Политика конфиденциальности для сайта

Каждый владелец современного веб-ресурса — от простого блога с формой подписки до крупного интернет-магазина — сталкивается с необходимостью соблюдения законодательства о персональных данных.

В России эти вопросы регулируются Федеральным законом № 152-ФЗ «О персональных данных». Главным документом, подтверждающим легальность сбора и обработки информации о пользователях на сайте, является Политика конфиденциальности (или Политика обработки персональных данных). Отсутствие этого документа или его некорректное размещение может привести к блокировке ресурса и крупным штрафам со стороны Роскомнадзора.

Кому на сайте обязательно нужна Политика

Многие ошибочно полагают, что если на их сайте нет личного кабинета и оплаты, то они не обрабатывают персональные данные. Это не так.

С юридической точки зрения к персональным данным относится любая информация, прямо или косвенно относящаяся к физическому лицу. Если на вашем сайте есть хотя бы один из следующих элементов, вы автоматически признаетесь оператором персональных данных:

• Форма обратной связи («Заказать звонок», «Задать вопрос»).
• Форма подписки на email-рассылку или новости.
• Форма регистрации личного кабинета или авторизации через соцсети.
• Форма оформления заказа с указанием ФИО, телефона или адреса доставки.
• Системы веб-аналитики (Яндекс.Метрика, Google Analytics), которые собирают файлы cookie, IP-адреса и данные о геолокации пользователей.

Таким образом, Политика конфиденциальности необходима практически 99% существующих сайтов.

Основные требования Федерального закона № 152-ФЗ

Политика конфиденциальности не должна быть абстрактным текстом, скачанным из интернета. Закон требует, чтобы в ней были четко прописаны следующие моменты:

1. Кто обрабатывает данные: полное наименование компании, ИНН, адрес регистрации (или ФИО индивидуального предпринимателя, физического лица).
2. Цели сбора: зачем вам нужны данные пользователей (например, «для отправки заказов», «для ответов на вопросы пользователей», «для аналитики работы сайта»). Вы не имеете права собирать данные «про запас», цели должны быть конкретными.
3. Перечень собираемых данных: перечислите все поля (ФИО, телефон, адрес почты, cookie, IP-адреса).
4. Порядок обработки: как вы храните данные, передаете ли вы их третьим лицам (например, службам доставки или сервисам рассылок) и на каких условиях.
5. Уничтожение данных: как пользователь может отозвать свое согласие и потребовать удаления своих данных из вашей базы (обычно указывается email для отправки заявления).

Штрафы Роскомнадзора за отсутствие документов

Роскомнадзор регулярно проводит автоматизированные проверки сайтов на предмет соблюдения 152-ФЗ. Штрафы по ст. 13.11 КоАП РФ весьма существенны:

• Отсутствие на сайте Политики конфиденциальности или непредоставление неограниченного доступа к ней: штраф для ИП — от 10 000 до 20 000 рублей; для юридических лиц — от 30 000 до 60 000 рублей.
• Обработка персональных данных без письменного согласия пользователя (когда оно обязательно): штраф для граждан — от 6 000 до 10 000 рублей; для юрлиц — от 30 000 до 150 000 рублей (за повторное нарушение — до 300 000 рублей).
• Невыполнение требования по локализации баз данных на территории РФ: штраф для юрлиц — от 1 до 6 миллионов рублей (повторно — до 18 миллионов рублей).

Как правильно разместить ссылки в формах обратной связи

Разместить ссылку на Политику конфиденциальности в подвале сайта недостаточно. В каждой форме на сайте, где пользователь вводит любые свои данные (имя, телефон, почту), должны соблюдаться правила:

1. Под формой ввода должен быть чекбокс (галочка) согласия с текстом: «Я согласен на обработку персональных данных на условиях Политики конфиденциальности».

2. Словосочетания «Согласие на обработку персональных данных» и «Политика конфиденциальности» должны быть активными гиперссылками, ведущими на соответствующие страницы с текстами документов.

3. Чекбокс согласия не должен быть заполнен (активирован) по умолчанию. Пользователь должен сам кликнуть на него перед отправкой формы. В противном случае Роскомнадзор признает такое согласие вынужденным или полученным без ведома пользователя.