Политика обработки персональных данных: как составить
Политика обработки персональных данных — документ, который есть почти у каждого сайта и который почти никто не читает. И это проблема, потому что политика — не декорация в подвале, а документ с юридическим весом. Разберу, что в ней должно быть и как не наделать ошибок.
Что такое политика и зачем она
Политика — это публичный документ оператора о том, какие персональные данные он обрабатывает, зачем и как. Она обязательна, если оператор собирает данные — а это любой сайт с формой, заказом или личным кабинетом.
Зачем она нужна. Во-первых, это требование закона. Во-вторых, это объяснение субъекту, что происходит с его данными. В-третьих, при проверке Роскомнадзор смотрит в первую очередь на политику.
Что должно быть в политике
Закон требует, чтобы политика содержала определённый набор сведений.
Минимальный состав:
- цели обработки;
- категории и перечень данных;
- категории субъектов;
- правовые основания;
- порядок и условия обработки;
- сроки хранения;
- порядок уничтожения;
- сведения о мерах защиты;
- данные оператора и ответственного лица;
- права субъектов и как их реализовать.
Если чего-то нет — политика неполная. И это уже формальный повод для претензии.
Типовые ошибки
Первая — скопировали чужую политику. Самый частый кейс: взяли шаблон с другого сайта, поменяли название, а внутри остались чужие цели и данные. Проверка это видит сразу.
Вторая — политика не соответствует реальности. В политике написано «храним данные в РФ», а база лежит в зарубежной CRM. Это хуже, чем отсутствие политики: это документ, который сам себя опровергает.
Третья — нет ответственного. В политике должны быть указаны данные лица, ответственного за организацию обработки ПДн.
Четвёртая — политика «на все случаи». Размытые формулировки «обрабатываем данные для улучшения сервиса» без конкретики не проходят требование конкретности целей.
Где размещать
Политика должна быть доступна субъектам. На сайте её обычно кладут в подвал, ссылкой на каждой странице, плюс показывают рядом с формами сбора данных — там, где человек вводит телефон или email.
Правило простое: человек должен видеть политику до того, как отдаст свои данные, а не искать её в дебрях.
Политика, согласие и уведомление — не путать
Три документа, которые часто смешивают.
Политика — публичный документ о том, как вы обрабатываете данные. Её вы пишете сами и публикуете.
Согласие — документ, который даёт субъект на конкретную обработку. Его подписывает человек.
Уведомление — сообщение в Роскомнадзор о том, что вы оператор. Его подаёте вы государству.
Политика не заменяет согласие, согласие не заменяет уведомление. Это три разные вещи.
Коротко
Политика — документ, который должен описывать вашу реальную практику, а не мечты о ней. Напишите честно, что и зачем обрабатываете, укажите ответственного и держите документ в актуальном состоянии.
Скачайте шаблон политики обработки персональных данных — в нём уже есть обязательные разделы, останется подставить свои данные.
Частые вопросы
Обязательна ли политика для лендинга с одной формой? Да, если форма собирает персональные данные.
Можно ли взять типовую политику? Можно взять за основу, но обязательно привести в соответствие со своей практикой.
Что важнее для проверки — политика или уведомление? Оба. Проверка смотрит комплексно.
Нужно ли обновлять политику? Да, при изменении целей, данных или процессов.
Политика на сайте — это маркетинг или документ? Документ. Относитесь к нему как к юридическому, а не как к тексту для галочки.
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.
Связанные статьи
- Кто такой оператор ПДн
- Согласие на обработку ПДн
- Шаблоны документов по 152-ФЗ
- Защита персональных данных
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.