Разберём по пунктам, что нужно сделать на сайте прямо сейчас, чтобы не попасть на штрафы за нарушение ФЗ №152 «О персональных данных»
Федеральный закон № 152 «О персональных данных» был принят в 2006 году и регулирует деятельность по обработке, хранению и защите персональных данных граждан РФ. И если раньше было известно о штрафах и предписаниях Роскомнадзора в отношении только оффлайн-компаний, то сейчас контролирующие органы добрались и до сайтов.
В начале 2017 года ряд предпринимателей был оштрафован за то, что в форме на их интернет-сайтах, куда потенциальные клиенты вносили свои данные для обратной связи, отсутствовало согласие на обработку персональных данных. Размер штрафа составил по 10 000 рублей каждому владельцу сайта. А в марте суд оштрафовал Тамбовскую городскую юридическую компанию также за форму обратной связи на сайте, причём компания решение оспаривала, но суд оставил его без изменений. И количество таких дел в отношении владельцев сайтов увеличивается с каждым месяцем.
Пока сумма штрафов не велика – до 10 000 рублей, но, безусловно, вкупе с потраченными временем на судебные заседания и расходами на юристов, перспектива так себе. И это только начало.
Уже с 1 июля 2017 года произойдет серьёзное ужесточение законодательства в отношении защиты персональных данных и кратное увеличение штрафов – до 75 000 рублей. При этом названный штраф будет вменён за каждый эпизод нарушения ФЗ №152. Руководство компании-владельца сайта также может быть привлечено к административной ответственности наряду с самой компанией.
Что нужно сделать уже сейчас, чтобы обезопасить свою компанию? Разберём этот вопрос по пунктам.
Что такое персональные данные?
Персональные данные – это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия. То есть практически любая информация, которую пользователь указывает на сайте при регистрации или заполнении формы, попадает под действие ФЗ № 152.
Помимо информации, которую пользователь сам указывает на сайте, Роскомнадзор стал относить к персональным данным также данные о поведении пользователя на сайте, cookie, сведения о его геопозиции и IP-адрес. Результатом таких изменений стала нашумевшая в ноябре 2016 года блокировка в России рекрутингового сервиса LinkedIn.
То есть, если на вашем сайте в форме обратной связи есть поле «Имя» или «Представьтесь», то вместе с автоматически передаваемыми cookie и другими метаданными, это будет являться персональными данными, а вы – оператором персональных данных.
Хотите вы этого или нет, но если на вашем сайте накапливаются, хранятся или каким-то образом используются в работе персональные данные, то, с точки зрения закона, вы признаетесь оператором персональных данных и обязаны обрабатывать их в соответствии с ФЗ № 152 «О персональных данных».
Ужесточение законодательства по персональным данным
Как мы уже писали выше, с 1 июля 2017 года вступят поправки, которые ужесточат процедуры накопления, обработки и хранения персональных данных, а также увеличат штрафы. На сколько именно и за какие правонарушения – рассмотрим в таблице.
С 1 июля 2017 г. возбуждать дела об административных правонарушениях будут органы Роскомнадзора, а не прокуратура, как это делается сегодня. Уже сейчас понятно, что данные дела будут возбуждаться проще и быстрее, так как это будет делать сам орган, выявивший правонарушение.
В настоящее время за нарушение закона №152 ФЗ «О защите персональных данных» (сколько бы таких нарушений за 1 раз не было выявлено) можно привлечь только 1 раз. Начиная с 1 июля 2017 г. Роскомнадзор за один «визит» может составить сколько угодно протоколов об административном правонарушении по каждому нарушению. О размере возможно штрафа в таком случае можно только догадываться.
Расположение хостинга сайта
В соответствии с ФЗ № 152, все интернет-ресурсы, на которых хранятся и обрабатываются персональные данные, должны быть расположены на территории Российской Федерации. С учётом того, что контролирующие органы считают персональными данными также и данные о поведении пользователя на сайте, то это касается практически любого интернет-ресурса. За нарушение этого требования Роскомнадзор их блокирует.
Под расположением хостинга подразумевается физическое местонахождение ЦОДа, на котором размещен ваш сайт. То есть, если хостинг-провайдер зарегистрирован в России, а его ЦОДы расположены, к примеру, в Эстонии, вы нарушаете закон и попадаете под блокировку сайта.
Что нужно сделать на сайте, чтобы избежать штрафов
Мы составили список работ, которые стоит сделать на своём сайте прямо сейчас. Это тот необходимый минимум, который позволит вам избежать проблем в случае проверок Роскомнадзора.
1. Добавить текст согласия на обработку персональных данных
Под каждой формой ввода данных на сайте (регистрация, заявки на услугу, обратный звонок) разместить текст «Нажимая на кнопку «Название кнопки», я даю согласие на обработку персональных данных», где текст «согласие на обработку персональных данных» является ссылкой на документ. Примеры документов вы можете посмотреть на федеральных сайтах, например, ozon.ru и tinkoff.ru.
Вместо согласия можно использовать единую публичную оферту, но в ней будет нужно прописать, в каких целях, какие данные обрабатываются, то есть указать всё, согласно ч.4 ст.9 152-ФЗ. В этом случае обязательно хранить логи, чтобы, в случае чего, доказать Роскомнадзору, что тот или иной пользователь действительно заходил на сайт и оставлял там свои персональные данные.
2. Составить документ "Политика в отношении обработки персональных данных"
Этот документ нужно разместить на сайте в свободном доступе. В данном документе должны быть описаны процедуры сбора, обработки и хранения персональных данных пользователей сайта. Хорошо проработанный документ о политике в отношении обработки персональных данных есть на ikea.com. При этом с данным документом регистрирующийся не должен соглашаться при заполнении формы.
3. Узнать, где находится хостинг сайта
Узнать у хостинг-провайдера, где физически находится ЦОД, в котором расположен ваш сайт и, в случае, если он расположен не на территории РФ, перенести сайт на другой хостинг. Сделать это вы можете, отправив запрос в техническую поддержку сайта.
4. Указать email для обращений пользователей по персональным данным
Укажите email, куда физическое лицо может обратиться за тем, чтобы его персональные данные были удалены, заблокированы и вообще, куда он может задать вопрос по персональным данным. Email можно указать в документах, описанных выше.
Важно, чтобы указанный email был рабочим, информация на нем регулярно проверялась, чтобы не пропустить запрос пользователя на удаление персональных данных с сайта.
5. Подать уведомление об обработке персональных данных в Роскомнадзор
Вам или агентству-разработчику сайта необходимо подать уведомление об обработке персональных данных в Роскомнадзор, для этого нужно перейти по ссылке и помимо всего прочего указать там адреса местонахождения баз персональных данных и перечень персональных данных, которые в них содержатся.
6. Заключить соглашение о безопасности персональных данных с разработчиком сайта
В случае если агентство-разработчик сайта имеет доступ к персональным данным из заявок или базы данных сайта (например, сайт находится на технической поддержке), вам необходимо заключить соглашение с агентством об обеспечении безопасности персональных данных. В соглашении должно быть указано, какие персональные данные агентство может обрабатывать, в каких целях и какие действия с ними выполнять. Также там должны быть требования по защите персональных данных.
7. Поставить на сайте дисклеймер
До 1 июля 2017 года поставить на сайте дисклеймер, который будет уведомлять посетителей сайта, что его персональные данные обрабатываются на сайте в целях его функционирования и, если он не согласен, то должен покинуть сайт. Примеры дисклеймеров вы можете посмотреть на сайтах marykay.ru и bmw.ru. В противном случае это будет являться согласием на обработку его персональных данных.