Je nutný souhlas se zpracováním osobních údajů na stránce?

Kandidát ekonomických věd, docent. Autor dvou monografií, šesti učebnic a několika desítek článků o účetnictví, finančním řízení a analýze. Nositel Ceny guvernéra v oblasti vědy, techniky a inovací za rok 2012. Má zkušenosti z práce hlavního účetního rozpočtové instituce a pedagoga na státní vysoké škole.

Společnost vytvořila vstupní stránku. Přiložil jsem k němu přihlášku, přes kterou sbírám celé jméno a email klientů. Připojil jsem také Google Analytics. Co to znamená? Že se stala provozovatelem osobních údajů a provádí jejich přeshraniční přenos. A že to musíme co nejdříve nahlásit Roskomnadzoru. V tomto článku vám řekneme, jak postupovat v souladu se zákonem při práci s osobními údaji na webu. Poskytujeme také šablony dokumentů.

Jak souvisí zákon o osobních údajích a webové stránky?

Pamatujete si ta otravná vyskakovací okna na webových stránkách o cookies, zásadách ochrany osobních údajů a dalších věcech? Zde je příklad toho, o čem mluvíme.

Majitelé stránek je vkládají z ničeho nic. Takto se řídí zákonem „O osobních údajích“ ze dne 27.07.2006. července 152 č. 152-FZ (dále jen zákon č. XNUMX-FZ). Jeho účelem je chránit osobní údaje osoby.

Ve vztahu k internetu to znamená, že vlastník webu:

shromažďuje o návštěvníkovi pouze informace nezbytné pro svou práci;
řekne návštěvníkovi, co přesně sbírá a proč;
nepředává osobní údaje o návštěvníkovi nikomu neznámému;
na první žádost shromážděné osobní údaje zlikviduje.

To také znamená, že „vlastníkovi“ webu je přidána spousta další práce. Potřebujete například:

zaregistrujte se u Roskomnadzor (RKN) jako provozovatel osobních údajů;
nahlásit RKN únik osobních údajů, pokud k tomu dojde;
vypracovat desítku zásad, nařízení, nařízení, návodů pro práci s osobními údaji.

Pokud to neuděláte, dostanete pokutu. Pojďme proto zjistit, jak implementovat zákon č. 152-FZ a nedostat sankce od RKN. Začněme tím, co se týká osobních údajů.

Co jsou osobní údaje

Osobní údaje jsou jakékoli informace o osobě, podle kterých ji lze identifikovat (článek 1, článek 3 zákona č. 152-FZ). Zde jsou příklady osobních údajů:

Celé jméno;
registrační adresa;
místo práce a pozice;
telefonní číslo;
e-mail;
účet na sociální síti;
IP adresa;
cookies;
CÍN a SNILY;
fotografie a video obraz osoby;
hlasové nahrávání;
číslo běžného účtu;
zdravotní informace;
politické a náboženské názory.

Sami vidíte, že seznam je dlouhý. A to je stále neúplné. Pokud na webu požadujete od klientů alespoň něco z toho, pak jste provozovatelem osobních údajů.

READ

Jak dlouho trvá, než ovečka porodí?

Kdo je provozovatelem osobních údajů a jak o sobě informuje RKN?

Provozovatel osobních údajů (CHOP) je organizace nebo občan, který zpracovává osobní údaje. Zpracovává, tedy shromažďuje, uchovává, používá, převádí, ničí nebo s nimi provádí něco jiného, co je uvedeno v odstavci 3 čl. 3 zákona č. 152-FZ.

V předpisech pro práci s osobními údaji nejsou žádná zmírnění pro jednotlivé podnikatele nebo OSVČ. Musí proto dělat vše, co dělají velké společnosti, například vypracovat hromadu předpisů a zajistit řádnou ochranu shromážděných informací.

Než OPD začne shromažďovat osobní údaje, je povinen o tom informovat RKN (článek 1 § 22 zákona č. 152-FZ). Chcete-li to provést, podejte oznámení na papíře nebo přes internet. Akční diagram pro každou metodu je uveden v tabulce.

Tabulka 1. Jak oznámit Roskomnadzor zpracování osobních údajů

Jak odeslat oznámení:

· Tiskneme ve dvou kopiích.

· Podepisujeme s ředitelem.

