Посетитель оставил на сайте имя и телефон. Теперь бизнес знает, кто хочет получить звонок. Но человек должен понимать, зачем нужны его данные. Именно это и объясняет «политика конфиденциальности».
В российском законодательстве документ называется политикой в отношении обработки персональных данных. Название может быть короче. Однако содержание должно отражать реальную работу с данными.
Ну а сегодня мы разберем, кому нужна такая политика. Также рассмотрим ее содержание, размещение и отличие от согласия.
О понятии
Итак, политика конфиденциальности — это открытый документ оператора. В нем описывают правила работы с персональными данными.
Проще говоря, политика отвечает на главные вопросы:
- Кто собирает данные?
- Зачем они нужны?
- Кому их передают?
- Как долго их хранят?
Обращаясь к первоисточнику, обязанность закреплена в статье 18.1 Закона № 152-ФЗ. Оператор должен опубликовать политику или иначе открыть к ней неограниченный доступ. Если данные собирают через интернет, документ размещают на страницах, где идет сбор.
При этом закон не требует название «Политика конфиденциальности». Например, документ может называться «Политика обработки персональных данных». Главное — его смысл.
Пример ситуации
Допустим, на сайте есть форма заказа. Клиент вводит имя, телефон и адрес. Тогда политика должна объяснить цели сбора этих сведений. Кроме того, в ней описывают сроки хранения и порядок удаления данных.
Кто должен разместить политику
Прежде всего документ нужен оператору персональных данных. Оператором же может быть компания, ИП, госорган или обычный человек.
Однако статус возникает не из-за названия бизнеса. Важно, кто определяет цели и порядок работы с данными.
В частности, определение оператора дано в статье 3 Закона № 152-ФЗ. Это лицо, которое организует обработку и определяет ее цели, состав данных и действия с ними.
Например, политика обычно нужна, если бизнес:
- принимает заявки через сайт;
- ведет клиентскую базу;
- оформляет заказы и доставку;
- нанимает работников;
- получает резюме кандидатов;
- ведет рассылку;
- использует аналитику с идентификаторами посетителей.
Впрочем, не каждый технический файл позволяет узнать человека. Поэтому сначала нужно увидеть весь набор сведений. Например, идентификатор cookie вместе с аккаунтом и IP-адресом может относиться к определяемому посетителю.
Кстати, этот вопрос мы отдельно разобрали у нас на сайте в статье про файлы cookie.
Что должно быть в политике конфиденциальности
Единой обязательной формы нет. Однако документ должен быть конкретным и понятным.
Роскомнадзор советует раскрыть несколько основных блоков. Для удобства рассмотрим их в таблице.
| Раздел | Что в нем указать |
|---|---|
| Оператор | Наименование, адрес и контакты |
| Цели | Зачем собирают данные по каждой операции |
| Правовые основания | Согласие, договор, закон или другое основание |
| Данные и люди | Какие сведения обрабатывают и чьи именно |
| Действия с данными | Сбор, хранение, использование, передача и удаление |
| Сроки | Как долго идет обработка и хранение |
| Защита | Общие меры безопасности без опасных технических деталей |
| Права человека | Как запросить данные, исправить их или потребовать удаления |
Отметим, что примерную структуру дают рекомендации Роскомнадзора. При этом готовый текст нельзя копировать вслепую. Политика должна совпадать с реальными процессами оператора.
Так, интернет-магазин укажет данные покупателей и получателей. А работодатель добавит работников и кандидатов.
Как правильно описать цели
Сначала перечисляют задачи бизнеса. Затем для каждой задачи определяют нужные данные.
Например, цель «обработка обращений» слишком широка. Лучше написать точнее: ответ на вопрос, обратный звонок или подготовка предложения.
Кроме того, нельзя собирать данные «на всякий случай». Объем должен соответствовать цели.
Обратите внимание, такой принцип закрепляет статья 5 Закона № 152-ФЗ. Цели должны быть конкретными и законными. При этом данные не должны быть избыточными.
Пример лишнего сбора
Форма нужна только для звонка. Тогда имени и телефона обычно достаточно. Запрашивать паспорт и домашний адрес без отдельной причины не стоит.
Политика и согласие — не одно и то же
Эти документы часто смешивают. Однако у них разные задачи.
Политика сообщает правила оператора. Согласие, в свою очередь, выражает волю конкретного человека.
| Документ | Для чего нужен | Кто его создает |
|---|---|---|
| Политика | Объясняет порядок обработки данных | Оператор |
| Согласие | Подтверждает разрешение человека, когда оно нужно | Его форму готовит оператор, а дает субъект |
| Пользовательское соглашение | Устанавливает правила работы с сайтом или сервисом | Владелец сервиса |
| Политика cookie | Подробно описывает технологии и настройки cookie | Владелец сайта |
С 1 сентября 2025 года согласие оформляют отдельно от других документов. Поэтому прятать его в пользовательское соглашение нельзя.
В частности, это требование прямо содержит статья 9 Закона № 152-ФЗ. Кроме того, оператор должен доказать, что получил согласие или имел другое законное основание.
Кстати, у нас на сайте есть отдельный материал и форма согласия на обработку персональных данных.
Одна ссылка на политику не заменяет согласие. В то же время согласие не заменяет открытую политику.
Всегда ли нужно получать согласие
Нет. Согласие — лишь одно из законных оснований.
Например, данные можно обрабатывать для заключения и исполнения договора. Также основанием бывает обязанность из закона.
Однако маркетинговая рассылка обычно требует отдельной проверки основания. Поэтому нельзя автоматически использовать телефон из заказа для рекламы.
