Более 90% сайтов попадают под ФЗ №152. Как избежать штрафов?

Всем привет! Если еще лет 5 назад власти "не трогали" интернет, то сейчас с каждым годом принимаются все более "интересные" для владельцев сайтов законы. С 1 июля 2017 года в федеральном законе "О персональных данных" (152-ФЗ) вступили поправки, которые усложнят жизнь простому вебмастеру.

Я ознакомился с самим законом, почитал материалы по данной теме и публикую агрегированную информацию по этой проблеме. Ниже отвечаю на следующие вопросы:

• почему практически каждый владелец сайта попадает под действие закона?
• Какие штрафы предусмотрены законодательством?
• Что сделать, чтобы не получить штраф?

Почему это важно сейчас?

На самом деле, закон о персональных данных (ПД) принят уже достаточно давно. Но 1 июля этого года вступило в силу 2 больших изменения:

1. Ранее Роскомнадзор (РКН) действовал через прокуратуру и награждал штрафами только при совместной работе. Прокуратура — организация не резиновая, поэтому за нарушения в сфере персональных данных бралась с неохотой (хватало дел посерьезнее). Теперь РКН сам выписывает штрафы напрямую без регистрации и СМС без посредников.
2. Существенно увеличены штрафы. До 75 тысяч за одно нарушение. Причем, если нарушений несколько, то штрафы суммируются. Так, например, для юридического лица они могут доходить до 290 тысяч. Но для физических лиц и ИП штрафы намного меньше: в совокупности от 8 до 60 тысяч (ниже опубликована таблица). Причем, в большинстве случаев в качестве наказания могут выбрать "Предупреждение".

Таким образом, у РКН стало больше и желания, и возможностей, чтобы применять закон на практике. Конечно, сам по себе он достаточно не плох и призван защищать персональные данные клиентов и пользователей. Но на практике многие законы трактуются настолько общими словами, что его исполнители могут превращать его в карательный инструмент для объектов, изначально не рассчитанных на них. В общем, скоро будет популярна фраза.

Был бы сайт, а статья найдется.

Причем, штраф же ведь могут выписать и по ошибке. Только дело в том, что доказывать обратное придется человеку, который его получил. Тратить на это время и нервы не хочется.

Что входит в понятие персональные данные?

Вот то общее определение из закона, под которое попадает практически все, что вы получаете от клиента или посетителя сайта.

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Ключевое выражение - любая информация. На сайте Роскомнадзора есть такой список.

Но и здесь есть поле, которое не ограничивает только этот набор. Поэтому под персональными данными может пониматься и обычный e-mail. Тем более по решению суда уже были штрафы за формы обратной связи.

Кто попадает под закон 152-ФЗ?

Все владельцы сайтов, на которых есть:

1. формы комментариев;
2. регистрация и личные кабинеты;
3. формы подписки по e-mail;
4. сбор данных посетителей;
5. формы заказа.

Грубо говоря, под этот закон попадают все сайты . Подробнее остановлюсь на 4-м пункте. Здесь подразумеваются и cookie, и IP, и поисковые запросы, и так далее. Многие ссылаются на то, что суды и РКН считают это персональными данными. В одном из решений судов я не увидел информацию про cookie, IP и т.п. В РКН есть перечень документов для проведения проверки оператора (того, кто обрабатывает ПД: владелец сайта или его доверенное лицо). Там есть пункт 4.1.

Вот на него якобы и ссылаются. При проверке могут запрашивать много разной информации, которая напрямую не касается самого закона. Прямой связи данных посетителей с персональными данными я не увидел. Может быть, кто-то из вас объяснит и докажет ?

Штрафы: какие и за что?

Сейчас в КоАП (Кодекс об административных правонарушениях) существует 7 пунктов. Я оформил их в виде таблицы и с примечаниями (ссылка на законодательный документ).

Интересно, почему в 2-х пунктах не описана ответственность индивидуальных предпринимателей? Какой придет штраф, если физическое лицо зарегистрировано как ИП, но предпринимательскую деятельность по сайту, на котором обнаружено нарушение, не ведет? Как обычно не обходится без вопросов .

Что должен сделать владелец сайта, чтобы не получить штрафы?

Буду исходить из нарушений:

1. Собирать только ту информацию, которая действительно необходима. Например, если это интернет-заказ, то максимум ФИО, e-mail, номер телефона и адрес доставки (если не самовывоз). Важно: если пользователь регистрируется (логинится) через виджеты социальных сетей, то ответственность за полученные с помощью такой процедуры данные также ложатся на оператора. Некоторые считают, что если они только собирают информацию, но никак не используют ее, то не попадают под действие закона. Если даже осуществляется только сбор, то он уже попадает под 152-ФЗ. О том, что вы не храните или никак не используете ПД нужно отметить в той же политике конфиденциальности.
2. Необходимо определить и опубликовать (в "Политике конфиденциальности") цели сбора персональных данных. Использовать их только по назначению и первоначальным задачам. Если человек связался через онлайн-консультанта и оставил свою почту, то это не значит, что он уже согласен получать на нее рассылку .
3. Необходимо получать явное согласие посетителя на обработку его ПД (подтверждение этому Статья 9). Например, при подписке на рассылку или в форме комментариев указывать, что, нажимая на "Подписаться" или "Комментировать" он согласен на обработку его ПД. Также здесь необходимо дать ссылку на "Политику конфиденциальности".
4. Нужно создать и опубликовать на каждой странице (можно в подвале сайта) политику конфиденциальности, в которой указать все необходимые данные: кем собираются, что собирается, как хранится, как обрабатывается информация, контакты, цели сбора и так далее.
5. Надежно хранить и обрабатывать ПД. Не допускать утечки информации, передаче ее 3-м лицам (если этого не было обговорено в политике конфиденциальности).
6. Не отказывать в запросах пользователей на изменение или удаление их данных. Если пришла просьба удалить из рассылки, то лучше просто удалить, чем проигнорировать.