· Doručíme osobně nebo zašleme doporučenou poštou s potvrzením o převzetí. Je potřeba jej převzít nebo zaslat na územní pracoviště RKN

· Podepisujeme elektronickým podpisem pomocí speciálního pluginu nebo autentizací na webu Služeb státu

V oznámení je mimo jiné potřeba napsat, za jakým účelem a jaké osobní údaje shromažďujete. Cílem by mohlo být:

autorizace návštěvníků stránek;
uzavření kupní a prodejní smlouvy;
zasílání reklamních sdělení uživateli prostřednictvím emailu nebo SMS.

vedení personálních a účetních záznamů;
zajištění souladu s pracovní a daňovou legislativou Ruské federace;
příprava, uzavření a provedení občanské smlouvy;
propagace zboží, prací, služeb na trhu;
zajištění kontroly vstupu na území provozovatele;
výběr personálu (uchazečů) na volná operátorská místa;
plnění požadavků a požadavků vládních orgánů Ruské federace;
zajišťování provozu a poskytování přístupu k internetové službě a jejím možnostem uživatelům na internetu;
zajištění ochrany softwarových prvků internetové služby a uživatelských dat před neoprávněným přístupem a jinými zásahy;
zpracování požadavků uživatelů služeb a dalších fyzických osob.

A takto formuluje M.video Company LLC účel zpracování osobních údajů:

vykonávání zákonem stanovených činností provozovatele;
uzavírání a plnění občanských a pracovních smluv;
povinné zveřejňování informací o trhu cenných papírů;
zpřístupnění informací pro účely dodržování antimonopolních zákonů;
zpřístupnění informací za účelem souladu s právními požadavky na boj proti zneužívání zasvěcených informací a manipulaci s trhem;
dodržování požadavků daňové legislativy.

READ

Jaké potraviny obnovují játra a slinivku?

RKN zadá údaje o Vás do Registru OPD do 30 dnů po obdržení upozornění. Osobní údaje ale můžete sbírat ihned po jejich odeslání – není třeba čekat, až budete zařazeni do Registru.

Zde jsou další tři body o Registru OPD, které je důležité znát.

První. Dejte výpověď i pozdě. Pokud zpracováváte osobní údaje již delší dobu a nezaslali jste oznámení RKN, učiňte tak co nejdříve. Za pozdní podání nebude udělena žádná pokuta. Pokuta ale přijde, pokud oddělení samo odhalí vaši chybu.

Druhý. Aktualizujte informace v oznámení. Když v něm změníte některý z údajů, nahlaste to RKN. Udělejte tak nejpozději do 15. dne měsíce, který následuje po měsíci změn (článek 1, článek 22 zákona č. 152-FZ). Společnost například v září změnila osobu odpovědnou za zpracování osobních údajů. Informujte o tom RKN do 15. října včetně.

Sestavte oznámení o změnách informací podle stejných pravidel, jaká byla popsána výše. Vezměte formulář z webu RKN a odešlete jej v papírové nebo elektronické podobě.

Třetí. Vyžádejte si výpis z RKN. Bude užitečné potvrdit datum, od kterého jste byli zaregistrováni jako provozovatel a abyste se vyhnuli pokutám. Objednejte si výpis na webu RKN.

Jak sbírat osobní údaje na webu

Chcete-li shromažďovat osobní údaje od návštěvníků stránek, získejte od nich souhlas (článek 1, článek 9 zákona č. 152-FZ). Pojďme zjistit, jak to udělat.

Jak získat souhlas se zpracováním osobních údajů na stránce

V registračním formuláři nebo přihlášce na webu uveďte dva body.

Úkon, kterým uživatel potvrzuje, že souhlasí se zpracováním osobních údajů. Může to být „zaškrtnutí“ v zaškrtávacím políčku nebo tlačítko „Získat kód“. Jasně a jednoznačně uveďte, že provedením akce návštěvník stránek souhlasí se zpracováním údajů.
Odkaz na dokument, ve kterém vysvětlíte proč, jaké osobní údaje a jak dlouho shromažďujete. Mohou to být podmínky zpracování osobních údajů, uživatelská smlouva s návštěvníky stránek nebo zásady ochrany osobních údajů. Ujistěte se, že se odkaz otevře, než uživatel přijme smlouvu.

