Сегодня сложно представить онлайн-бизнес, который совсем не собирает персональные данные. Поэтому предпринимателям разумно заранее выполнить базовые требования закона, чтобы снизить риски претензий со стороны Роскомнадзора.
1. Составить и опубликовать политику конфиденциальности
Политика конфиденциальности, или политика приватности, - это документ, который информирует пользователя о том, какие данные использует оператор, для каких целей, на каком основании, как долго хранит, кому передаёт и т. д.
Составить и опубликовать политику конфиденциальности в заметном и доступном для пользователя месте - обязанность любого оператора персональных данных.
2. Составить согласие на обработку персональных данных и, при необходимости, согласие на получение рекламы
Если политика конфиденциальности информирует пользователя об особенностях обработки персональных данных конкретным оператором, то согласие на обработку даёт оператору право обрабатывать данные в тех случаях, когда иных законных оснований для этого нет.
Отдельно от него стоит согласие на рекламную рассылку. Оно даёт оператору право направлять пользователю рекламные и маркетинговые материалы.
Подробнее о различии этих согласий можно прочитать в отдельной статье: Разница между согласием на обработку ПДн и согласием на рекламную рассылку.
3. Разработать внутренний пакет документов по работе с персональными данными
К таким документам относятся:
- общий регламент или положение об обработке ПДн: в отличие от политики, это внутренний документ компании;
- приказы о назначении ответственных за обработку ПДн;
- положение или регламент о защите и безопасности ПДн;
- порядок рассмотрения запросов субъектов ПДн;
- порядок учёта и хранения согласий, уведомлений и юридических оснований обработки;
- инструкция или памятка для работников по работе с ПДн;
- порядок уничтожения и обезличивания ПДн;
- порядок взаимодействия с третьими лицами, если это необходимо.
4. Настроить сбор cookie-файлов
Если сайт собирает аналитические, рекламные, маркетинговые или внешние cookie-файлы, нужно предусмотреть для пользователя техническую возможность согласиться с их сбором.
Также желательно дать пользователю возможность отключить cookie-файлы, которые не являются необходимыми для работы сайта.
Это можно сделать через окно настроек в cookie-баннере либо проинформировать пользователя о возможности отключить такие cookie через настройки браузера.
5. Подать уведомление в Роскомнадзор о намерении обрабатывать персональные данные
Если сайт обрабатывает персональные данные, оператору, как правило, нужно подать уведомление в Роскомнадзор о намерении осуществлять такую обработку.
Самый простой способ - заполнить и подать форму уведомления на официальном сайте РКН: