Je nutné zveřejňovat Zásady zpracování osobních údajů na webových stránkách společnosti?

Mnoho z nás se neustále registruje na různých zdrojích na internetu, přihlašuje se k odběru e-mailových konferencí, vyplňuje formuláře a zanechává komentáře. Všechny tyto akce tak či onak znamenají shromažďování osobních údajů. Řekneme vám, jak zpracovávat osobní údaje uživatelů stránek a zároveň se vyhnout závažným porušením a pokutám.

Pokud shromažďujete uživatelská data z Ruska, pak hlavním dokumentem, na který se musíte spolehnout, je federální zákon č. 152-FZ „O osobních údajích“. Pojďme zjistit, co to je a jak legálně organizovat shromažďování osobních údajů.

Co jsou osobní údaje?

Jak je definováno výše uvedeným zákonem: „Osobní údaje jsou jakékoli informace týkající se přímo nebo nepřímo identifikované nebo identifikovatelné fyzické osoby (předmětu osobních údajů).

To znamená, že mezi osobní údaje (dále jen OÚ) lze zařadit: celé jméno, datum narození, telefonní číslo, adresu, daňové identifikační číslo, pracovní údaje, odkazy na účty na sociálních sítích nebo osobní webové stránky a další obdobné informace.

U jakýchkoli údajů se najde někdo, kdo je zpracovává – tedy dělá všechny věci, které jsou popsány ve smlouvách o zpracování osobních údajů (asi to znáte, pokud jste takové dokumenty někdy četli). A to shromažďování, zaznamenávání, systematizace, shromažďování, uchovávání, objasňování (aktualizace, změna), vytěžování, používání, přenos (distribuce, poskytování, zpřístupňování), depersonalizace, blokování, mazání a ničení. Osoba zpracovávající osobní údaje se nazývá provozovatel osobních údajů. Odpovídá za nezákonné zpracování osobních údajů a může jím být jak právnická, tak fyzická osoba.

Za provozovatele osobních údajů můžete být považováni, pokud vaše webové stránky obsahují formuláře:

• předplatné newsletterů;
• registrace osobního účtu;
• žádosti nebo zpětná vazba;
• online chatovací systémy nebo online poradce;
• zveřejňování komentářů.

Vezměte prosím na vědomí, že ne všechny údaje jsou samy o sobě osobní, ale jejich souhrn umožňuje takový stav získat. Pokud například uživatel uvádí pouze své jméno, pak to k jeho identifikaci zjevně nestačí. Ale jméno a e-mail již poskytují úplnější definici. Přitom informace jako telefonní číslo nebo daňové identifikační číslo samy o sobě jsou již osobními údaji, protože pokud máte přístup do příslušné databáze, umožňují vám získat úplné informace o osobě.

Proto můžete určit, zda jste provozovatelem PD v závislosti na tom, jaké údaje shromažďujete prostřednictvím formulářů zpětné vazby na webu.

Co mám dělat, když zpracovávám PD na svém webu?

Při shromažďování informací o uživatelích si můžete položit otázku: „Jak zpracovávat osobní údaje, abyste se vyhnuli sankcím?“ Pro zpracování osobních údajů pro stránky existuje řada podmínek. Potřebuješ:

1. Nainstalujte na stránku zabezpečený protokol pro přenos osobních údajů (SSL certifikát). S výběrem certifikátu vám pomůže váš poskytovatel hostingu: například u REG.RU můžete získat základní SSL certifikát dokonce zdarma.
2. Vypracujte zásady ochrany osobních údajů a zveřejněte je na webu.
3. Požádejte návštěvníky o souhlas se zpracováním jejich PD.
4. Informujte Roskomnadzor, že shromažďujete osobní údaje.

Pro jistotu zdůrazněme, co je třeba udělat vše tyto kroky. Pojďme si projít každý z bodů.

SSL certifikát

SSL certifikát je bezpečnostní standard pro výměnu dat mezi webem a uživatelem. Hlavní výhodou SSL certifikátu je šifrované spojení, které chrání provoz, zabraňuje jeho zachycení a zneužití osobních údajů na webu k podvodným účelům.

Přepnout na protokol SSL je kriticky důležité pro všechny stránky, které obsahují informace první a druhé kategorie (více informací o kategoriích informací naleznete zde). Jedná se například o údaje o bankovních kartách, přihlašovací údaje a hesla k účtům, formuláře s uvedením celého jména a adresy atd.

