Правомерность сбора персональных данных для анализа целевой аудитории
Анализ ситуации
Вы осуществляете сбор персональных данных клиентов (ФИО, город, возраст, семейное положение) через веб-сайт для анализа целевой аудитории. Использование только кнопки "Согласен на обработку моих данных" с галочкой не соответствует требованиям законодательства в полном объеме.
Требования к согласию на обработку персональных данных
Согласие на обработку персональных данных должно соответствовать строгим требованиям:
"Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
"Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 3) наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных; 4) цель обработки персональных данных; 5) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; 7) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных; 8) срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва" (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 9)
Обязанность уведомления Роскомнадзора
"Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 22)
Ваша деятельность не подпадает под исключения, предусмотренные частью 2 статьи 22, поэтому уведомление Роскомнадзора обязательно.
Информирование субъектов персональных данных
"При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 настоящего Федерального закона." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 18)
Меры безопасности
"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных." (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", статья 19)
Ответственность за нарушения
"Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных... - влечет наложение административного штрафа на юридических лиц - от трехсот тысяч до семисот тысяч рублей." (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)
"Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных, - влечет наложение административного штрафа на юридических лиц - от сорока тысяч до восьмидесяти тысяч рублей." (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 13.11)
Выводы и рекомендации
-
Согласие должно быть развернутым - простая галочка недостаточна. Необходимо разработать полный текст согласия, содержащий все обязательные сведения.
-
Обязательно уведомление Роскомнадзора - направьте уведомление до начала обработки данных.
-
Предоставьте полную информацию - разместите на сайте политику обработки персональных данных с указанием целей, перечня данных, сроков хранения и способа отзыва согласия.
-
Обеспечьте безопасность - разработайте и внедрите организационные и технические меры защиты персональных данных.
-
Рекомендуется обратиться к адвокату для подготовки полного пакета документов и консультации по конкретным мерам безопасности, соответствующим вашему бизнесу.
Нарушение требований законодательства о персональных данных влечет существенные административные штрафы и может привести к уголовной ответственности в случае серьезных нарушений.
