Политика обработки персональных данных на сайте: зачем нужна и что в ней должно быть

Политика обработки персональных данных — обязательный документ для любого сайта, который собирает данные посетителей: форма заявки, подписка, обратный звонок, корзина с регистрацией. По 152-ФЗ оператор обязан опубликовать политику в свободном доступе, а её отсутствие — самостоятельное нарушение со штрафом. Разберём, чем политика отличается от согласия, что в неё включить и как она связана с реестром операторов ПДн.

Политика, согласие и уведомление — три разные вещи

Их часто путают, а нужны все три:

• Политика обработки ПДн — публичный документ на сайте, описывающий, как вы работаете с данными. Адресован всем.
• Согласие на обработку — то, что даёт конкретный человек (галочка у формы со ссылкой на политику). Адресовано вам от субъекта.
• Уведомление в РКН — заявление в Роскомнадзор о том, что вы оператор; вносит вас в реестр. Как подать — в отдельной статье.

Политика без уведомления или уведомление без политики — это незакрытые риски. Закрывать нужно весь комплект.

Что обязательно должно быть в политике

• наименование и контакты оператора;
• правовые основания и цели обработки;
• категории персональных данных и категории субъектов;
• порядок и условия обработки, сроки хранения;
• сведения о передаче данных третьим лицам (если есть) и о трансграничной передаче;
• права субъекта данных и как их реализовать (запрос, отзыв согласия, удаление);
• сведения о мерах защиты и о хранении данных на территории РФ;
• порядок обновления политики.

Где разместить

Политика должна быть доступна с любой страницы — обычно ссылка в подвале сайта и рядом с каждой формой сбора данных. У формы ставится чекбокс согласия со ссылкой на политику; без активного согласия отправлять данные нельзя.

Типичные ошибки

• Скопировали чужую политику. Шаблон с чужими целями и категориями данных не отражает вашу реальную обработку — при проверке это видно.
• Политика есть, а уведомление не подано. Самая частая связка: документ опубликовали, а в реестр операторов не встали. Проверьте себя — по ИНН.
• Нет согласия у формы. Сбор данных без галочки согласия — отдельное нарушение, даже при наличии политики.

Связь с реестром операторов

Политика, согласия и уведомление — части одной системы соответствия 152-ФЗ. Логичная последовательность: опубликовать политику → собирать согласия у форм → подать уведомление в РКН → поддерживать сведения в актуальном состоянии. Проверка по реестру показывает, пройден ли последний и самый формальный шаг.