Политика обработки персональных данных для сайта: что должно быть

Три разных документа, которые постоянно путают

В разговорах про персональные данные обычно смешивают три вещи, а это три разные обязанности с разными последствиями. Политика — внутренний документ компании о том, как она обращается с данными вообще; его нужно опубликовать. Согласие — то, что даёт конкретный человек по конкретному поводу (разбор — в статье «Согласие на обработку персональных данных»). Уведомление — сведения, которые компания подаёт в Роскомнадзор до начала обработки, чтобы попасть в реестр операторов.

Наличие одного не закрывает два других. Компания с безупречной политикой на сайте, но без уведомления, отвечает за неуведомление отдельно. И наоборот: поданное уведомление не отменяет обязанности опубликовать политику.

Где закон требует размещать политику

Обязанность записана в части 2 статьи 18.1 закона «О персональных данных». Формулировка там точнее, чем принято думать, и в ней два разных требования.

Первое — общее: оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите данных.

Второе — отдельное, для тех, кто собирает данные через интернет: такой оператор обязан опубликовать политику на страницах принадлежащего ему сайта, с использованием которых осуществляется сбор персональных данных, и обеспечить возможность доступа к документу средствами сети.

Отсюда практический вывод, который упускают чаще всего. Недостаточно положить политику одной страницей где-то в глубине сайта. Если форма заявки стоит на десяти посадочных страницах, доступ к политике должен быть с каждой из них — обычно это ссылка рядом с формой и в подвале. Страница с формой без ссылки на политику формально не отвечает требованию, даже если сам документ на сайте есть.

Что обязано быть внутри: перечень прямо из закона

Содержание политики не отдано на усмотрение компании целиком. Пункт 2 части 1 статьи 18.1 перечисляет, что должны определять документы оператора, и этот перечень удобно использовать как чек-лист. Для каждой цели обработки должны быть указаны:

• категории и перечень обрабатываемых персональных данных;
• категории субъектов, чьи данные обрабатываются, — клиенты, сотрудники, кандидаты, представители контрагентов;
• способы обработки;
• сроки обработки и хранения;
• порядок уничтожения данных при достижении целей обработки или при наступлении иных законных оснований.

Обратите внимание на слова «для каждой цели». Именно здесь ломается большинство скачанных шаблонов: в них одна общая формулировка на всё, а в жизни у компании минимум три разные цели — обработка заявок с сайта, кадровый учёт и рассылки. Данные, сроки и основания у них разные, и в политике они должны быть разведены.

Тем же пунктом закон требует локальных актов, устанавливающих процедуры предотвращения и выявления нарушений и устранения их последствий. То есть политика — не единственный документ, а часть комплекта.

Чего в политике быть не должно

В том же пункте есть прямой запрет: документы и локальные акты оператора не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством полномочия и обязанности.

На практике это означает, что попытка «подстраховаться» формулировками вроде «пользователь отказывается от права требовать удаления данных» или «компания не несёт ответственности за утечку» не просто бесполезна — она делает документ противоречащим закону. Такой пункт не будет работать, а внимание проверяющего привлечёт.

Сколько стоит отсутствие политики

Ответственность отдельная и не зависит от того, произошла ли утечка. Часть 3 статьи 13.11 Кодекса об административных правонарушениях наказывает невыполнение обязанности опубликовать документ или иным образом обеспечить к нему неограниченный доступ:

• граждане — от 1 500 до 3 000 рублей;
• должностные лица — от 6 000 до 12 000 рублей;
• индивидуальные предприниматели — от 10 000 до 20 000 рублей;
• организации — от 30 000 до 60 000 рублей.

Суммы на фоне других составов этой статьи невелики, и именно поэтому их недооценивают. Но нарушение фиксируется без всякой проверки на месте: достаточно открыть сайт. Это самый простой для регулятора состав из всех, что касаются персональных данных, — и обычно первый, с которого начинается разговор.

Для сравнения масштаба: обработка данных без согласия там, где оно требовалось, стоит организации от 300 000 до 700 000 рублей по части 2 той же статьи, а неуведомление Роскомнадзора — от 100 000 до 300 000 по части 10. Полный разбор санкций — в статье «Штрафы за нарушения с персональными данными».

Политику могут запросить напрямую

Часть 4 статьи 18.1 обязывает оператора по запросу Роскомнадзора представить документы и локальные акты либо иным образом подтвердить принятие мер. Запрос приходит в письменном виде с указанием срока, и ответ «политика у нас есть, посмотрите на сайте» закрывает вопрос только если документ там действительно опубликован и соответствует тому, что компания делает.

Здесь и вскрывается главная слабость шаблонов. Проверяющего интересует не наличие файла, а совпадение написанного с реальностью: какие формы стоят на сайте, какие поля в них собираются, куда уходят данные, какие счётчики и сервисы рассылок подключены. Если в политике не упомянуты аналитика и рассылка, а на сайте они работают, документ противоречит фактам — и это хуже, чем неточная формулировка.

Частые ошибки, которые видно сразу

• Скачанный шаблон с чужим названием или реквизитами внутри — встречается чаще всего.
• Политика есть, но ссылка на неё стоит не на всех страницах, где собираются данные.
• Ссылка ведёт на страницу, которая не открывается или требует авторизации — это не «неограниченный доступ».
• Ссылка физически перекрыта плавающим блоком или баннером: формально она в коде есть, кликнуть по ней нельзя.
• Общие цели обработки вместо конкретных, без разделения на заявки, кадры и рассылки.
• Не указаны сроки хранения и порядок уничтожения — а закон требует их для каждой цели.
• Не упомянуты получатели данных: сервис рассылок, коллтрекинг, служба доставки, бухгалтерия на аутсорсе.
• Документ не обновлялся после появления на сайте новых форм и сервисов.

Как проверить свою политику за десять минут

Откройте сайт в обычном режиме, без входа в аккаунт, и пройдите по списку.

• Найдите на главной ссылку на политику. Открывается ли она в один клик, без регистрации?
• Откройте страницу с формой заявки. Есть ли ссылка на политику рядом с формой? Проверьте на телефоне: там ссылку часто перекрывает кнопка звонка.
• В самом документе найдите название своей компании и реквизиты — они должны быть настоящими.
• Сверьте перечень данных с полями ваших форм. Если форма спрашивает город или должность, а в политике их нет — расхождение.
• Проверьте, перечислены ли цели по отдельности и указан ли для каждой срок хранения.
• Посмотрите, названы ли сервисы, которым вы передаёте данные.
• Проверьте дату утверждения: документ должен быть свежее, чем последняя форма на сайте.

Расхождение хотя бы по одному пункту — повод переписывать документ под себя, а не править формулировки в шаблоне.

Политика — одна из нескольких обязанностей

Публикация политики закрывает часть 2 статьи 18.1, но не остальные требования закона. Компании нужен назначенный ответственный за организацию обработки, комплект локальных актов, формы согласий и поданное уведомление в Роскомнадзор. Что именно обязан бизнес — в статье «Персональные данные по 152-ФЗ: что обязан бизнес», порядок подачи сведений — в статье «Уведомление в Роскомнадзор».

Частые вопросы