Если обработка основана на согласии, человек может его отозвать. Но иногда работа с данными продолжится. Так бывает, когда у оператора остается другое основание из закона.
Где разместить политику на сайте
Прежде всего ссылка должна быть заметной и рабочей. Обычно ее ставят в подвал сайта.
Кроме того, ссылку размещают рядом с формами сбора. Например, возле заказа, регистрации или обратного звонка.
В свою очередь, проверка выглядит просто:
- Откройте страницу с формой.
- Затем найдите ссылку на политику.
- Перейдите по ней без регистрации.
- После этого проверьте текст на телефоне.
- Убедитесь, что файл не требует специальной программы.
Если данные собирает мобильное приложение, доступ нужен и там. А если сайта нет, оператор все равно обеспечивает открытый доступ другим способом.
Политику нельзя прятать только в личном кабинете. Человек должен прочитать ее до передачи данных.
Нужно ли ставить галочку о принятии политики
Сама политика носит информационный характер. Поэтому отдельное «принятие» не заменяет правовое основание обработки.
Однако возле формы часто нужна отдельная галочка согласия. Ее текст должен ясно указывать цель и данные.
Например, можно дать ссылку на отдельное согласие. А рядом можно оставить ссылку на политику.
При этом заранее отмеченная галочка создает риск. Действие пользователя должно быть осознанным и подтверждаемым.
Что написать о передаче данных другим лицам
Многие компании используют сторонние сервисы. Например, это CRM, хостинг, доставка или рассылка.
Поэтому политика должна отражать реальную передачу. Также нужно указать цель и основание.
Кроме того, с обработчиком заключают договор или включают нужные условия в основной договор. В нем определяют данные, действия, цели и меры защиты.
Отметим, статья 6 Закона № 152-ФЗ разрешает поручить обработку другому лицу. Однако перед человеком за действия обработчика обычно отвечает сам оператор.
Если сервисы меняются, политику тоже пересматривают. Иначе текст перестает описывать реальную работу.
Можно ли сделать одну политику для сайта и работников
Да, закон не требует двух разных документов. Однако единый текст быстро становится громоздким.
Поэтому бизнес может выбрать один из вариантов:
- одна общая политика для всех категорий людей;
- открытая политика для клиентов и посетителей;
- отдельное внутреннее положение для работников;
- отдельная политика cookie для сайта.
Главное, чтобы весь набор документов не противоречил друг другу.
Кстати, правила для работодателя мы разбирали у нас на сайте в материале про защиту персональных данных работников.
Что политика не заменяет
Даже хороший документ не закрывает все обязанности оператора.
Кроме политики могут понадобиться:
- уведомление Роскомнадзора;
- отдельные согласия;
- приказ о назначении ответственного;
- локальные правила для работников;
- договоры с обработчиками;
- меры защиты информационных систем;
- порядок ответа на запросы и удаления данных.
Как правило, оператор уведомляет Роскомнадзор до начала обработки. Исключения есть, но их осталось немного.
В частности, порядок уведомления устанавливает статья 22 Закона № 152-ФЗ. Само размещение политики не включает оператора в реестр.
Когда обновлять политику
Фиксированного ежегодного срока нет. Однако документ проверяют при любом важном изменении.
Например, обновление нужно, если:
- появилась новая форма на сайте;
- запустили рассылку или программу лояльности;
- сменили CRM, хостинг или сервис аналитики;
- добавили новую цель обработки;
- изменились сроки хранения;
- вступили в силу новые требования закона.
Кроме того, полезно указать дату и номер редакции. Тогда посетитель увидит, какой текст действует сейчас.
После обновления нужно проверить не только страницу. Также сверяют согласия, договоры и уведомление Роскомнадзора.
Какие ошибки встречаются чаще всего
Первая ошибка — копирование чужой политики. В итоге в документе появляются лишние сервисы и чужие цели.
Вторая проблема — общие фразы. Например, слова «обрабатываем любые данные законными способами» ничего не объясняют.
Кроме того, часто встречаются:
- неверное наименование оператора;
- неполный список форм и данных;
- цели без правового основания;
- молчание о передаче подрядчикам;
- ссылка, которая не открывается;
- старые контакты для обращений;
- несовпадение политики и согласия.
Так, политика может обещать удаление сразу после заказа. Однако бухгалтерские документы хранятся дольше по закону. Значит, срок нужно описать точнее.
Что грозит за отсутствие политики
Ответственность зависит от нарушения. За отсутствие открытого документа действует отдельный штраф.
Обратите внимание, по части 3 статьи 13.11 КоАП РФ штраф для ИП составляет от 10 000 до 20 000 рублей. Для организации он равен от 30 000 до 60 000 рублей.
Однако отсутствие политики может быть не единственной проблемой. Незаконный сбор, утечка или неподача уведомления образуют другие нарушения. Там санкции заметно выше.
Отметим, что у нас на сайте есть обзор того, что смотрит Роскомнадзор при проверке.
Как проверить готовую политику
Сначала откройте все формы сайта. Затем выпишите данные, которые получает бизнес.
После этого задайте десять вопросов:
- Верно ли указан оператор.
- Описана ли каждая цель.
- Есть ли основание для обработки.
- Перечислены ли реальные данные.
- Указаны ли категории людей.
- Отражены ли подрядчики и сервисы.
- Понятны ли сроки хранения.
- Описаны ли права и контакты.
- Совпадает ли политика с согласиями.
- Открывается ли ссылка без регистрации.
В итоге политика должна отвечать не на абстрактные вопросы закона. Она должна честно описывать путь данных в конкретном бизнесе.