Политика обработки персональных данных — не формальная страница, а документ с заданным законом составом. Разбираем, что требует статья 18.1 и где документ должен лежать.
Коротко
- Состав определяется целями обработки.
- Публиковать нужно на страницах сбора данных.
- Нельзя ограничивать права субъектов.
- Документ предъявляется по запросу органа.
Что требует закон
Статья 18.1 часть 1 пункт 2 называет среди мер оператора издание «документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований».
| Что должно быть определено | Единица |
|---|---|
| Категории и перечень данных | Для каждой цели обработки |
| Категории субъектов | Для каждой цели |
| Способы обработки | Для каждой цели |
| Сроки обработки и хранения | Для каждой цели |
| Порядок уничтожения | При достижении целей и иных основаниях |
Почему всё строится вокруг целей
Формулировка «для каждой цели обработки» — ключ ко всему документу. Закон не просит перечислить данные вообще: он требует связки «цель → какие данные → чьи данные → как обрабатываем → сколько храним → как уничтожаем». Отсюда следует, что документ нельзя составить, не выписав сначала собственные цели обработки.
| Типичная цель | Что под неё попадает |
|---|---|
| Обработка заявки с сайта | Контакты из формы |
| Исполнение договора | Данные для документов и доставки |
| Рассылка | Адрес и факт согласия |
| Обратный звонок | Телефон и запись разговора |
| Подбор сотрудников | Данные из резюме |
Разные цели дают разные сроки хранения, и это важная часть документа. Заявка, не ставшая сделкой, и данные по исполненному договору живут в компании по-разному. Перечень своих точек сбора удобно собирать так, как описано в статье про то, какие данные считаются персональными.
Чего в документе быть не может
Та же норма содержит прямой запрет: такие документы и локальные акты «не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности».
| Формулировка в шаблонах | Почему вызывает вопрос |
|---|---|
| «Отзыв согласия невозможен» | Право на отзыв есть в статье 9 |
| «Компания не несёт ответственности» | Ограничение не предусмотрено нормой |
| «Продолжая пользоваться сайтом, вы согласны» | Согласие должно быть однозначным |
| Обязанности оператора шире закона | Прямо запрещено нормой |
Скачанный шаблон опасен именно этим. Он не только может не отражать ваши цели, но и способен содержать положения, которых норма не допускает. Проверять документ на соответствие должен юрист — здесь я показываю лишь, какой запрет сформулирован в тексте закона.
Где документ должен быть опубликован
Статья 18.1 часть 2: оператор обязан «опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных». Для сбора через сети добавлено отдельное требование: опубликовать документ «в том числе на страницах принадлежащего оператору сайта… с использованием которых осуществляется сбор персональных данных», и «обеспечить возможность доступа к указанному документу».
| Что проверить на сайте | Почему |
|---|---|
| Ссылка есть на страницах с формами | Норма говорит о страницах сбора |
| Страница открывается | Нужна возможность доступа |
| Доступ без регистрации | Неограниченный доступ |
| Опубликованы и сведения о защите | Названы в норме отдельно |
| Документ читается на телефоне | Иначе доступ формальный |
Четвёртая строка — то, что упускают почти все. Норма называет два объекта публикации: документ о политике и сведения о реализуемых требованиях к защите персональных данных. На сайтах обычно есть только первое.
Что идёт рядом с документом
| Мера из той же статьи | Формулировка |
|---|---|
| Ответственный за организацию обработки | Назначается оператором-юрлицом |
| Локальные акты | По вопросам обработки |
| Меры безопасности | Правовые, организационные, технические |
| Внутренний контроль или аудит | Соответствия закону и политике |
| Оценка вреда субъектам | По требованиям уполномоченного органа |
| Ознакомление или обучение работников | Тех, кто обрабатывает данные |
Статья 18.1 перечисляет меры списком, и политика — только один его пункт. При этом часть 1 оговаривает: оператор «самостоятельно определяет состав и перечень мер, необходимых и достаточных», если иное не предусмотрено законом. То есть сам список мер в норме есть, а их конкретное наполнение закон оставляет оператору — и именно поэтому шаблон не может быть универсальным.
Документ по запросу органа
Статья 18.1 часть 4: оператор «обязан представить документы и локальные акты, указанные в части 1 настоящей статьи, и (или) иным образом подтвердить принятие мер, указанных в части 1 настоящей статьи, по запросу уполномоченного органа по защите прав субъектов персональных данных».
| Следствие | Что это значит на практике |
|---|---|
| Документы должны существовать | Не только страница на сайте |
| Меры нужно подтверждать | «Иным образом» тоже допускается |
| Хранить лучше в порядке | Запрос приходит с готовым сроком |
Разница между опубликованной политикой и внутренними актами здесь становится практической. Первое видит посетитель сайта, второе запрашивает орган. Что ещё требует закон от сайта — в обзорной статье про персональные данные на сайте.
Частые вопросы
Что должно быть в политике обработки персональных данных?
Закон требует определить для каждой цели обработки категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения данных.
Где публиковать политику?
Статья 18.1 требует обеспечить неограниченный доступ, а при сборе через интернет — опубликовать документ на страницах сайта, с использованием которых собираются данные.
Можно ли взять шаблон политики из интернета?
Шаблон не отражает ваши цели обработки и может содержать положения, ограничивающие права субъектов, что норма прямо запрещает. Проверку документа стоит поручить юристу.
Нужно ли публиковать что-то кроме политики?
Норма называет два объекта: документ о политике и сведения о реализуемых требованиях к защите персональных данных.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
