Что нужно знать владельцам интернет-сайтов про обработку и защиту персональных данных

Навигация

Коротко о главном: 5 пунктов

1. Вся информация о человеке, например, имя или адрес, считается персональными данными и требует защиты.
2. Если сайт собирает такие сведения, его владелец становится ответственным за их обработку.
3. Обязательно нужно получить согласие пользователя и сообщить ему, что планируете делать с его персданными.
4. Защитой личной информации надо заниматься серьёзно — ограничивать доступ, хранить безопасно и удалять по просьбе владельца.
5. Если нарушить правила, то придется заплатить крупный штраф.

Какие персональные данные можно собирать на сайте

Сбор персональных данных — это получение любой информации, которая прямо или косвенно относится к конкретному человеку. ПД являются:

• имя и фамилия;
• место проживания;
• адрес эл. почты;
• номер телефона;
• ИНН;
• фото;
• ссылка на профиль в соцсетях;
• иные касающиеся человека сведения, которые прямо или косвенно дают возможность установить его личность.

Подробнее: что относится к персональным данным

Поэтому владелец интернет-сайта становится оператором персональных данных (со всеми вытекающими последствиями), если на ресурсе имеются:

• подписка на рассылки;
• авторизация на сайте;
• формы обратной связи и комментариев;
• заказ обратного звонка;
• регистрация личного кабинета;
• формы загрузки фотографий;
• использование куков.

Как владельцу сайта выполнить требования законодательства о персональных данных

Чтобы не нарушить закон, владелец интернет-сайта, являющийся оператором ПД, обязан выполнить ряд специальных действий, которые, как считает государство, должны обеспечить защиту конфиденциальной информации о пользователях (Федеральный закон № 152-ФЗ от 27.07.2006).

Какие документы и уведомления пользователя нужно разместить на сайте

Во-первых, необходимо разработать и утвердить политику обработки персональных данных (ее иногда называют политикой конфиденциальности). Этот документ описывает, какая личная информация собирается, для каких целей, как она хранится и защищается, в том числе права пользователей в отношении их личных данных. В силу ч. 2 ст. 18.1 ФЗ-152 владелец интернет-ресурса обязан опубликовать документ на своем сайте и обеспечить возможность доступа к нему. Текст обычно размещается на отдельной странице, ссылка на которую дается в удобном для пользователей месте сайта.

Во-вторых, перед началом обработки ПД конкретного человека закон требует получить его осознанное согласие на такие действия.

Получить такое согласие можете в любой форме, позволяющей подтвердить факт его получения. Например, установить специальную кнопку или чекбокс — пункт, в котором пользователь обязан поставить галочку при заполнении формы, предполагающей внесение личной информации: регистрации на сайте, подписки на рассылку, отправки заявки и т.п.

Многие люди искренне недоумевают: зачем необходимо какое-то согласие, если человек сам добровольно отправляет, например, свой адрес эл. почты. Как-то один мой знакомый возмущался, что оплатил услугу через интернет и для получения чека на e-mail программа предлагала согласиться на обработку ПД, проставив соответствующую галочку в чекбоксе. Получить чек он хотел, а ставить галочку — нет. Пришлось объяснять человеку, что это не прихоть владельца ресурса, а попытка законодателя проявить заботу о гражданах.

Если на вашем ресурсе используются куки-файлы, собирающие и анализирующие информацию о поведении пользователей в сети, то на сайте надо разместить соответствующе уведомление. Обычно это делается в виде всплывающего окна, которое появляется при открытии сайта и так сильно всех раздражает. Но, увы, это требование закона.

Как уведомить Роскомнадзор

До начала обработки персональных данных оператор обязан уведомить о своем намерении их обрабатывать специальный уполномоченный орган — Роскомнадзор. Это можете сделать несколькими способами:

• в электронном виде через портал Госуслуг (если уведомление подается от имени юр. лица, то надо использовать учетную запись этой организации);
• в бумажном виде — на адрес территориального отдела Роскомнадзора;
• на портале Роскомнадзора в виде электронного документа, подписанного усиленной квалифицированной электронной подписью.

Лично мне представляется более удобным делать это через Госуслуги: не надо вручную вводить реквизиты организации, т.к. программа подтягивает их сама.

Форма такого уведомления утверждена Приказом Роскомнадзора № 180 от 28.10.2022.

