Политика конфиденциальности и согласия: какие документы нужны по 152-ФЗ

Какие документы нужны по 152-ФЗ для сайта

Каждый сайт, который собирает или обрабатывает персональные данные пользователей, обязан соблюдать требования закона № 152-ФЗ. Ключевыми документами оператора персональных данных являются:

• Политика конфиденциальности (политика обработки персональных данных) – публичный документ, раскрывающий принципы сбора, использования и защиты персональных данных пользователей сайта.
• Согласие пользователя на обработку персональных данных – письменное или электронное подтверждение, которым посетитель сайта даёт разрешение на обработку его персональной информации.
• Политика в отношении файлов cookie – правила о работе с cookie-файлами на сайте, информирующие пользователя о сборе данных через эти файлы.
• Внутренние регламенты оператора – локальные документы (положения, приказы, инструкции), определяющие порядок обработки данных внутри компании.

Эти документы нужны всем операторам персональных данных, у которых на сайте есть формы регистрации, обратной связи, заказа товаров или рассылки. Закон требует опубликовать политику обработки ПДн на сайте, если сайт собирает любую личную информацию о посетителях. Например, интернет-магазины, сервисы услуг, корпоративные и образовательные порталы обязаны иметь политику конфиденциальности для сайта и механизм получения согласия пользователей.

Политика конфиденциальности (политика обработки персональных данных)

Политика конфиденциальности по 152-ФЗ – это документ, в котором оператор описывает цели сбора данных, виды собираемой информации, способы её использования, хранения и защиты. По закону оператор обязан опубликовать на сайте документ, определяющий его политику в отношении обработки персональных данных. На практике такой документ часто называется «Политика конфиденциальности сайта».

Документ должен быть доступен по ссылке, размещённой, например, в «подвале» сайта, и содержать информацию о следующих разделах:

• Общие положения – понятия «персональные данные», «обработка данных», «оператор» и др.
• Цели обработки и правовые основания – зачем сайт собирает данные (например, для оформления заказа) и на каком основании (согласие пользователя, договор и т.д.).
• Список обрабатываемых данных – какие персональные данные собираются (имя, e-mail, телефон и пр.).
• Способы и сроки обработки – как долго хранятся данные и как они уничтожаются по завершении целей.
• Права и обязанности сторон – например, право пользователя отозвать согласие и обязанность компании защищать данные.
• Контакты оператора – название организации, адрес, электронная почта и другие контактные данные.

Важно, чтобы политика конфиденциальности для сайта содержала понятные формулировки и отражала реальную практику обработки данных. Она размещается на отдельной странице и должна быть доступна по ссылке со всех страниц ресурса.

Согласие пользователя на обработку персональных данных

Важным элементом соблюдения 152-ФЗ является получение согласия пользователя на обработку персональных данных. По закону такое согласие должно быть «конкретным, информированным, сознательным и однозначным». Это означает, что пользователь добровольно даёт разрешение на указанные в документе цели обработки.

На сайте согласие обычно оформляют через чек-бокс при заполнении формы или отдельное заявление. В тексте согласия указывают:

• перечень персональных данных (имя, телефон, e-mail и др.), на которые оно даётся,
• цели обработки (например, доставка товара, рассылка новостей),
• срок действия согласия и порядок его отзыва,
• информацию об операторе (наименование компании, контакты).

Например, рядом с кнопкой «Отправить» под формой регистрации ставится галочка и подпись «Я даю согласие на обработку моих персональных данных в целях оформления заказа». Без такого подтверждения нельзя законно хранить и использовать личную информацию пользователя. Если согласие не получено, обработка данных может быть признана незаконной.

Политика обработки файлов Cookie

Файлы Cookie используются для анализа поведения посетителей сайта и персонализации контента, но часто содержат данные о пользователе (идентификатор, IP-адрес и пр.). Российские контролирующие органы признают, что обработка информации из cookie-файлов может приравниваться к обработке персональных данных. Поэтому рекомендуется разработать политику в отношении файлов cookie, где объясняется:

• какие cookie используются на сайте (например, сессии или аналитические),
• для каких целей (например, сбор статистики, реклама),
• как пользователь может отказаться от использования файлов cookie.

