Правовые основания – на каком основании обрабатываете (согласие субъекта, исполнение договора, законные интересы).
- Категории субъектов и данных – чьи и какие именно данные обрабатываются.
- Порядок и условия обработки – как собираете, храните, удаляете.
- Сроки хранения и порядок уничтожения данных.
- Права субъекта – как человек может узнать о своих данных, потребовать их уточнения или удаления, отозвать согласие.
- Меры защиты данных.
- Сведения о трансграничной передаче (если она есть).
- Контакты для обращений по вопросам персональных данных и срок ответа.
Типичные ошибки
Чужие реквизиты. Самая частая ошибка – копипаст шаблона вместе с ИНН и названием чужой компании. Инспектору достаточно сверить реквизиты в политике с теми, что в подвале сайта.
Устаревшая редакция. Политика без даты или с редакцией трёх-четырёхлетней давности вызывает вопросы: законодательство за это время менялось. Указывайте дату актуализации.
Нет ссылки или ссылка битая. Документ есть, но добраться до него нельзя – формально доступ не обеспечен.
Политика не соответствует формам на сайте. Например, на сайте есть онлайн-оплата и запись на приём, а в политике об этом ни слова.
Заявлено «аналитику не используем», а счётчики стоят. Если на сайте работает Яндекс.Метрика или другие трекеры, политика должна это отражать.
Политика – это только часть требований
Опубликованная политика не закрывает все обязанности. Рядом с каждой формой сбора данных должно быть согласие на обработку со ссылкой на эту политику; маркетинговая рассылка требует отдельного согласия; cookie-баннер должен давать возможность отказа. Политика без этих элементов – половина дела.
Как проверить, всё ли в порядке
Проверить наличие политики, её доступность, совпадение реквизитов и согласия у форм можно автоматически. Сервис LawCheck обходит сайт и показывает, есть ли политика, какие обязательные элементы отсутствуют и какие нормы это нарушает – с цитатами прямо со страниц вашего сайта.
Реквизиты оператора в политике должны совпадать с теми, что указаны в уведомлении РКН. Сверить их с реестром можно на странице «Реестр операторов по ИНН».
Проверить свой сайт за 60 секунд →