Политика обработки персональных данных для сайта

Если сайт получает хотя бы минимальную информацию о пользователях — имя, номер телефона, адрес электронной почты или данные через cookie-файлы — владелец сайта становится оператором персональных данных и обязан соблюдать требования ФЗ-152. Одним из ключевых требований является наличие политики обработки персональных данных, опубликованной в открытом доступе.

Почему политика для сайта является обязательным документом

Требования законодательства распространяются практически на любой ресурс, который получает информацию о пользователях: сайт с формой обратной связи, корпоративный сайт компании, лендинг с заявкой, интернет-магазин, образовательная платформа, сервис онлайн-записи, сайт с подпиской на рассылку.

Какие данные сайт может собирать

Когда политика обязательна

Политика обычно необходима, если на сайте присутствует хотя бы один из следующих элементов: форма обратной связи, форма заказа, подписка на новости, регистрация пользователя, личный кабинет, онлайн-консультант, форма обратного звонка, система комментариев, аналитические сервисы, cookie-файлы.

Что должна содержать политика сайта

Информация о владельце сайта

Необходимо указать наименование организации или ФИО ИП, адрес, контактные данные, адрес электронной почты для обращений.

Пример: «Оператором персональных данных является ООО «Название», ОГРН _______, адрес: _______. Контакты для обращений по вопросам обработки персональных данных: email@site.ru».

Цели обработки данных

Например: обработка заявок, обратная связь, регистрация пользователей, предоставление услуг, исполнение договоров, направление информационных сообщений.

Пример: «Персональные данные обрабатываются в целях обработки заявок на сайте, предоставления консультаций и направления ответов на обращения пользователей».

Категории персональных данных

Следует описать, какие именно данные собираются через сайт.

Пример: «Сайт собирает следующие данные: имя, номер телефона, адрес электронной почты, а также технические данные — IP-адрес и идентификаторы cookie».

Правовые основания обработки

Обычно указываются согласие пользователя, исполнение договора, требования законодательства.

Пример: «Обработка осуществляется на основании согласия пользователя, предоставляемого при заполнении формы на сайте».

Права пользователей

Посетитель сайта должен понимать, как он может получить информацию о своих данных, изменить данные, отозвать согласие, потребовать удаления информации.

Пример: «Пользователь вправе запросить информацию об обрабатываемых данных, потребовать их уточнения или удаления, а также отозвать согласие на обработку, направив запрос на email@site.ru».

Меры защиты данных

Следует указать, что оператор принимает необходимые организационные и технические меры безопасности.

Пример: «Оператор применяет организационные и технические меры защиты, включая разграничение доступа, шифрование при передаче данных и регулярное обновление систем безопасности».

Особенности политики для сайтов с cookie-файлами

Если сайт использует аналитику или рекламные системы, политика должна упоминать применение cookie и используемые сервисы. Подробный разбор требований к самому баннеру, тексту и кнопке отказа — в статье «Cookie-баннер по закону».

Где размещать политику

Политика должна быть доступна пользователю до передачи данных — обычно через ссылку в футере или рядом с формой. Подробный разбор всех документов сайта и требований к их размещению — в статье «Документы для сайта по ФЗ-152». Здесь — только про то, что должно быть написано в самом тексте политики.

Что проверяет Роскомнадзор на сайте

При дистанционном мониторинге сайта анализируются не только наличие политики и доступность документа, но и её содержание. Чаще всего претензии вызывает само содержание текста, а не факт его отсутствия:

• политика называет данные общими словами без конкретного перечня;
• цели обработки сформулированы абстрактно («для улучшения сервиса») без привязки к реальным формам сайта;
• упомянуты не все используемые сервисы аналитики или рекламы;
• текст политики не обновлялся при добавлении новых форм или сервисов на сайт.

Типичные ошибки владельцев сайтов

Ошибка №1. Политика отсутствует полностью. Одна из наиболее распространённых ситуаций у малого бизнеса.

Ошибка №2. Используется чужой шаблон. Документ не соответствует фактическим процессам обработки данных.

Ошибка №3. Нет согласия рядом с формой. Пользователь отправляет данные без надлежащего информирования.

Ошибка №4. Не указаны cookie. Особенно актуально для сайтов с аналитикой и рекламными системами.

Ошибка №5. Политика недоступна. Документ существует, но найти его на сайте невозможно.