Нужна ли политика конфиденциальности на сайте

Для решения вопроса о публикации начните с того, собираете ли вы через сайт персональные данные. Если да, возникает обязанность разместить документ с политикой их обработки. Закон обращается к оператору — тому, кто обрабатывает персональные данные. В отношении сетевого сбора он прямо связывает публикацию с теми страницами сайта, которые используются для получения данных, — ч. 2 ст. 18.1 Закона № 152-ФЗ.

Привычное название «политика конфиденциальности» нужно соотнести с содержанием документа. Закон требует раскрыть именно политику оператора в отношении обработки персональных данных. При подготовке текста ориентируйтесь на эту задачу: документ должен описывать вашу обработку данных. Для юридического лица издание документов о политике и локальных актов по вопросам обработки предусмотрено п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

Где посетитель должен получить доступ к политике? На страницах принадлежащего оператору сайта, с использованием которых ведётся сбор персональных данных. Размещение нужно связать с фактическим способом их получения: проверьте каждую такую страницу и возможность открыть документ через сеть. Обязанность охватывает и публикацию, и доступ к опубликованному тексту — ч. 2 ст. 18.1 Закона № 152-ФЗ.

Помимо политики подготовьте сведения о реализуемых требованиях к защите персональных данных. Для посетителя это отдельная часть раскрываемой информации. Если вы публикуете только описание целей обработки, вопрос доступа к сведениям о защите также нужно решить: оба вида информации названы в обязанности оператора по ч. 2 ст. 18.1 Закона № 152-ФЗ.

Если оператор является юридическим лицом, подготовка документов начинается с целей обработки. Для каждой цели в документах и локальных актах определяют категории и перечень данных, категории людей, чьи данные обрабатываются, способы и сроки обработки и хранения. Также определяют порядок уничтожения при достижении целей или наступлении иных законных оснований — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

При составлении условий учитывайте права людей, передающих данные. Документы и локальные акты юридического лица не могут ограничивать права субъектов персональных данных или возлагать на оператора полномочия и обязанности, которых нет в законодательстве. Это ограничение относится к содержанию подготовленных правил, а не только к их размещению на сайте, — п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.

После публикации работа с документами продолжается внутри организации. Работников, непосредственно обрабатывающих персональные данные, знакомят с политикой, локальными актами и требованиями к защите данных либо обучают. Оператор также осуществляет внутренний контроль или аудит соответствия обработки своей политике и законодательству. Такие меры предусмотрены п. 4 и 6 ч. 1 ст. 18.1 Закона № 152-ФЗ.