Обратная связь, персональные данные и штрафы

[Chernetskiy 469]

Друзья, живем мы в России, где любую здравую идею чиновники в состоянии довести до маразма  

Суть в том, что в Астраханской области уже 3 организации были оштрафованы за наличие на их веб-сайтах формы обратной связи  Печальку доставляет тот факт, что этот маразм не единично высосанный из пальца случай, а результатат нескольких судебных решений. 

Подробности сюда переносить не стану, читайте их здесь и здесь. Но на мой взгляд, от дурака проще перестраховаться, и чтобы не нарушать закон сделать не обязательными позиции телефона и email, а лучше, сделать чекбокс с отсылкой на согласие пользователя на обработку его данных и блокировать кнопку "Отправить", пока он не согласится с ними.

[Chernetskiy 469]

Пришлось законный дурдом для формы обратной связи развести народной непредсказуемостью  

Поправил в форме "Имя" на "Как к вам обращаться", и пусть пишут хоть Царь всея Руси  чтобы не возникало разговоров, что потребовали указать имя, 

поправил позицию "Ваш телефон" на "телефон" - мы-же не спрашиваем именно его телефон (контакта), может нас интересует модель или цвет его телефона, но изменил параметр на mobileprhone и добавил mask= +7 (hhh) hhh-hhhh, ничего другого не укажешь, да и с маской удобнее  

из обязательных полей оставил только e-mail, посмотрим прибавится-ли спама...

[Дмитрий Кондин 690]

Сделал страничку Политики конфиденкцильности https://www.sitebill.ru/privacypolicy

Вообще сейчас повсеместно вводят это правило, например, в мобильном приложении на Google Play тоже пришло уведомление что надо такую страничку сделать.

 

[Chernetskiy 469]

Да у меня уже давно этого добра на сайте понапихано, для разных случаев - Пользовательское соглашение, целый раздел с Правовой информацией, с условиями, правилами и договором оферты.  Надо наверное всё это подкорректировать применительно к современным требованиям, а-то уже года два не менялось.

[abushyk 694]

В 15.02.2017 в 17:08, Chernetskiy сказал:

Поправил в форме "Имя" на "Как к вам обращаться"....

поправил позицию "Ваш телефон" на "телефон" - мы-же не спрашиваем именно его телефон....

[Chernetskiy 469]

1 июля 2017 г. приближается, штрафы за косяки с персональными данными увеличиваются...

Если у вас есть сайт, то с 1-го июля вы можете попасть на штрафы до 300000 руб. просто за то, что не разметили нужную информацию на сайте.

В феврале 2017 года были внесены поправки в Федеральный закон №152 по поводу нарушений закона о персональных данных.

 

Поправки вступают в силу 1 июля 2017 года и коснутся всех, кто обрабатывает и хранит на сайте любые персональные данные.

Являетесь ли вы оператором персональных данных?

Являетесь, если используете следующие сервисы:

• обратная связь (форма обратной связи, заказ обратного звонка, форма любой заявки),
• данные пользователей (регистрация, авторизация, данные соц.сетей),
• продажи (данные для доставки и связи с клиентом),
• е-маил маркетинг (подписка на новости, рассылку, лидмагнит).

Персональные данные - это любая информация о пользователе, по которой его можно идентифицировать. Например, по имени и логину понять что за человек нельзя. А вот по логину и е-маилу уже можно. Также можно определить пользователя по установленному пикселю ретаргетинга на сайте.

 

Поэтому вы являетесь оператором персональных данных, если пользователи на вашем сайте оставляют в любом сочетании следующие данные:

• ФИО
• е-маил
• телефон
• адрес
• образование, семейное положение, уровень доходов,
• cookie
• данные об IP адресе и местоположении

Что делать с сайтом?

1. Хостинг и база данных должны располагаться на территории России
   По хранению персональных данных в ФЗ-152 не все прозрачно и понятно, поэтому, чтобы не было проблем, лучше руководствоваться требованием ФЗ-242 и хранить данные на территории РФ.
2. Согласие на обработку персональных данных
   Под каждой формой разместить текст "Нажимая на кнопку, вы даете согласие на обработку своих персональных данных" и ссылка на документ.
3. Разместить в футере ссылку на политику работы с персональными данными (Политика конфиденциальности)
   Необходимо подготовить документы по работе с персональными данными (по закону эти документы можно объединить в один).
4. Зарегистрироваться в Роскомнадзоре
   Ссылка на регистрацию http://pd.rkn.gov.ru/operators-registry/notification/form/
5. Разместить на сайте всплывающую информацию о сборе cookies - можно дополнить Политику конфиденциальности информацией о cookies.

