Конструктор политики обработки персональных данных

Если на принадлежащем вам сайте есть та или иная форма сбора данных — это обработка персональных данных. На такое действие, как обработка персональных данных, нужно согласие, и его должен дать каждый посетитель. Также необходимо опубликовать текст политики обработки персональных данных, а именно - ссылку на этот документ. Перейдя по ней, посетители сайта ознакомятся с положениями, дадут согласие на осуществление соответствующих действий, и только затем оставят свои сведения.

Чтобы воспользоваться генератором:

1. Добавьте необходимую информацию в форму генератора политики.
   • Мы предоставляем услуги на юридическом рынке уже более 11 лет
   • Документ генерируется в соответствии с требованиями закона №152-ФЗ «О персональных данных»
   • Генератор учитывает последние изменения закона, принятые в феврале 2023 года, и вступившие в силу в мае 2023 года
2. Ваши данные автоматически появятся в образце
3. Скопируйте полученный результат

Статус оператора персональных данных

Ровно с того момента, как сайт начинает собирать информацию личного характера (на основании которых становится возможной идентификация) о пользователях, он становится оператором персональных данных (ОПД) - автоматически. Соответственно, от пользователя получается подтвержденное согласие.

Сайт может стать ОПД в следующих случаях:

• посетитель решил подписаться на рассылку, указал свой e-mail, имя и фамилию;
• посетитель решил завести личный кабинет, зарегистрировался, указав имя и оставив номер телефона;
• посетитель оформил заказ, внес свои данные, либо подписал соответствующий договор.

Если посетитель сайта захотел получить обратный звонок и оформил соответствующую заявку, оставив свои данные, это тоже будет считаться обработкой ПД. При скачивании и установке мобильного приложения и на этапе авторизации пользователь указывает свои данные, что тоже попадает под определение обработки персональных данных. В обоих случаях для совершения соответствующих действий обязательно информационное подтвержденное согласие.

Персональные данные

Вы открыли собственный сайт, например, запустили интернет-магазин - соответственно, вы уже взаимодействуете с посетителями веб-ресурса, и, как следствие, уже собираете их ПД. Логично предположить, что ваш статус с этих пор - оператор персональных данных (ОПД). Осуществляемая вами деятельность регулируется специальным нормативным актом - 152-ФЗ «О персональных данных». Согласно ему, вам необходимо получить согласие каждого субъекта на обработку персональных данных. Это регламентировано п. 1 ч. 1 ст. 6 закона.

В 152-ФЗ приводится определение такого понятия, как персональные данные - это информация, она имеет либо прямое, либо косвенное отношение к субъекту данных (физическому лицу). Можно предположить, что по этой информации, среди прочего, можно идентифицировать пользователя.

Если с собранной о пользователе информацией совершаются какие-либо действия, они, вне зависимости от характера, попадают под определение обработки. Эти действия могут выражаться в передаче, в сборе, в анализе или в записи, в удалении или в хранении, во внесении изменений.

Пользователю, который впервые попадает на новый для себя сайт, предлагается заполнить форму, подтверждающую согласие на обработку. Заполняя ее, он указывает свое имя, другую личную информацию. Далее эти данные попадают в систему CRM, и в перспективе они будут включены в базу по рассылке. Важное условие - пользователь должен подтвердить, что он согласен на такую обработку.

Еще один пример того, как это работает: пользователь совершает заказы в интернет-магазине, история заказов сохраняется - речь идет об адресе, по которому покупатель получал товары, и номер его телефона. Это - предоставление пользователем его персональных данных.

В тексте 152-ФЗ отсутствуют указания, что следует считать ПД. Не зафиксирован и перечень комбинаций сведений и самих сведений, на основании которых возможна идентификация. Данные по отдельности, даже если это одна и та же информация, не считается персональными по закону. К примеру, если пользователь оставит e-mail, но не укажет при этом свое имя и фамилию, можно воспользоваться типовой готовой формы согласия, и этого будет достаточно.

Рекомендуется принимать во внимание, что считается ПД с точки зрения Роскомнадзора и судебных органов РФ. В частности, можно с высокой точностью утверждать, что и cookie, и географическое положение - это ПД, причем, даже если в дополнение к ним пользователь не указывает другую личную информацию. Это подтверждается примерами из практики: LinkedIn был решением суда заблокирован - решение вынесли на основании того, что сайт использовал информацию о поведении посетителей, сведения о них, а также данные об их местоположении, cookie. Аналогичными фактами суд руководствовался и накладывая блокировку на веб-ресурс «Скартел».

