обязательные разделы и типичные ошибки
Политика обработки персональных данных — это официальный документ оператора, раскрывающий: какие данные собираются, с какой целью, на каком правовом основании, как защищаются и как долго хранятся. Обязанность иметь такой документ закреплена в п. 2 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ «О персональных данных».
Важно понимать, что под «политикой» закон подразумевает не один, а фактически два разных документа с разными функциями. Первый — публичный, размещается на сайте и адресован пользователям. Второй — внутренний, регламентирует работу сотрудников организации.
Фактически любая организация, которая собирает хотя бы имя и телефон клиента или ведёт кадровый учёт, является оператором ПДн и обязана располагать политикой обработки данных.
Закон не диктует точную структуру политики, но перечисляет сведения, которые документ должен раскрывать. Их совокупность образует обязательный минимум из восьми блоков. Отсутствие хотя бы одного — основание для предписания РКН.
- Cookie и пиксели — если сайт использует аналитику и ретаргетинг
- Автоматизированное принятие решений — при использовании скоринга или ML
- Обработка данных детей — если целевая аудитория включает лиц до 18 лет
- Изменение политики — порядок уведомления пользователей об обновлениях
Ч. 2 ст. 18.1 152-ФЗ обязывает операторов, осуществляющих сбор ПДн через интернет, «обеспечить неограниченный доступ» к политике с помощью публикации в сети. На практике это означает не просто наличие файла где-то на сервере, а конкретные требования к форме и месту размещения.
- Ссылка в футере на каждой странице сайта
- Ссылка непосредственно рядом с формой сбора данных
- Страница открывается без авторизации и регистрации
- Текст доступен для копирования (не картинка, не PDF без текстового слоя)
- Чекбокс согласия со ссылкой на политику перед отправкой формы
- Язык документа совпадает с языком сайта (или дублируется)
- Политика есть, но ссылка спрятана в разделе «О компании»
- Документ требует авторизации для просмотра
- Загружен сканированный PDF без возможности поиска
- Форма отправляется без ссылки на политику и без чекбокса согласия
- Документ не обновлялся более 1–2 лет и не отражает реальную обработку
- Политика на русском, сайт на русском + английском — перевода нет
Публичная политика на сайте и внутренняя политика компании — разные документы с разными адресатами. Путаница между ними — одна из наиболее частых ошибок операторов: они публикуют на сайте внутренний регламент с чувствительными деталями или, наоборот, ограничиваются только публичной версией, не регламентируя работу персонала.
- Адресована субъектам ПДн — клиентам, пользователям
- Раскрывает: цели, основания, права субъектов, контакты
- Язык — доступный, без технических деталей реализации
- Размещается в открытом доступе на сайте оператора
- Не содержит конфиденциальных технических сведений
- Адресована сотрудникам и руководству
- Регламентирует: процессы, роли, инструменты, процедуры
- Язык — технический, детализированный, со ссылками на ИС
- Является конфиденциальным документом компании
- Включает порядок реагирования на инциденты
Внутренняя политика, как правило, сопровождается пакетом смежных документов, каждый из которых регламентирует отдельный аспект обработки данных.
Разработать политику «с нуля» — задача, требующая методичного подхода. Ниже представлен пятишаговый алгоритм, который позволяет создать документ, соответствующий реальным процессам компании, а не скопированный из интернета шаблон.