Zde je několik příkladů tohoto formuláře:

Poslední příklad se zaškrtávacím políčkem, i když je běžný, není nejlepší. Takový souhlas s proklikem lze snadno napadnout. Návštěvník webu může říci, že zaškrtávací políčko zaškrtlo jeho dítě, jeho spolubydlící na koleji nebo hacker.

READ

Kolik stojí 1 kg Indoutky?

Abyste tomu zabránili, pošlete uživateli e-mail nebo SMS s kódem nebo odkazem pro vstup na web. Uživatel zadá kód do formuláře nebo klikne na odkaz a bude to odpovídat skutečnosti, že souhlas podepsal prostým elektronickým podpisem (článek 2 článku 5 spolkového zákona ze dne 06.04.2011 č. 63-FZ).

Jaký by měl být souhlas se zpracováním osobních údajů?

Začněte dokument prohlášením, že návštěvník souhlasí se sdílením svých údajů, například: „Tímto dávám svůj souhlas. “. A pak napiš:

název a umístění vaší společnosti, která souhlasí;
osobní údaje o návštěvníkovi stránek, které shromažďujete;
účely shromažďování osobních údajů;
souhlas s předáním osobních údajů třetím stranám, pokud je to nutné, například k předání adresy klienta kurýrní společnosti pro doručení zboží;
doba souhlasu;
postup pro odvolání souhlasu.

Při sestavování mějte na paměti dva body.

První. Nezávislost. To znamená, že souhlas se zpracováním osobních údajů nemůžete kombinovat s nabídkou nebo souhlasem se zasíláním reklamního newsletteru.

Návštěvník webu například není proti vašim cookies, ale nepotřebuje reklamní dopisy. Dejte mu možnost souhlasit se zpracováním osobních údajů a odhlásit se z mailing listu. K tomu rozdělte souhlasy účelově a nemíchejte do nich něco jiného, například nabídku.

Právníci doporučují vytvářet samostatné souhlasy pro každý účel sběru. V opačném případě RKN zjistí chybu v nevhodném zpracování osobních údajů a pokutuje vás za to. Zde je příklad ze SberMarket se samostatnými souhlasy pro:

souhlas a přijetí zásad zpracování osobních údajů;
propagační nabídky.

Druhý. Přiměřenost. Sbírejte pouze ty informace, které se vám při vašich činnostech hodí a nežádejte zbytečné věci. Pokud například nebudete klientovi volat nebo posílat SMS, neberte si jeho telefonní číslo.

Odborníci nabízejí takový test redundance shromážděných dat. Zeptejte se sami sebe: „Je možné komunikovat, uzavírat a uzavírat smlouvy s návštěvníky webu bez těchto informací? Pokud ano, pak jsou nadbytečné. Odstraňte pole s žádostí o ně z registračního formuláře nebo formuláře žádosti.

Text souhlasu se zpracováním osobních údajů naleznete na webových stránkách společnosti. Zde jsou ty, které jsme našli:

Poslední dva dokumenty potvrzují, že je lepší vytvářet samostatné souhlasy pro různé účely sběru.

READ

Jaká změkčovadla se přidávají do betonu?

Jak dlouho trvá souhlas se zpracováním osobních údajů?

Souhlas platí po dobu, kterou v něm napíšete. Zde jsou možnosti, jaké časové limity můžete nastavit:

počet let ode dne udělení souhlasu, například tři roky;
dosažení účelu zpracování, například po dobu uzavření a plnění kupní smlouvy;
na dobu neurčitou, dokud návštěvník stránek svůj souhlas neodvolá.

Pokud zvolíte poslední bod, vypracujte vzor pro odvolání souhlasu se zpracováním osobních údajů a zveřejněte jej na webu. U nás si můžete stáhnout vzorový dokument:

Pokud vypršela počáteční doba souhlasu, ale Vy nadále používáte osobní údaje občana, prodlužte dobu zpracování. Pro obnovení zašlete klientovi novou žádost, ve které uvedete, že není proti použití jeho údajů. V opačném případě bude RKN mít za to, že informace používáte nezákonně.

Je možné získat od dítěte souhlas se zpracováním osobních údajů?

Děti do 14 let jsou považovány za právně nezpůsobilé. Souhlas za ně tedy mohou podepsat pouze dospělí.

