Если ваша компания собирает и обрабатывает персональные данные (ПД) — например, через сайт, анкеты или кадровые документы — вы обязаны соблюдать требования закона и взаимодействовать с Роскомнадзором. Разберём ключевые моменты без юридических тонкостей.
Кто может отвечать за персональные данные
Ответственным за обработку ПД может быть:
· генеральный директор;
· кадровик (даже если работает по договору ГПХ);
· любой другой сотрудник;
· сторонняя организация.
Важно: издайте приказ, где чётко прописаны обязанности ответственного. Человек должен знать о своей роли — внезапный звонок из Роскомнадзора не должен стать для него сюрпризом.
Когда нужно уведомлять Роскомнадзор
С 1 сентября 2022 года почти все организации и ИП обязаны подавать уведомление, даже если:
- работаете только с сотрудниками (например, оформляете трудовые договоры);
- у вас нет штатных сотрудников (но есть клиенты или посетители сайта);
- вы — ИП без работников, но собираете данные клиентов.
Исключений почти не осталось: раньше некоторые случаи не требовали уведомления, но сейчас правила ужесточились.
Как подать: через портал Роскомнадзора.
Особые случаи:
- СНТ — тоже оператор ПД, если обрабатывает данные членов товарищества.
- Смена названия компании — в течение 15 дней после изменения подайте новое уведомление.
- Сайт с формами сбора данных (даже если это просто метрика или контактная форма) — требует уведомления.
Согласие на обработку данных
Пользователь должен активно выразить согласие — например, поставить галочку в чек‑боксе. Недопустимо скрытое согласие через общие формулировки.
Что важно:
1. Отдельные цели — отдельные согласия. Например, согласие на рассылку рекламы даётся отдельно от согласия на обработку данных для выполнения договора.
2. Подтверждение согласия. Храните логи или иные доказательства, что пользователь дал согласие (например, ссылку‑подтверждение).
3. Мобильные приложения — требования те же, что для сайтов.
4. Фото и ФИО на сайте — если публикуете портреты сотрудников или клиентов, получите их письменное согласие.
Оферта и согласие:
- Оферта нужна, если вы продаёте товары/услуги через сайт.
- В оферту нельзя включать согласие на обработку ПД — это разные документы. Но если обработка данных строго ограничена рамками оферты (без дополнительных услуг), отдельное согласие может не потребоваться.
Политика обработки персональных данных
Этот документ обязателен для всех, кто работает с ПД (письмо Роскомнадзора от 19.10.2021 № 08‑71063).
Где разместить: на сайте — в доступном месте (например, в футере). Если сайта нет, обеспечьте доступ иным способом (стенд в офисе и т. п.).
Как сформулировать согласие на сайте:
«Нажимая кнопку „Отправить“, вы соглашаетесь на обработку персональных данных в соответствии с "Политикой конфиденциальности" и "Согласием на обработку персональных данных".
Политика конфиденциальности и Политика обработки ПД — это может быть один или два разных документа. Главное — чтобы они чётко описывали, как вы работаете с данными.
Частые вопросы
1. Скан подписи — это ПД?
Сам по себе — нет. Но если подпись стоит под анкетой с ФИО и другими данными, то совокупность сведений становится ПД.
2. Можно ли обрабатывать данные семьи сотрудника без их согласия?
Только если это требуется по закону. В остальных случаях нужно письменное согласие родственников.
3. Нужен ли баннер о cookie?
Да. Он уведомляет пользователей о сборе метрических данных (ч. 1 ст. 6 Федерального закона № 152‑ФЗ).
4. Как уведомить Роскомнадзор о Telegram‑боте?
О самих сервисах уведомлять не нужно, но цели их использования должны быть указаны в вашем уведомлении в Роскомнадзор.
5. Собственный сервер — это ЦОД?
Да. Укажите его адрес в уведомлении.
6. Где размещать ограничение на распространение фото?
На страницах, где публикуются фото с ПД (например, в разделе с отзывами или на страницах сотрудников).
Что грозит за нарушения
Роскомнадзор может:
- выдать предписание об устранении нарушений;
- оштрафовать организацию или ИП;
- заблокировать сайт (в крайних случаях).
Главное правило: обрабатывайте данные только с согласия людей, чётко следуйте своей Политике и своевременно уведомляйте Роскомнадзор.