Документы для сайта и уведомление в РКН

Публичные документы: политика обработки персональных данных, к которой обеспечен постоянный доступ — практичнее всего ссылкой в общем подвале; текст согласия; политика cookie. Там, где для цели требуется согласие, под формой размещается отдельный непроставленный чекбокс со ссылкой на его текст. Внутренние документы оператора — приказ, перечень мер, положение: их не публикуют, но при проверке спрашивают именно их. Плюс уведомление в Роскомнадзор, если обязанность его подать подтвердилась по статье 22. Магазинам дополнительно — оферта, правила возврата, условия доставки и оплаты: это уже закон о защите прав потребителей, но нужно так же обязательно.

Целенаправленно проверять небольшой сайт вряд ли станут. Но две вещи работают независимо от размера: реестр операторов публичный, поэтому наличие и актуальность записи можно проверить, и жалоба одного недовольного человека — достаточное основание для внимания. Плюс без политики и согласий реклама может не пройти модерацию.

Можно, и так делает большинство. Проблема в том, что в таком документе указаны цели обработки и категории данных другой компании, а часто и её название. При проверке это видно сразу, а сам документ не отражает то, что реально происходит на вашем сайте.

Форма, собирающая имя, телефон или email, — это уже обработка персональных данных, и обязанность уведомить проверяется до начала обработки. В статье 22 остаются исключения, поэтому категоричного «да» без разбора я не дам: сопоставлю ваш процесс с действующими исключениями и скажу, требуется уведомление или нет.

Стоит проверить, соответствуют ли поданные сведения тому, что сейчас: изменились цели, добавились сервисы, поменялись данные компании. При изменениях подаётся информационное письмо.

При сборе данных граждан РФ через интернет оператор должен обеспечить предусмотренные статьёй 18 операции с использованием баз в России. Трансграничная передача — отдельный вопрос, она регулируется статьёй 12 и проверяется отдельно. Смотреть надо и саму платформу, и всех получателей данных из форм: CRM, онлайн-чат, сервис рассылок, коллтрекинг, системы аналитики, Telegram-бот. Каждый такой сервис — ещё одно место, куда попадают данные, и его нужно учитывать в уведомлении. Размещение баз подтверждаю по актуальным документам каждого сервиса на дату проекта: страна профиля конструктора сама по себе ничего не доказывает, а условия сервисов меняются. Отдельно разбираю аналитику — какие идентификаторы она создаёт и в какой момент запускается. Зачем аналитика нужна в продвижении — на странице SEO-продвижения.

Около часа: ответить на вопросы о компании и процессах. Дальше документы готовлю я, а подачу уведомления мы проходим вместе — это ещё примерно полчаса.

Реквизиты оператора и контакт ответственного. Цели обработки, категории субъектов и состав данных. Все формы, квизы, чаты, личные кабинеты и виджеты. CRM, почта, телефония, рассылки и мессенджеры. Аналитические и рекламные системы. Получатели и обработчики данных. Хостинг, базы и места размещения. Сроки хранения и порядок удаления. Действующие согласия, политики и внутренние документы. Ранее поданное уведомление и запись в реестре. Планируемые сервисы и возможная трансграничная передача. Список длинный только на вид: часть из него видна по самому сайту, её собираю я, а от вас нужно подтвердить и дополнить.

Нет, и не выдаю себя за него. Готовлю документы по типовым требованиям закона и адаптирую под ваш сайт, плюс делаю техническую часть, которую юристы не делают. Для сложных и спорных случаев нужен профильный юрист — скажу об этом прямо, если увижу такой случай.

Отдельного закона о cookie-баннерах, как в Европе, в России нет — требование выводится из общей логики: если cookie позволяют идентифицировать человека, это персональные данные, и на их обработку нужно согласие. Практика пока складывается, судебных решений мало, и конкретную сумму штрафа именно за cookie честно назвать нельзя. Ставить баннер стоит: он дёшев, ни на что не влияет и снимает вопрос. Технические cookie, без которых сайт не работает, согласия не требуют — согласие нужно для аналитических и рекламных. Ставлю баннер так, чтобы он не перекрывал первый экран, не появлялся при каждом заходе и не портил вид сайта. Порядок работы такой: сначала определяю, какие cookie и идентификаторы создают подключённые сервисы, затем для необязательной аналитики и рекламы настраиваю понятный выбор и проверяю фактический запуск скриптов до выбора и после него.