Вопросы • ФЗ-152
Отдельная страница с ответами по политике обработки персональных данных, согласию под формами, пользовательскому соглашению, публичной оферте, согласию на рассылку, приказу о назначении ответственного, срокам хранения, подрядчикам, локализации баз данных и уведомлению РКН.
Вопросы
Для большинства сайтов базовый комплект включает политику обработки персональных данных и согласие на обработку персональных данных. Для публичного интерфейса также часто требуется пользовательское соглашение, при заказе товаров или услуг через сайт — публичная оферта, при рекламно-информационной рассылке — отдельное согласие на рассылку, а для компании — внутренний приказ о назначении ответственного за организацию обработки персональных данных.
Нет. Документы должны учитывать реальные цели обработки, фактические формы на сайте, состав данных, подрядчиков, сроки хранения, реквизиты оператора и сценарии передачи данных третьим лицам.
Да. Если на сайте используются аналитические cookies, рекламные теги, Яндекс.Метрика, Google Analytics или виджеты, по которым пользователь прямо или косвенно идентифицируется, политика обработки персональных данных должна быть опубликована даже без формы обратной связи. Дополнительно обычно нужны прозрачное информирование, политика cookies и механизм получения согласия на такие технологии.
Нет. Один документ не покрывает все сценарии. Отдельное согласие под формой, согласие на рассылку, пользовательское соглашение, оферта и внутренние организационные документы добавляются по конкретным процессам обработки.
Оферта
Когда через сайт оформляются заказы, бронирование, покупка товаров, оплата услуг, подписка на платный продукт или иное дистанционное заключение договора с пользователем.
Нет. Публичная оферта регулирует условия заказа и акцепта, а политика обработки персональных данных и согласие закрывают вопросы обработки персональных данных. Это разные документы с разным назначением.
Ссылка на оферту должна быть доступна до момента акцепта: в корзине, на шаге оформления заказа, рядом с кнопкой подтверждения, оплаты или иного действия, которым пользователь принимает условия.
Обычно в оферте фиксируют предмет предложения, порядок акцепта, цену и оплату, исполнение, возвраты и отмену, ограничения ответственности, порядок связи с пользователем и реальные реквизиты исполнителя.
Реклама
По общему правилу ориентируются на цель материала. Если информация привлекает внимание к конкретному объекту, формирует или поддерживает интерес к нему и продвигает его на рынке, это ближе к рекламе. Если материал встроен в структуру сайта и просто сообщает о компании, товарах, услугах, ценах, порядке заказа или правилах работы сайта, он может рассматриваться как информационный. Окончательная квалификация зависит от содержания и подачи.
Не всегда. Каталог, карточка товара, описание услуг, цены, условия оплаты и доставки на собственном сайте часто рассматриваются как сведения об ассортименте и условиях продажи, если они логично встроены в структуру ресурса и не оформлены как самостоятельное рекламное сообщение. Но если материал выделен как отдельное продвижение, квалификация может измениться.
Когда сайт специально выделяет одно предложение: баннером, всплывающим окном, акцией, громким призывом купить, сравнением с конкурентами, обещанием выгоды или иным акцентом на продвижении конкретного объекта. Чем сильнее выражен промо-характер и отрыв от обычной навигации сайта, тем выше риск рекламной квалификации.
От квалификации материала зависят дальнейшие обязанности: нужен ли отдельный рекламный контур, как оценивать согласие на распространение рекламы в отдельных каналах, требуется ли дополнительная проверка макета и формулировок. Если у вас спорный промо-блок, его лучше отдельно проверить до публикации.
Согласие
Да, если через форму собираются персональные данные. Пользователь должен совершить отдельное подтверждаемое действие, а рядом должны открываться актуальные документы сайта.
Нет. Предустановленная галочка согласия считается плохой практикой и создает риск признания согласия неактивным, неосознанным и неоднозначным.
Лучше разделять такие согласия. Обработка персональных данных для заявки и маркетинговая рассылка — разные цели обработки, и пользователю должно быть понятно, на что именно он соглашается.
Да, это один из самых важных практических элементов. Пользователь должен иметь возможность перейти к политике, согласию и связанным документам в месте фактического сбора персональных данных.
Рассылка и приказ
Когда сайт отправляет email, SMS, сообщения в мессенджерах, акции, вебинары, промокоды или иные рекламно-информационные материалы. Такое согласие лучше оформлять отдельно от обычного согласия на обработку ПД.
Это любые сообщения, которые не ограничиваются техническим статусом заявки или заказа, а продвигают услуги, товары, акции, новые продукты, мероприятия, полезные материалы или повторные покупки.
Для компании это внутренний организационный документ, который фиксирует ответственное лицо, его функции, контроль соблюдения правил обработки персональных данных и взаимодействие по таким вопросам внутри организации.
Обычно нет. Это внутренний документ организации, а не публичный документ сайта. На сайте публикуются внешние документы, а приказ нужен для внутреннего контура соблюдения требований по персональным данным.
Сроки
Нет. Формулировка про бессрочное хранение или хранение просто «до отзыва согласия» без связи с целью обработки создает высокий риск претензий при проверке.
Срок должен быть привязан к цели: до ответа на обращение, на срок договора, в течение обязательного срока хранения по закону, до отписки от рассылки с последующим удалением в конкретный срок.
Нет. Состав данных должен быть соразмерен цели обработки. Если пользователь подписывается на email-рассылку, ему обычно не нужен домашний адрес или иные избыточные сведения.
После достижения цели данные должны удаляться или обезличиваться, если у оператора больше нет законного основания продолжать их хранение.
Подрядчики
Если эти сервисы реально участвуют в обработке персональных данных, их категории и роль в процессе обработки лучше прямо отражать в документах и внутренних процессах оператора.
Да. Передача третьим лицам не должна быть скрытой. Пользователь и документы сайта должны понимать, кому и зачем данные передаются в рамках исполнения заказа или другой цели обработки.
Если подрядчик обрабатывает данные по поручению оператора, на практике обычно нужен договор или иной документ, который фиксирует цели, перечень данных, операции и обязанности по защите данных.
Если на сайте есть Метрика, Analytics, виджеты или иные отслеживающие сервисы, вопрос cookies и согласия пользователя нужно оформлять отдельно и прозрачно. Даже без формы обратной связи такие инструменты могут делать сайт оператором персональных данных, поэтому политика обработки персональных данных должна быть опубликована на сайте.
Соответствие
Во многих случаях — да, до начала обработки персональных данных, если на вашу деятельность не распространяется исключение из статьи 22 ФЗ-152.
При онлайн-сборе персональных данных граждан РФ оператору нужно отдельно проверить, как организованы первичная запись, систематизация, накопление и хранение данных в базах на территории РФ.
Для юридического лица это важная организационная мера. Кроме самих документов нужны внутренние процессы, регламенты и лицо, отвечающее за организацию обработки персональных данных.
Нет. Самая частая проблема — не отсутствие документа, а несоответствие его содержания фактическим процессам сайта. Документы должны отражать реальную обработку персональных данных, а не абстрактный шаблон.
Далее
Если вам нужен не только FAQ, а готовый комплект документов по ФЗ-152, вернитесь в конструктор, заполните анкету и получите политику, согласие, пользовательское соглашение, публичную оферту, согласие на рассылку, приказ о назначении ответственного, HTML-фрагмент кода под форму и экспресс-аудит.