Когда уведомление подавать не обязательно

Как уже отмечалось, подача уведомления - обязательный этап для каждого владельца веб-сайта, если на нем собираются ПД. Без уведомления соответствующих органов оператор имеет право обрабатывать ПД только в отдельных случаях - они прописаны в п. 2. ст. 22 152-ФЗ:

• ПД входят в государственные информационные системы (ГИС) , которые были разработаны специально с целью защиты безопасности общественного порядка и самого государства;
• деятельность, связанная с обработкой ПД, реализуется без применения средств автоматизации.

Обстоятельства, допускающие обработку ПД без уведомления в обязательном порядке, предусмотрены законодательством РФ о транспортной безопасности.

Правила работы оператора персональных данных

Как следует из нормативного акта, сайт, где обрабатываются ПД, должен подходить под требования, указанные в нормативном акте. В первую очередь нужно зарегистрироваться как ОПД - для этого нужно собрать требуемые документы и направить в Роскомнадзор уведомление.

Если речь идет об обработке ПД, которые впоследствие будут направляться за границу (трансграничная передача), уведомление тоже требуется - в отдельном порядке и по конкретной форме.

В обязательном порядке на сайте публикуются документы:

• пользовательское соглашение;
• политика по обработке ПД;
• уведомление о фактически осуществляемом сборе других данных (cookies).

Многие компании используют для подготовки этих документов конструктор обработки персональных данных, считая такой способ удобным.

Документы

ОПД перед тем, как приступить к своей работе, должен иметь в готовом виде ряд документов. Вот лишь некоторые из них:

1. Политика по обработке персональных данных.
2. Внутреннее положение об обработке ПД.
3. Приказ, согласно которому назначается ответственное за организацию обработки ПД лицо.
4. Приказ, регламентирующий работу с персональными данными
5. Регламент, регулирующий порядок доступа к ПД.
6. Согласие на обработку пд.
7. Обязательство о неразглашении ПД.

Образец согласия на обработку персональных данных можно скачать, перейдя по ссылке ниже.

Весь перечень документов, который потребуется для работы ОПД, можно найти на официальном веб-ресурсе Роскомнадзора. Какие конкретно документы потребуются - зависит от деятельности конкретного оператора, в том числе, от того, какие способы сбора, хранения и обработки ПД применяются.

Для того, чтобы получить готовое, составленное по всем правилам и с учетом требований закона согласие на обработку персональных данных в виде бланка можно обратиться к нашим юристам ЕЮС.

Правила подачи уведомления в Роскомнадзор

Готовое и сформированное заявление на обработку персональных данных направляется в письменном виде. На документе должна быть проставлена печать организации и подпись ее руководителя. Перед отправкой заявления нужно будет заполнить соответствующую форму: она есть на сайте Роскомнадзора.

На добавление в соответствующий реестр полученной информации отводится 30 дней - отсчет начинается с даты официального приема документа ведомством.

Размещение на сайте

К публикации информированного согласия на предстоящую обработку персональных данных на сайте можно переходить сразу после отправки уведомления в Роскомнадзор. Вовсе не обязательно размещать документ в текстовом полноформатном виде - будет достаточно публикации файла в формате PDF. Также для соответствующих целей подойдет и конструктор политики обработки персональных данных.

Пользователь сайта может подтвердить свое согласие в дистанционном режиме. Для предоставления ему такой возможности в каждый действующий раздел сайта потребуется внести чекбокс. В этом чекбоксе посетитель сможет просто поставить отметку - она будет считаться подтверждением того, что он дает свое разрешение на обработку персональных данных. Важно проследить за наличием гиперссылки на текст согласия.

Кроме чекбокса, на сайте нужно будет опубликовать специальное уведомление о том, что ведется сбор технических данных, позволяющих оптимизировать работу (cookies). Для того, чтобы дать информированное согласие на предстоящую обработку персональных данных, посетителю нужно будет просто нажать на кнопку «Принять».

Согласно ч. 2 ст. 9 Фе­де­раль­но­го за­ко­на от 27.07.2006 N 152-ФЗ, посетитель наделен правом на отзыв согласия. Чтобы реализовать это право, ему потребуется отправить соответствующее заявление. Составить его он может по готовому шаблону. Как выглядит отзыв согласия, можно посмотреть, скачать образец документа ниже.

Ответственность за нарушения

За нарушение 152-ФЗ Роскомнадзор может оштрафовать – предусмотрена административная и уголовная ответственность. Размер штрафа может варьироваться в зависимости от статуса нарушителя, тяжести самого нарушения, а также от наличия подобных нарушений в прошлом.