Zásady ochrany osobních údajů

Při sestavování zásad ochrany osobních údajů dbejte na zásady zpracování osobních údajů. Musí obsahovat následující informace:

1. Jméno operátora zpracování osobních údajů. Pokud web patří jednotlivému podnikateli nebo pouze fyzické osobě, uveďte své celé jméno; pokud patří právnické osobě, uveďte název společnosti a DIČ.
2. Adresa operátora: právní (pro právnické osoby) nebo skutečné (pro fyzické osoby).
3. Seznam shromážděných dat: Celé jméno, e-mail, telefon, soubory cookie, údaje o pasu a další. Seznam by měl být co nejúplnější a nejpodrobnější.
4. Účel sběru dat. Nezapomeňte uvést, k čemu bude PD použit. Sbírejte pouze nezbytná data.
5. Časové rámce zpracování dat. Osobní údaje musí být po použití k určenému účelu vymazány. Jejich zpracování je možné pouze po omezenou dobu.
6. Skutečnost zapojení třetích stran ke zpracování dat. Patří sem také různé affiliate programy, například affiliate program REG.RU. Pokud přivedete nové klienty do jiné společnosti, pak je to třetí strana, která zpracuje PD.
7. Vaše kontaktní údaje. V podrobnostech zásad ochrany osobních údajů uveďte kontakty, na kterých vás lze kontaktovat. Tyto informace budou užitečné pro vaše zákazníky, pokud si přejí smazat nebo změnit své osobní údaje.
8. Opatření pro zabezpečení dat. Sdělte klientům, že jejich osobní údaje jsou uloženy na zabezpečených serverech umístěných v Rusku (ano, ze zákona mohou být data ruských občanů uložena pouze na serverech umístěných v Ruské federaci).

Návštěvníci vašeho webu by měli mít možnost snadno si přečíst vaše zásady ochrany osobních údajů, proto je doporučujeme umístit do zápatí každé stránky.

Souhlas se zpracováním osobních údajů

V souladu se zákonem o osobních údajích se uživatel musí samostatně rozhodnout, zda vám své údaje poskytne a souhlasí s jejich zpracováním. Souhlas se zpracováním osobních údajů musí být zároveň konkrétní, informovaný a vědomý. Zaškrtněte políčko oznamující, že klient souhlasí se zpracováním PD a přečetl si zásady ochrany osobních údajů (nezapomeňte uvést odkaz na ně). Návštěvník webu musí nezávisle zaškrtnout políčko a nedoporučujeme to dělat za něj.

Existuje ale řada případů, kdy lze souhlas se zpracováním OÚ získat i jiným způsobem. Patří mezi ně například podpis smlouvy, jejíž jednou ze stran je uživatel.

Oznámení Roskomnadzoru

Zákon o osobních údajích uvádí, že musíte Roskomnadzor informovat o shromažďování a zpracování osobních údajů návštěvníků vašich webových stránek. To lze provést prostřednictvím speciálního formuláře.

Existují ale výjimky, kdy není nutné Roskomnadzor hlásit. Mezi nimi například zpracování veřejně dostupných informací (tedy těch, které uživatel zpřístupnil neurčitému počtu osob, např. údaje o sobě zveřejněné na osobní webové stránce nebo v otevřeném profilu sociální sítě) popř. údaje, které obsahují pouze jeho celé jméno.

Závěry

1. Osobní údaje jsou jakékoli informace, které lze použít k přímé nebo nepřímé identifikaci osoby.

2. Pokud zpracováváte osobní údaje, připojte ke stránce certifikát SSL, zveřejněte zásady ochrany osobních údajů a informujte Roskomnadzor.

3. Návštěvníci stránek musí souhlasit se zpracováním osobních údajů – pod formulář pro zadávání údajů umístěte odpovídající řádek se zaškrtávacím políčkem a odkazem na zásady ochrany osobních údajů.

4. Ukládat osobní údaje lidí žijících v Ruské federaci na serverech umístěných v Rusku.

Téměř všichni majitelé webových stránek zpracovávají osobní údaje – například shromažďují poštovní adresy pro zasílání pošty.

Od 1. července 2017 nabývají účinnosti změny zákona o osobních údajích, kvůli kterým se výrazně zvýší pokuty. Maxim Lagutin, odborník na osobní údaje společnosti B-152, vysvětluje, koho se to dotkne a jak se vyhnout pokutám.

V současné době existuje podle článku 13.11 pouze jedno porušení s pokutou 10 000 rublů pro právnické osoby. Po 1. červenci jich bude sedm a celková pokuta by mohla činit až 295 000 rublů.

Proč teď? Všechny pokuty, které vstoupí v platnost 1. července, jsou nejčastějšími porušeními, které Roskomnadzor za posledních pět let zjistil. Zpřísnění naší legislativy souvisí se zpřísněním legislativy v Evropské unii.

Pokud například formulář zpětné vazby nebude obsahovat odkaz na smlouvu o zpracování osobních údajů, bude muset společnost zaplatit 50 000 rublů. Pokud stránka nemá zásady ochrany osobních údajů, bude individuální podnikatel pokutován 10 000 rublů, společnost – 30 000 rublů.

Provozovatelé osobních údajů. Provozovatelem je jakákoli organizace, fyzická osoba podnikatel nebo fyzická osoba, která zpracovává osobní údaje, například shromažďuje e-mailové adresy pro zasílání pošty.

Provozovatel osobních údajů – státní orgán, orgán obce, právnická nebo fyzická osoba, samostatně nebo společně s jinými osobami organizující a (nebo) provádějící zpracování osobních údajů, jakož i určování účelů zpracování osobních údajů, složení osobních údajů údaje ke zpracování, úkony (operace) prováděné s osobními údaji.

