Правовые обязательства информационного сайта при обработке персональных данных
Анализ ситуации
Вы являетесь оператором персональных данных, поскольку осуществляете сбор и хранение ФИО, даты рождения, email и номеров телефонов пользователей. Рассмотрим ваши обязательства по российскому законодательству.
1. Уведомление Роскомнадзора
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 22)
Вывод: Вы обязаны направить уведомление в Роскомнадзор до начала обработки данных, поскольку не подпадаете под исключения, предусмотренные частью 2 статьи 22.
2. Согласие пользователей
"Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 6)
"Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 9)
Вывод: Вы обязаны получать явное согласие пользователей при регистрации. Согласие должно содержать все обязательные элементы, предусмотренные статьей 9.
3. Политика конфиденциальности
"Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа" (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11, часть 3)
Вывод: Вы обязаны разработать и опубликовать политику конфиденциальности, обеспечивающую неограниченный доступ пользователей к информации о обработке их данных.
4. Меры безопасности
"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 19)
"Для защиты персональных данных, хранящихся в автоматизированных файлах данных, принимаются надлежащие меры безопасности, направленные на предотвращение их случайного или несанкционированного уничтожения или случайной потери, а также на предотвращение несанкционированного доступа, их изменения или распространения таких данных." (Источник: Конвенция о защите физических лиц при автоматизированной обработке персональных данных, Статья 7)
Вывод: Вы обязаны implement систему защиты персональных данных, соответствующую требованиям законодательства.
5. Использование cookies
"Обработка персональных данных должна осуществляться на законной и справедливой основе." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 5)
Вывод: Если cookies позволяют идентифицировать пользователя, их использование подпадает под общие правила обработки персональных данных и требует информирования пользователей и получения согласия.
Выводы и рекомендации
-
Обязательно уведомите Роскомнадзор о начале обработки персональных данных до запуска сайта.
-
Разработайте и реализуйте форму согласия на обработку персональных данных, которая должна содержать:
- Цели обработки данных
- Перечень обрабатываемых данных
- Сведения об операторе
- Срок действия согласия и способ его отзыва
-
Создайте и опубликуйте политику конфиденциальности, разместив ее в доступном месте на сайте.
-
Обеспечьте защиту данных путем реализации организационных и технических мер безопасности в соответствии с требованиями законодательства.
-
Регулируйте использование cookies через политику конфиденциальности и получайте согласие пользователей при необходимости.
-
Обеспечьте хранение баз данных на территории Российской Федерации в соответствии с требованиями законодательства.
Рекомендую обратиться к адвокату, специализирующемуся на IT-праве, для разработки полного пакета документов и проведения аудита системы защиты персональных данных.