С целью выявления правонарушений Роскомнадзор проводит как внеплановые, так и плановые проверки, документарные и выездные. Если проверка плановая, то компания будет заранее оповещена об этом. Можно свериться и с графиком проверок, который публикуется на сайте ведомства. Внеплановые проверки, как правило, инициируются после получения Роскомнадзором жалоб, и о них ведомство предупреждает заранее – за 24 часа.

По итогам проверки ведомство может выдать предписание об устранении нарушений, например, о размещении заявления на разрешение проведения обработки, если оно отсутствует. Предписание нужно будет выполнить в конкретные сроки – они устанавливаются в индивидуальном порядке, но, как правило, не превышают шести месяцев.

Размеры штрафов

Строгость санкций напрямую зависит от двух факторов:

• тип допущенного нарушения;
• форма ведения бизнеса.

Так, если речь идет о нарушении, допущенном представителем малого бизнеса, штраф будет меньше, чем в случае с крупной компанией.

Штраф за использование данных пользователя без предоставленного им согласия / несоответствие формы согласия нормам закона (ст. 4.1.2 КоАП РФ)

Кто нарушил	Сумма штрафа (при первом / повторном нарушении)
Индивидуальный предприниматель	20 - 40 тысяч рублей / 100 - 300 тысяч рублей
Предприятие (малое)	15 - 75 тысяч рублей / 100 - 300 тысяч рублей
Крупные и средние предприятия	30 - 150 тысяч рублей / 300 - 500 тысяч рублей

Перечисленные санкции зафиксированы в ч. 2 и 2.1 ст. 13.11 КоАП РФ

Штраф за совершенную обработку данных в целях, которые не совпадают с тем, что прописано в согласии (ч. 1 и 1.1 ст. 13.11. КоАП РФ).

Кто нарушил	Сумма штрафа (при первом / повторном нарушении)
Индивидуальный предприниматель	10 - 20 тысяч рублей / 50 - 100 тысяч рублей
Предприятия (малые)	30 - 50 тысяч рублей / 50 - 100 тысяч рублей
Предприятия (крупные и средние)	60 - 100 тысяч рублей / 100 - 300 тысяч рублей

Отсутствие опубликованной политики персональных данных на страницах (всех без исключения) сайта (ч. 3 ст. 13.11. КоАП РФ)

Кто нарушил	Сумма штрафа
Индивидуальный предприниматель	10 - 20 тысяч рублей
Предприятия (малые)	10 - 20 тысяч рублей
Предприятия (крупные и средние)	30 - 60 тысяч рублей

Штрафы за отказ в уничтожении ПД по требованию субъекта ПД или его представителя (ч. 5 и 5.1 ст. 13.11. КоАП РФ)

Кто нарушил	Сумма штрафа (при первом / повторном нарушении)
Индивидуальный предприниматель	20 - 40 тысяч рублей / 50 - 100 тысяч рублей
Предприятия (малые)	20 - 40 тысяч рублей / 50 - 100 тысяч рублей
Предприятия (крупные и средние)	50 - 90 тысяч рублей / 300 - 500 тысяч рублей

Штраф за несвоевременную отправку в Роскомнадзор уведомления (ст. 19.7. КоАП РФ)

Кто нарушил	Сумма штрафа
Индивидуальный предприниматель	300 - 500 рублей
Предприятие (малое)	1500 - 2500 рублей
Предприятие (крупное, среднее)	3 000 - 5 000 рублей

Штраф за утечку ПД по причине нарушения правил хранения для малых предприятий и индивидуальных предпринимателей, согласно ч. 6 ст. 13.11. КоАП РФ, составляет от 20 до 40 тысяч рублей, а для крупных и средних предприятий - от 50 до 100 тысяч рублей.

Работа с персональными данными: заключение

Начиная использовать сайт в коммерческих или других целях, сверяйтесь с нашим чек-листом, чтобы не забыть о самом важном.

Чек-лист по обработке ПД:

1. Если вы запускаете свой сайт, то получаете статус ОПД автоматически – даже если просто указываете номер мессенджера в разделе с контактной информацией.
2. Как ОПД вы имеете обязанность уведомить Роскомнадзор о том, какую деятельность ведете, и должны соблюдать 152-ФЗ.
3. Подготовьте заранее пакет требуемых документов для подачи в Роскомнадзор – он должен включать, в том числе, внутреннее положение, регламентирующее обработку ПД на вашем сайте.
4. От посетителя вашего сайта вы можете получить согласие удаленно – например, разместив на веб-ресурсе чекбоксы.
5. Проверьте наличие всех требуемых документов на сайте, разработайте регламент обработки с учетом вашей деятельности.
6. Информируйте Роскомнадзор о ваших планах, связанных с передачей данных за пределы РФ.