Кроме этого нужно:

1. Сообщать по запросу человека, какие у вас есть данные о нем, как и для чего они обрабатываются и кому вы их передавали
2. Удалять по первому требованию данные, которые используются для рассылки
3. Подписать с сотрудниками обязательства о неразглашении персональных данных
4. Защищать сайт и базу данных от взлома и утечки

Зачем нужна регистрация в Роскомнадзоре?

По закону операторы персональных данных должны уведомить Роскомнадзор, причем сделать это нужно до начала обработки данных или хотя бы до 1 июля 2017 г.

 

Уведомление можно не подавать если:

1. Обрабатываются только данные сотрудников.
2. Персональные данные получены только для исполнения конкретного договора с конкретным человеком и больше никак не будут использоваться и тем более распространяться.
3. Человек сам опубликовал эти данные в общем доступе.
4. У вас есть только ФИО клиента.

Штрафы

До 1 июля 2017 года

• Штраф не зависит от вида нарушения. Для ИП или директора 1000 руб., для юр.лица - 10000 руб.

Выпиской штрафов занимается прокуратура. Процедура длительная, требуется квалифицированный сбор доказательств, сумма штрафа не высокая, поэтому возня мало кому интересна.

После 1 июля 2017 года

7 видов нарушений, общий штраф до 295000 руб.

• Нет политики конфиденциальности - штраф 10 тыс.руб. для ИП, 30 тыс.руб. для юр.лица.
• Нет согласия на обработку персональных данных клиента магазина или подписчика на новости или рассылку - штраф 20 тыс.руб. для ИП, 75 тыс.руб. для юр.лица.
• В форме обратной связи нет ссылки на обработку персональных данных - штраф для юр.лица 50 тыс.руб.
• За отказ в уточнении или удалении персональных данных - штраф 20 тыс.руб. для ИП и 45 тыс.руб. для юр.лица.

Выпиской штрафов занимается Роскомнадзор, решение принимается быстро.

Перед наложением штрафа Роскомнадзор присылает уведомление о нарушении и требование предоставить документы. 

Будут ли штрафовать на самом деле?

Время покажет, всё зависит от реальной заинтересованности контролёров, их квалификации, загруженности работой и т.п. Но на данный момент в Тамбовоской области и в Астрахани прокуратура идет просто по списку сайтов и штрафует за формы обратной связи.

Может быть им делать больше нечего, может нагнетают страха перед введением закона. Но так или иначе, лучше подготовиться, палочная система в гос.органах успешно практикуется...

 

Предусматриваю вопросы: Я не работаю с русскими, у меня зарубежка, мой сайт не в зоне .ru или .рф и т.п. ...

1. За рубежом, в ряде цивилизованных стран, действует похожее законодательство, т.к. все объединены Конвенцией о защите персональных данных, список стран здесь. Предлагая недвижимость за рубежом, вам прийдется не только защищать персональные данные граждан России, но возможно и граждан Евросоюза, Турции, Украины, или Буркина-Фасо  

К стати, методические рекомендации по защите информации для зарубежья находятся здесь - выбираем в меню слева.

2. Если вы не зарегистрированы в качестве ИП или ООО это вас не освобождает от ответственности а только может её усугубить. В частности вас, по решению суда могут признать предпринимателем и в дополнение, начислить суммы налога по общей системе налогообложения за осуществляемую деятельность за последние 3 года + начислить штрафы за их неуплату (поквартально) + начислить штрафы за непредоставление отчетности за каждый отчетный период за последние 3 года, а-то и пришить статью за незаконное предпринимательство и, возможно, за мошенничество... Перспектива не завидная.

3. Контролерам будет пофигу, в какой доменной зоне находится ваш сайт, если он русскоязычный, расположен в России, осуществляет продажи и/или доставку товаров в России, на нем есть контактные данные (офиса, продавца, представителя и т.п.), что вас как-то может связать с территориальностью в России.

[Chernetskiy 469]

Закинул в раздел Файлы пакеты документов по обработке персональных данных в агентстве. Если кому интересно, качайте, заполняйте, распечатывайте и пользуйтесь. Предполагается, что частный риэлтор или агентство недвижимости в лице ИП или ООО являются агентами по обработке персональных данных и должны быть зарегистрированы в Роскомнадзоре. Их, в свою очередь, как раз эти документы и будут интересовать.