Děti od 14 do 18 let mají omezenou způsobilost k právním úkonům. Pokud jde o ně, existují dva protichůdné názory na to, jak nakládat se souhlasem:

za prvé, nemohou sami podepsat souhlas se zpracováním osobních údajů, je vyžadován podpis dospělé osoby. Výjimka: drobné nákupy domácností (článek 2 článku 26 občanského zákoníku Ruské federace);
zadruhé mohou souhlas podepsat sami, protože zákon č. 152-FZ to nezakazuje.

Abyste se vyhnuli dohadům RKN, dodržujte rady odborníků uvedené v tabulce.

Tabulka 2. Jak získat souhlas se zpracováním údajů od dítěte ve věku 14–18 let

Věděli jste, že návštěvníkem stránek je dítě ve věku 14–18 let?

Pokud prodáváte zboží nebo služby pro dospělé, umístěte na svůj web formulář se zaškrtávacím políčkem „Je mi 18 let“. Nechte formulář zobrazit, když návštěvník vstoupí na web

Ve formuláři souhlasu se zpracováním osobních údajů udělejte dvě tlačítka pro dítě a rodiče

Zde jsou příklady takových zvláštních potvrzovacích formulářů na webových stránkách obchodů s alkoholem:

Jak chránit osobní údaje klientů

Ochrana osobních údajů je proces se spoustou úkonů a interních předpisů. Zde je hlavní věc, kterou je třeba udělat:

jmenovat osobu odpovědnou za zpracování osobních údajů;
omezit přístup k osobním údajům prostřednictvím zaměstnanců a prostřednictvím technických prostředků;
specifikovat ochranná opatření v předpisech pro práci s osobními údaji;
Posoudit možné škody způsobené únikem osobních údajů.

READ

Kolik vody je potřeba k zalévání třešní?

Podívejme se na každý bod.

Jmenujeme odpovědnou osobu

OPD je povinen jmenovat osobu odpovědnou za zpracování osobních údajů (odst. 1, čl. 22.1 zákona č. 152-FZ). Tato osoba může být zodpovědná za:

zaměstnanec na plný úvazek. Například správce systému, který již sleduje bezpečnost informací, a navíc převezme kontrolu nad osobními údaji návštěvníků stránek;
dozorce. Když je zaměstnanců málo nebo žádní, je to jediná možnost;
externí specialista. Například zaměstnanec outsourcingové společnosti, která chrání osobní údaje.

Poslední možnost přináší další komplikace. Pokud zavoláte outsourcingu, pak budete muset od klientů získat ještě jeden souhlas – předat jim data. A také zadat údaje o outsourcingu do speciálního logu vystavených osobních údajů. Navíc, pokud změníte specialistu třetí strany, budete muset získat souhlas znovu – pod novou odpovědnou osobou. Odborníci proto radí určit si vlastního zaměstnance, abyste nemuseli později řešit souhlasy a protokoly.

Když si vyberete zodpovědnou osobu, jmenujte ji na příkaz vedoucího. V objednávce uveďte:

povinnosti odpovědné osoby. Můžete je přepsat z odstavce 4 čl. 22.1 zákona č. 152-FZ;
přímo podřízená řediteli. To je zahrnuto v odstavci 2 čl. 22.1 zákona č. 152-FZ;
aplikace vnitřních předpisů pro zpracování osobních údajů odpovědnou stranou.

Můžete si od nás stáhnout:

Omezení přístupu prostřednictvím zaměstnanců

Napište seznam zaměstnanců, kteří mají právo používat osobní údaje klientů. Budou to ti, kteří s takovými informacemi pracují, například manažeři zakázek. Ostatní zaměstnanci budou mít omezený přístup. V seznamu uveďte nejen pozice, ale i jména kolegů s přístupovými právy. Schválit na příkaz vedoucího.

Zároveň převzít od každého zaměstnance, který pracuje s osobními údaji písemnou povinnost mlčenlivosti. V popisech práce uveďte právo přístupu a povinnost nezveřejňovat informace o návštěvnících stránek.

A také vypracovat předpisy o přístupu zaměstnanců k osobním údajům klientů. Seznamte se s podpisem všech zaměstnanců – i těch, kteří nemají přístup. To je nezbytné, aby mohli být potrestáni ti, kteří porušují pravidla.

Celkem potřebujete tři formy dokumentů. Sdílíme s vámi jejich šablony: