Если на сайте вы просите пользователей ввести данные о себе, составьте политику конфиденциальности и сообщите в Роскомнадзор. Иначе — штраф.
С 1 июля 2017 года вступили в силу поправки к закону об ответственности за нарушения при работе с персональными данными. За нарушение правил сбора, хранения и обработки данных на тот момент был предусмотрен штраф до 75 000 рублей. Исполнение закона контролирует Роскомнадзор, так что лучше выполнить все требования вовремя.
Кого затронули изменения
Под действие закона попадают физические лица и организации, которые работают с персональными данными: посетителей, клиентов, сотрудников или соискателей вакансий.
По традиции закон не даёт чёткого перечня того, что считать персональными данными:
Под персональными данными можно понимать любую информацию, прямо или косвенно относящуюся к определенному физическому лицу…
Подразумевается, что персональные данные — это те, по которым можно вычислить конкретного человека. Если на сайте вы спрашиваете только никнейм и ничего больше, можно ни о чём не беспокоиться. В остальных случаях вы, скорее всего, подпадаете под определение оператора персональных данных.
Что относится к персональным данным
- фамилия, имя, отчество;
- адрес;
- электронная почта;
- телефон;
- дата или место рождения;
- ссылка на соцсети;
- профессия.
Если вы не готовы отстаивать свою правоту в суде, лучше перестраховаться и считать персональными данными все спорные варианты. Вряд ли вы докажете Роскомнадзору, что отчество бабушки пользователя к ним не относится.
А что насчёт cookie и геолокации?
Строгого запрета в законе нет. Cookie, геолокация и IP-адрес сами по себе не идентифицируют пользователя, но в привязке к другой информации о нём (имя, телефон, почта) становятся персональными данными. Поэтому получить согласие на обработку cookie и определение местоположения будет не лишним.
Кстати, по закону нельзя собирать избыточные персональные данные. Не нужно запрашивать номер паспорта, если вы доставляете пиццу.
Я оператор персональных данных. Что делать?
- Составьте политику конфиденциальности и разместите её на сайте.
- На каждой форме сделайте чекбокс «Даю согласие на обработку персональных данных».
- Поставьте ссылку на текст соглашения об обработке персональных данных рядом с каждой формой сбора данных и в подвале сайта.
- Сообщите в Роскомнадзор, что вы являетесь оператором персональных данных.
А можно не сообщать?
Можно, но тогда придётся убрать с сайта все формы, которые запрашивают данные посетителей.
Как уведомить Роскомнадзор?
Уведомление отправляют на сайте Роскомнадзора, заполнив соответствующую форму: сначала в электронном виде, потом — почтой. Не стоит бояться «выйти из тени»: Роскомнадзор не накажет вас за то, что вы нарушали закон в прошлом.
Что мы сделали в сервисах Аллоки
Мы добавили согласие на обработку персональных данных в виджет обратной связи — там всё обновилось автоматически. При желании в настройках виджета можно поставить ссылку на собственный текст согласия.
