Обработка данных через веб-аналитику на персональном сайте: оформление политики конфиденциальности и обязанности владельца
Анализ ситуации
Вы являетесь физическим лицом — владельцем сайта, на котором не реализованы прямые формы сбора данных (регистрация, обратная связь). Однако используются сторонние аналитические сервисы, которые могут собирать техническую информацию о посетителях (IP-адреса, cookie-файлы, параметры устройств). Вам необходимо определить свои обязанности как владельца сайта и корректно составить раздел об операторе в политике конфиденциальности.
Применимые правовые нормы и выводы
1. Какие данные признаются персональными?
Согласно законодательству, к персональным данным относится любая информация, относящаяся к прямо или косвенно определенному физическому лицу.
"персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 3, пункт 1)
IP-адрес, данные cookie, параметры браузера и устройства, которые собираются аналитическими системами, могут использоваться для косвенной идентификации пользователя (например, по совокупности признаков или в сочетании с другой информацией). Следовательно, с высокой долей вероятности они будут квалифицированы как персональные данные.
2. Является ли владелец сайта оператором персональных данных?
Да, является. Закон определяет оператора как лицо, организующее и осуществляющее обработку данных, а также определяющее цели их обработки.
"оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 3, пункт 2)
Подключив аналитический сервис и определив цели сбора данных (анализ трафика, статистика), вы как владелец сайта становитесь оператором персональных данных, даже если их сбор происходит автоматически через сторонний сервис.
3. Какие сведения об операторе (физическом лице) нужно указывать в политике конфиденциальности?
В политике конфиденциальности, как в документе, информирующем субъекта данных, должны быть указаны ФИО и адрес оператора. Это прямо следует из обязанности оператора предоставлять субъекту информацию о себе при сборе данных.
"Если персональные данные получены не от субъекта персональных данных, оператор ... до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование либо фамилию, имя, отчество и адрес оператора или его представителя" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 18, часть 3, пункт 1)
Это же требование дублируется для случая получения согласия в письменной форме.
"согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: ... 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 9, часть 4, пункт 3)
Вывод: В разделе политики конфиденциальности, посвященном оператору, необходимо обязательно указать ваши фамилию, имя, отчество и адрес.
4. Обязанности оператора при использовании сторонних сервисов (обработчиков)
Используя сторонние аналитические сервисы (например, Google Analytics, Яндекс.Метрика), вы привлекаете другого субъекта для обработки данных. В этом случае вы, как оператор, должны соблюсти определенные требования:
- Ответственность перед субъектом данных за действия обработчика остается на вас.
"В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 6, часть 5)
- Вам следует обеспечить, чтобы обработчик соблюдал законодательство о персональных данных. Фактически это означает, что нужно использовать сервисы, которые предоставляют соответствующие гарантии, и ознакомиться с их условиями обработки данных (политиками конфиденциальности).
"Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает персональные данные ... или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключаемого с этим лицом договора" (Источник: Постановление Правительства РФ от 01.11.2012 N 1119, пункт 3)
5. Нужно ли уведомлять Роскомнадзор?
Да, требуется направить уведомление в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных). Обработка данных через веб-аналитику с помощью средств автоматизации не отнесена законом к исключениям, при которых уведомление не требуется (например, обработка без средств автоматизации или исключительно для личных целей).
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 22, часть 1)
В уведомлении также необходимо будет указать свои ФИО и адрес.
"Уведомление должно содержать следующие сведения: 1) наименование (фамилия, имя, отчество), адрес оператора" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 22, часть 3, пункт 1)
Выводы и конкретные рекомендации
- Вы являетесь оператором персональных данных. Факт использования автоматических систем аналитики, собирающих IP-адреса и cookie, делает ваш сайт инструментом обработки персональных данных.
- В политике конфиденциальности (или в отдельном уведомлении на сайте) необходимо указать:
- Ваши фамилию, имя, отчество как оператора.
- Ваш адрес места жительства.
- Цели обработки данных (статистика, анализ посещаемости).
- Перечень собираемых данных (IP-адреса, cookie, данные об устройстве и браузере).
- Сведения об используемых сторонних сервисах-обработчиках (например, Яндекс.Метрика).
- Сведения о правах субъекта данных (право на отзыв согласия, доступ к данным и т.д.).
- Требуется получить согласие пользователей. Поскольку сбор данных происходит автоматически при посещении сайта, а оснований для обработки без согласия (ст. 6 ФЗ-152) в вашем случае, скорее всего, нет, необходимо организовать получение согласия. На практике это реализуется через плашку (pop-up) с уведомлением о сборе cookie и кнопкой согласия.
- Обязательно направьте уведомление в Роскомнадзор о начале обработки персональных данных. Сделать это нужно до начала фактической работы сайта с аналитикой.
- Обеспечьте безопасность данных. Ответственность за безопасность данных, обрабатываемых через сторонний сервис, лежит на вас. Выбирайте проверенные сервисы, настройте их в соответствии с рекомендациями по минимизации данных (например, обезличивание IP-адресов).
Важная рекомендация: Учитывая сложность и ответственность в сфере персональных данных, для корректного составления всех необходимых документов (политики конфиденциальности, формы согласия) и подачи уведомления в Роскомнадзор настоятельно рекомендую обратиться к адвокату, специализирующемуся на информационном праве.