Политика cookie должна быть доступна пользователям (обычно через ссылку в футере) вместе с общей политикой конфиденциальности. Это повышает прозрачность работы сайта и соответствует лучшим практикам безопасности.

Внутренние регламенты оператора персональных данных

Кроме публичных документов, у каждой организации-оператора должны быть внутренние документы по 152-ФЗ. К ним относятся локальные нормативные акты (положения, приказы, инструкции), которыми закрепляются процедуры обработки и защиты данных внутри компании.

Типичный набор внутренних документов:

• Приказ о назначении ответственного за ПДн – лицо или должность, отвечающие за соблюдение требований 152-ФЗ.
• Положение об обработке и защите ПДн – регламентирует порядок сбора, систематизации, хранения и уничтожения данных.
• Журналы учёта – списки лиц, допущенных к обработке, и сведений о системах обработки.
• Инструкции и соглашения – правила работы сотрудников с персональными данными, обязательства о неразглашении.
• Политика оператора по обработке ПДн – внутренний документ, описывающий цели, методы и сроки обработки данных в организации.

Закон требует издавать документы, определяющие политику оператора в отношении обработки ПДн, и локальные акты для каждой цели обработки. Эти документы хранятся внутри компании, но их наличие является обязательным при проверках Роскомнадзора.

Риски и штрафы за отсутствие или некорректные документы

Отсутствие обязательных документов влечёт административную ответственность. По части 3 статьи 13.11 КоАП РФ оператор обязуется обеспечить публикацию политики обработки данных – штраф для юридического лица составляет от 30 000 до 60 000 рублей. Штраф за отсутствие политики конфиденциальности на сайте именно в этом диапазоне.

Если же документ формально есть, но компания не соблюдает его требования на практике (например, не запрашивает согласие или не уничтожает данные вовремя), санкции ещё строже: за первое нарушение – от 60 000 рублей, при повторном – от 100 000 рублей. Также штрафы предусмотрены за избыточную обработку данных, неадекватную защиту и несвоевременное уничтожение ПДн после отзыва согласия.

Кроме штрафов КоАП, Роскомнадзор может заблокировать доступ к сайту за грубые нарушения. Средний срок разблокировки – около 30 дней.

Таким образом, риск неимения актуальной политики или согласия очень велик – от финансовых потерь до ущерба репутации. Правильная документация по 152-ФЗ позволяет избежать этих санкций и уверенно работать с клиентскими данными.

Рекомендации и чек-лист

Чтобы убедиться, что на сайте всё в порядке, используйте следующий чек-лист:

• На сайте есть Политика конфиденциальности, доступная по прямой ссылке (например, в футере).
• В политике отражены все актуальные данные: виды собираемой информации, цели, правовые основания, способы защиты и порядок удаления персональных данных.
• При заполнении любых форм (заказ товара, подписка на рассылку и пр.) пользователь ставит согласие на обработку персональных данных (чек-бокс, согласие в заявке).
• Текст согласия содержит все необходимые элементы (персональные данные, цели, срок действия, контакты оператора).
• На сайте указаны cookie и дана ссылка на политику о их использовании.
• Внутри компании оформлены приказы и положения по 152-ФЗ: назначен ответственный за ПДн, утверждена внутренняя политика обработки данных.
• Документы регулярно пересматриваются (особенно после изменений в законе) и фактически соблюдаются.

Выполнение этих рекомендаций позволит минимизировать риски и штрафы за нарушение закона о персональных данных.

Если у вас остались вопросы или необходима проверка сайта и подготовка документов, обратитесь за юридической помощью в компанию Роском Эксперт на сайте r-exp.ru. Наши специалисты помогут составить политики конфиденциальности, согласия на обработку ПДн и другие необходимые документы, а также проведут аудит сайта на соответствие требованиям 152-ФЗ.