В чём фокус
Оператором персональных данных вы становитесь в тот момент, когда на сайте появилась форма с именем, почтой или телефоном. Не когда пойдут деньги, не когда наберётся аудитория — сразу, с первой отправки. Дальше — обязанности по порядку, без сумм: суммы меняются, а устройство остаётся.
Сразу о цифрах
В этой статье нет конкретных штрафов, дат вступления норм в силу и номеров статей. Это осознанное решение. Суммы пересматривают, нормы вводят и правят, а статья с устаревшими цифрами выглядит убедительно и вводит в заблуждение сильнее, чем её отсутствие.
Что делать вместо этого: берите структуру ниже как список задач, а конкретику смотрите в действующей редакции или у того, кто отвечает за это профессионально. Порядок обязанностей и то, что именно считается нарушением, за последние годы не менялись.
Что сломалось и почему это касается всех
Главное изменение последних лет: согласие на обработку данных оформляется отдельно от прочих документов, которые человек подтверждает.
Практический смысл — одна галочка «принимаю оферту и согласен на обработку» больше не годится. Нужны две отдельные: оферта отдельно, согласие на обработку отдельно. Это ровно то место, где ошибаются чаще всего, потому что вокруг у половины сайтов сделано по-старому.
Девять обязанностей по порядку
Уведомить надзорный орган ДО начала обработки
Не после запуска. Исключений почти не осталось: обязанность лежит практически на любом операторе, включая того, у кого одна форма обратной связи.
Опубликовать политику обработки
Документ доступен всем без ограничений, а при сборе через интернет — размещён на страницах сайта. Структуру выдумывать не нужно, рекомендованная опубликована надзорным органом.
Собрать согласие правильно
Оно должно быть конкретным, предметным, информированным и однозначным: человек понимает, кто, какие данные, зачем и на какой срок берёт, и подтверждает это действием.
Развести три разных согласия
На обработку — для работы сервиса. На рекламу — отдельной непредустановленной галочкой, из первого оно не выводится. На распространение — если данные показываются публично.
Держать первичную базу в России
Запись, накопление, хранение и извлечение данных граждан России ведутся в базах на территории страны. Заграничная копия допустима как вторичная, первичной быть не может.
Отдельно уведомить о передаче за границу
Трансграничная передача требует своего уведомления до начала, и оно нужно, даже если основное давно подано. Подключили зарубежную аналитику, рассылку или облако — это она и есть.
Завести внутренние документы
Назначение ответственного, локальные акты о порядке обработки, оценка вреда, определение угроз и мер защиты, журнал обращений.
Заранее знать порядок действий при утечке
Сроки на уведомление и на результаты расследования очень короткие — часы и сутки, а не недели. Разбираться, куда писать, в момент инцидента поздно.
Хранить подтверждения согласий
По рекламе бремя доказывания лежит на вас: рассылка считается отправленной без согласия, пока не доказано обратное. Значит, подтверждения нужно собирать с самого начала.
Три места, где ошибаются чаще всего
Предустановленная галочка, «продолжая пользоваться сайтом, вы соглашаетесь» и отсутствие возражения — не согласие. Это прямая норма, а не толкование.
Самая дорогая из «бумажных» ошибок, и попадают в неё обычно не злонамеренно, а потому что взяли привычный сервис, не задумываясь, где он физически.
Дыра у вашего хостера, облака или подрядчика остаётся вашим нарушением. Договор не переносит ответственность, он обязывает контролировать.
Где брать формулировки
Не выдумывайте тексты документов с нуля и не берите первый попавшийся шаблон из выдачи. Крупные компании держат юристов, и их политики обработки лежат в открытом доступе на их же сайтах — это ближайший к вам образец профессиональной работы.
Смотреть стоит не на красоту, а на состав: какие разделы есть, какие цели обработки перечислены, как описан порядок ответа на запросы. Дальше свои цели и свой перечень данных вы подставляете сами — они у вас другие.
Частые вопросы
- У меня одна форма обратной связи, это правда всё нужно?
- Обязанность возникает от факта обработки, а не от объёма. Одна форма с телефоном — уже обработка персональных данных.
- А если сайт делал подрядчик или собран агентом?
- Оператор — тот, кто определяет цели обработки, то есть вы. Кем собран сайт, значения не имеет; агент не спросит, подано ли уведомление.
- С чего начать, если ничего из этого не сделано?
- С двух вещей: уведомление и опубликованная политика. Дальше — развести согласия и проверить, где физически лежит база.