Форма уведомления об обработке персональных данных

Если вы сомневаетесь, надо ли вам направлять уведомление, как его заполнять и что именно в нем указывать, то желательно обратиться за помощью к профессиональному юристу, специализирующемуся на таких вопросах. Или можете просмотреть уведомления о начале обработки ПД аналогичных организаций, которые находятся в свободном доступе в реестре операторов персональных данных. Для поиска потребуется указать ИНН или название организации-оператора.

Узнайте, как зарегистрироваться в Роскомнадзоре в качестве оператора персональных данных

Как организовать защиту персональных данных в редакции сайта

Как правило, работу по наполнению и обслуживанию любого интернет-ресурса выполняют наемные сотрудники. И владелец сайта обязан организовать эту работу так, чтобы исключить утечку конфиденциальной информации. Для этого необходим целый комплекс мероприятий:

• назначьте приказом сотрудника, ответственного за обработку ПД;
• определите круг лиц, которые для исполнения служебных обязанностей должны иметь доступ к личной информации пользователей и иных лиц, ограничив доступ иным сотрудникам;
• возьмите с работников, получивших доступ к ПД, письменное обязательство о неразглашении;
• ознакомьте всех сотрудников проекта с утвержденными правилами по обращению с персональными данными;
• обеспечьте технические меры защиты информации от несанкционированного доступа.

Надо знать: какие меры необходимо принимать для защиты персональных данных

Что нужно знать об уничтожении персональных данных

Человек, передавший оператору свои персональные данные и давший согласие на их обработку, в любой момент имеет право передумать и отозвать согласие. В таком случае обработку ПД конкретного лица надо прекратить, а саму конфиденциальную информацию уничтожить в течение 30 дней (если ее сохранение более не требуется для целей обработки). Также персональная информация пользователей подлежит уничтожению в следующих случаях:

• если выяснится, что данные обрабатывались неправомерно, — на это отводится 10 дней;
• при достижении конечной цели обработки ПД — на уничтожение дается 30 дней.

Если же обнаружится, что персональные данные были получены незаконно или не являются необходимыми для заявленной цели обработки, то оператор по требованию субъекта ПД обязан уничтожить такую информацию в течение 7 рабочих дней.

Когда по объективным причинам уничтожить информацию в установленные законом сроки невозможно, то данные необходимо заблокировать и принять все возможные меры для их уничтожения в течение не более чем 6 месяцев.

Уничтожение информации должно проводиться способом, исключающим ее восстановление. Для этих целей владельцу сайта необходимо сформировать комиссию по уничтожению данных, а еще определить способы уничтожения, учитывая объем данных и имеющиеся ресурсы. Факт уничтожения данных пользователя надо задокументировать актом, в котором отразите информацию о дате уничтожения, использованном методе, в том числе сведения о том, какие конкретно ПД были уничтожены.

Читайте об этом: как уничтожать персональные данные

Какие штрафы ждут в случае нарушений законодательства о защите персональных данных

Штрафы за нарушение обработки ПД с 30 мая 2025 года значительно выросли. В соответствии с новой редакцией ст. 13.11 КоАП РФ нарушителям теперь придется заплатить:

1. За обработку данных, не предусмотренную законом: гражданам от 15 000 до 30 000 руб., а организациям — от 150 000 до 300 000 руб. При повторном нарушении юр. лицо могут оштрафовать на полмиллиона руб.
2. За обработку ПД человека без его согласия: гражданам — от 10 000 до 15 000 руб., организациям — от 300 000 до 700 000 руб. При повторном нарушении юр. лицо оштрафуют на 1 млн 500 000 руб., а гражданина — на 30 000 руб.
3. Если не опубликовать политику оператора в отношении обработки ПД — штраф составит от 30 000 до 60 000 руб. для юр. лица и от 10 000 до 30 000 руб. для ИП.
4. Неисполнение обязанности по блокировке или уничтожению ПД обойдется организации от 50 000 до 90 000, а ИП — от 20 000 до 40 000 руб. За повторное нарушение юр. лицо могут оштрафовать на 500 000 руб., а индивидуального предпринимателя — на 100 000 руб.
5. За неуведомление или несвоевременное уведомлению Роскомнадзора о намерении осуществлять обработку персональных данных штраф для юр. лица составит от 100 000 до 300 000 рублей, а для физического лица — от 5000 до 10 000 руб.
6. Самые же большие штрафы установлены для виновных в незаконной передаче или утечке данных. В зависимости от количества пострадавших или объема переданной информации штраф для организации может достигать 15 млн руб. Если утечка данных была допущена повторно — в зависимости от квалификации правонарушения штраф составит до 500 млн руб.

Обработка персональных данных на сайте: частые вопросы