Есть еще 2 пункта, которые необходимо выполнить по закону:

1) Уведомить Роскомнадзор о том, что вы являетесь оператором персональных данных. Уведомить можно письменно или электронно через эту форму. Но здесь есть несколько моментов:

• Нет штрафа за нарушение данного пункта (поправьте, если не так). Обновление. По статье 19.7 КоАП имеется административная ответственность за непредоставление (или несвоевременное предоставление + неполнота) информации государственным органам. Штраф: гражданам - 100-300 рублей; должностным - 300-500; юридическим - 3000-5000.
• Форма не совсем простая. Много пунктов вызывают вопросы.
• Операторы персональных данных могут проходить проверку.
• Сама форма не совсем хочет, чтобы ее заполняли и скрывает некоторые пункты.

2) Базы данных (грубо говоря, хостинг) с персональными данными необходимо хранить на территории Российской Федерации.

Но и здесь есть некоторые нюансы:

• База данных и сам сайт может быть расположен в разных местах. Или будет проверяться только хостинг по whois?
• В законе есть статья о трансграничной передаче персональных данных. В нем есть список стран-участниц Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД: Австрия, Бельгия, Болгария, Дания, Великобритания, Венгрия, Германия, Греция, Испания, Ирландия, Латвия, Литва, Люксембург, Мальта, Нидерланды, Польша, Португалия, Румыния, Словакия, Словения, Финляндия, Франция, Чехия, Швеция, Эстония. Как я понял, на их территории размещаться можно. Если у вас хостинг в Европе, то скорее всего, в одном из этих государств. А вот США я не смог найти ни в этом списке, ни в списке стран, не являющихся сторонами Конвенции Совета Европы .

Кстати, нерезиденты РФ также попадают под действие закона, если работают с персональными данными граждан России. Скорее всего, в данном случае будет идти речь не о штрафах, а о предупреждении и/или полной блокировке (как это случилось с linkedin). Так что, если вы нерезидент РФ и собираете ПД российских граждан, а ваш сайт заинтересовал РКН, то просто отсидеться, вероятно, не получится.

От теории к практике

Нужно создать и опубликовать "Политику конфиденциальности", "Пользовательское соглашение", а также внизу каждой формы ввода персональных данных указывать, что пользователь дает согласие на их сбор, хранение и обработку. Я нашел 2 сервиса, которые бесплатно создают подобные документы:

1. http://tools.joomlatown.net/152/
2. https://152фз.рф/

Первый неплох, но нужно хорошо подстраивать под свой сайт.

Второй сервис более продвинутый, но бесплатно можно получить файлы только с водяными знаками (в принципе этого вполне будет достаточно). Также есть ссылка на их проект. На первое время или в качестве ориентира вполне подойдет . Там есть виджет в виде скрипта, который можно добавить в футер, но у меня почему-то он не работает. В общем, за 5-10 минут можно получить неплохие документы (не забудьте их закрыть от индексации).

Еще один из вариантов — это посмотреть как сделано у лидеров вашей ниши и сделать также. Только не копируйте все бездумно, а адаптируйте под ваши нужды и оформление.

Для вывода уведомлений о сборе пользовательских данных в wordpress есть плагин Cookie Notice by dFactory. Если у вас не вордпресс или вы хотите сделать как-то по-другому, то обращайтесь к вашему программисту или верстальщику.

Изучил вопрос, написал и опубликовал пост — теперь пора внедрять . А вы уже сделали все, чтобы не получить "письмо счастья" от Роскомнадзора?

Вывод

Безусловно, вряд ли сейчас Роскомнадзор возьмется за ваш блог о собаках или статейник про дачу. В первую очередь, их будут интересовать юридические лица, интернет-магазины. Но никто не отменяет того шанса, что через месяц или год заинтересуются и вашим ресурсом. Хотя, конечно, это бюрократия. Закон создается под определенный круг, а исполнять его приходится широкому.

Штраф РКН будет выписать несложно, а доказывать обратное или оплачивать его будет неприятно. Да и вообще связываться с государственными органами по времени выйдет намного дольше, чем по шаблонам составить 2 документа и разместить их на сайте (+ согласие на подписку и обработку cookie). Как вы считаете?

Буду рад обсудить с вами данную тему в комментариях. Какие ваши мысли и мнения по этому закону?