Как владельцам сайтов избежать штрафов. Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ

С 1 июля 2017 года вступили в силу изменения в законе о персональных данных, и теперь общий штраф за невыполнение требований закона № 152-ФЗ "О защите персональных данных" может доходить до 300 000 руб.

Как эти изменения повлияют на владельцев сайтов, и что делать, чтобы обезопасить себя от штрафов, мы расскажем в этой статье.

Что такое персональные данные и кто является оператором персональных данных?

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Персональными данными являются:
email; телефон; имя, фамилия, отчество (и по отдельности); адрес; дата рождения; фотография; ссылка на персональный сайт и профиль в соцсетях; cookie, данные об IP-адресе и местоположении.

Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Если на вашем сайте есть форма обратной связи, подписка на рассылку, регистрация, личный кабинет, онлайн-оплата или любая другая форма сбора данных - это считается обработкой персональных данных, а вы будете являться Оператором персональных данных.

Изменения на сайте

Чтобы соответствовать требованиям 152-ФЗ, ваш сайт должен удовлетворять следующим условиям:

1. Хостинг и база данных с персональными данными должна располагаться на территории России.
   Под расположением хостинга подразумевается физическое местонахождение Центра обработки данных (ЦОД), на котором размещен ваш сайт. То есть, если хостинг-провайдер зарегистрирован в России, но его ЦОДы расположены, за пределами РФ, вы нарушаете закон и попадаете под блокировку сайта.
2. Добавить текст согласия на обработку персональных данных.
   Под каждой формой сбора данных разместите текст «Я согласен на обработку персональных данных» со ссылкой на документ.
3. Разместить на сайте в общем доступе ссылку на Политику организации в отношении обработки персональных данных.
   Например, в футере сайта.
4. Уведомлять новых пользователей сайта о том, что вы собираете их метаданные
   (cookie, данные об IP-адресе и местоположении), если он не хочет, чтобы его данные обрабатывались, то должен покинуть сайт.
5. Указать email, куда пользователь может направить запрос о своих персональных данных или обратиться за тем, чтобы его персональные данные были удалены.
   Важно, чтобы указанный email был рабочим, и информация на нем регулярно проверялась, чтобы не пропустить запрос пользователя на удаление персональных данных с сайта.
6. Заключить соглашение о безопасности персональных данных с разработчиком сайта.
   В случае, если разработчик сайта имеет доступ к персональным данным из заявок или базы данных сайта (например, сайт находится на технической поддержке), то необходимо заключить соглашение с разработчиком об обеспечении безопасности персональных данных.
   
   В соглашении нужно указать, какие персональные данные фирма-разработчик может обрабатывать, в каких целях и какие действия с ними выполнять. Также там должны быть указаны требования по защите персональных данных.
7. Подать уведомление, для внесения организации в реестр операторов персональных данных Роскомнадзора.
   Это можно сделать через сайт.
   
   Уведомление можно не подавать, если:
   • обрабатываются только данные сотрудников;
   • персональные данные получены только для исполнения конкретного договора с конкретным человеком и больше никак не будут использоваться и тем более — распространяться;
   • человек сам опубликовал эти данные в общем доступе;
   • у вас есть только ФИО клиента и больше ничего.
   
   
   Во всех остальных случаях операторы персональных данных должны уведомить Роскомнадзор. Причем сделать это нужно до начала обработки данных или как можно скорее.

Кроме изменений на сайте, юридическим лицам нужно также принять внутренние документы, регламентирующие процессы обработки и защиты персональных данных.

Как составить текст Соглашения

Согласно ч.4 ст. 9 закона 152-ФЗ "О персональных данных" в соглашении обязательно должна быть следующая информация:

• наименование или фамилия, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
• цель обработки персональных данных;
• перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
• наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
• перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
• срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом.

Также нужно указать информацию о том, как физическое лицо может отозвать свое согласие на обработку персональных данных (ч.2 ст. 9 152-ФЗ "О персональных данных").