Jakékoli informace o osobě, podle kterých ji lze identifikovat. Přesný výčet v zákoně není, ale např. pokud nám přihlašovací jméno uživatele nic neříká, tak email je již osobní údaj.

Osobní údaje – veškeré informace týkající se přímo či nepřímo identifikované nebo identifikovatelné fyzické osoby (předmět osobních údajů).

Nezáleží na tom, zda tyto informace používáte jednotlivě nebo v kombinaci – pokud je nějakým způsobem získáte od uživatelů, jste správcem údajů.

• E-mailem
• telefon
• Jméno, příjmení, patronymie (a samostatně)
• adresa
• Datum narození
• fotografie
• Odkaz na osobní web a profil na sociálních sítích

Výklad je vágní, ale na základě stanoviska soudů a Roskomnadzoru jsou osobními údaji i cookies, údaje o IP adrese, poloze bez uvedení příjmení a jména. V případě LinkedIn (který byl zablokován kvůli používání cookies, informacím o chování uživatelů na stránce a informacím o poloze) a poskytovateli Scartel se potvrzuje pozice soudů a Roskomnadzoru.

Pokud vaše webové stránky mají jakoukoli formu shromažďování údajů – zpětnou vazbu, odběr newsletteru, registraci nebo osobní účet, považuje se to za zpracování osobních údajů.

Do definice zpracování spadá také skladování a sběr. I když údaje shromáždíte a po několika minutách je vymažete, bude to považováno za zpracování osobních údajů.

Zpracování osobních údajů – jakákoli akce (operace) nebo soubor úkonů (operací) prováděné pomocí nástrojů automatizace nebo bez použití takových nástrojů s osobními údaji, včetně shromažďování, zaznamenávání, systematizace, shromažďování, ukládání, vyjasňování (aktualizace, změny), vytěžování, používání, přenos (distribuce, poskytování, zpřístupňování), depersonalizace, blokování, výmaz, likvidace osobních údajů.

Musíte se ujistit, že stránka splňuje požadavky 152-FZ. Tyto požadavky platí pro všechny – jednotlivce i firmy. Ujistěte se, že splňujete následující podmínky:

Hosting a databáze s osobními údaji musí být umístěny v Rusku. Svědčí o tom přímo kontrolní údaje Roskomnadzor (opět LinkedIn) a zákon č. 242-FZ, který od září ukládá povinnost zaznamenávání, uchovávání, aktualizaci a vyhledávání osobních údajů občanů Ruské federace pomocí databází na území Ruska. 1, 2015.

Týká se to zahraničních společností s právnickou osobou v Rusku i bez ní, jakož i ruských společností, které využívají zahraniční poskytovatele hostingu, datová centra a cloudové platformy. Vše komplikuje skutečnost, že požadavky Roskomnadzoru nejsou zcela jasné, musíte hádat sami.

Pokud nerozumíte, kam ukládat data a co dělat, obraťte se s žádostí na Roskomnadzor nebo Ministerstvo telekomunikací a hromadných komunikací. A možná má váš poskytovatel hostingu pro tento případ hotová řešení.

Pod každý formulář pro sběr dat, včetně sběru e-mailů, umístěte text „Kliknutím na tlačítko souhlasíte se zpracováním vašich osobních údajů“. Text musí obsahovat odkaz na dokument – ​​Uživatelská smlouva, smlouva nebo souhlas se zpracováním osobních údajů. Samotný text dokumentu lze umístit na samostatnou stránku.

V Tildě je v každém bloku s formulářem pro sběr dat pole, do kterého můžete umístit text o souhlasu se zpracováním údajů a odkaz na smlouvu a splnit tak zákonný požadavek.

Jaké informace by měly být ve smlouvě o zpracování osobních údajů

Podle části 4 Čl. 9 zákona 152-FZ „O osobních údajích“ smlouva musí obsahovat následující informace:

jméno nebo příjmení, jméno, příjmení a adresa provozovatele, který obdrží souhlas subjektu osobních údajů;

Umístěte na web ve veřejném přístupu (například do zápatí webu) odkaz na dokument – zásady organizace týkající se zpracování osobních údajů na webu.

Ukažte všem novým uživatelům webu upozornění s textem, že shromažďujete uživatelská metadata (cookies, IP adresa a údaje o poloze) pro provoz webu a pokud si nepřeje, aby tato data byla zpracovávána, musí opustit místo.

Odeslání oznámení o přidání organizace do registru provozovatelů osobních údajů Roskomnadzoru lze provést prostřednictvím webových stránek.

Oznámení nemusíte podávat, pokud:

zpracovávat pouze údaje zaměstnanců a pouze pro splnění požadavků pracovněprávních předpisů (bez předávání údajů bankám, např. zpracování mzdového projektu)

Není třeba potvrzovat status operátora u Roskomnadzor. Vy nebo vaše společnost jste již provozovatelem, pokud máte přístup k osobním údajům.