Кто обязан её публиковать
Часть 2 статьи 18.1 152-ФЗ: оператор, который собирает персональные данные через интернет, обязан опубликовать в той же сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите, а также обеспечить возможность доступа к этому документу.
«Собирает через интернет» — это форма обратной связи, заявка, подписка, регистрация, корзина заказа, чат. Отдельного порога по размеру бизнеса нет: обязанность одинакова у маркетплейса и у сайта мастерской из трёх человек.
Три разных документа, которые постоянно путают
- Политика обработки персональных данных — ваш односторонний документ о том, какие данные, зачем и как долго вы обрабатываете. Публикуется и доступна любому посетителю без регистрации.
- Согласие — то, что даёт человек: галочка в форме, нажатие на кнопку баннера. Политика согласие не заменяет и наоборот.
- Пользовательское соглашение или оферта — про услуги, оплату и возврат. К 152-ФЗ отношения не имеет.
Ссылка «Политика конфиденциальности», ведущая на условия использования сервиса, — частая и легко проверяемая ошибка.
Что должно быть в тексте
Закон описывает содержание документов оператора в пункте 2 части 1 статьи 18.1: для каждой цели обработки — категории и перечень персональных данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения данных при достижении целей. Отсюда практический минимум для сайта:
- кто оператор: наименование или ФИО, адрес, ИНН, способ связи;
- цели: обработка заявок, доставка, рассылка, аналитика — каждая отдельно;
- перечень данных по каждой цели: имя, телефон, почта, адрес доставки, идентификаторы посетителя;
- правовые основания: согласие, исполнение договора, требование закона;
- сроки хранения и порядок уничтожения;
- кому данные передаются: службы доставки, платёжный сервис, сервис рассылок, система аналитики;
- передаются ли данные за пределы России и на каком основании;
- права субъекта и адрес, по которому их можно реализовать: отзыв согласия, требование уточнить или удалить данные;
- раздел про cookie: какие идентификаторы собираются, какими счётчиками, как отказаться и как отозвать согласие.
Почему шаблон из поиска обычно не подходит
Шаблон описывает несуществующий сайт. В нём остаются цели, которых у вас нет, и нет тех, что есть: рассылка, запись на приём, чат поддержки, счётчики. Проверка сравнивает документ с фактическим поведением сайта, а не читает его как сочинение. Расхождение — это уже не отсутствие политики, а обработка данных в целях, которые не заявлены.
Второй типичный дефект — cookie. Счётчики стоят, а в политике про них ни слова. Третий — реквизиты: документ подписан от имени организации, которой на сайте нет нигде, включая подвал и раздел контактов.
Где размещать
Ссылка на политику должна быть доступна с любой страницы, где собираются данные, — обычно из подвала и рядом с каждой формой. Адрес документа лучше не менять: согласие человек давал по конкретной ссылке, и она должна открываться и через год. Файл PDF, который скачивается вместо открытия, — плохая идея: доступ к документу должен обеспечиваться средствами сети, а не почтовым ящиком и не загрузкой.
Дата утверждения и версия — полезная привычка. Когда политика меняется, старая редакция должна оставаться доступной: люди соглашались на неё, а не на нынешнюю.
Штраф
Отдельный состав — часть 3 статьи 13.11 КоАП: неопубликование документа или необеспечение к нему неограниченного доступа. Для граждан от 1 500 до 3 000 ₽, для должностных лиц от 6 000 до 12 000 ₽, для индивидуальных предпринимателей от 10 000 до 20 000 ₽, для юридических лиц от 30 000 до 60 000 ₽.
Сумма небольшая, и это вводит в заблуждение. Отсутствующая или формальная политика редко бывает единственной находкой: следом идут части 1 и 2 той же статьи — обработка в целях, не заявленных оператором (для юридических лиц от 150 000 до 300 000 ₽), и обработка без согласия там, где оно требуется (от 300 000 до 700 000 ₽). Политика — это документ, по которому проверяющий понимает, что вы вообще делаете с данными.
Как проверить себя
Откройте свою политику и пройдите по сайту с ней в руках. Каждой форме на сайте должна соответствовать цель в документе. Каждому счётчику — упоминание в разделе про cookie. Каждому стороннему сервису, к которому уходят данные, — строка о передаче. «Сверка» показывает вторую половину этой пары: какие счётчики и какие сторонние адреса реально работают на страницах и что из этого запускается до согласия. Сверить список с текстом политики — работа на десять минут.
Оговорка
Материал обзорный, это не юридическая консультация. Состав сведений в политике зависит от того, какие данные и в каких целях обрабатывает конкретный оператор; спорные ситуации стоит разбирать с юристом.