Политика обработки персональных данных — это публичный документ оператора, в котором описываются цели, основания, состав, сроки хранения персональных данных, а также права субъектов и порядок их реализации.
Для белорусского бизнеса, имеющего сайт, это не вопрос выбора: ст. 17 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон) прямо обязывает оператора обеспечить неограниченный доступ к такому документу.
При этом само наличие документа ещё не гарантирует защиты. Национальный центр защиты персональных данных при проверке оценивает содержание политики и её соответствие реальной практике обработки данных на сайте.
Почему нельзя копировать чужую политику конфиденциальности
Заимствование чужого документа — распространённая ошибка при подготовке политики обработки персональных данных. Политика должна отражать реальную деятельность конкретного оператора: цели сбора данных, категории обрабатываемых сведений и третьих лиц, которым данные фактически передаются.
Если сайт использует формы обратной связи, онлайн-запись, интернет-эквайринг, сервис рассылок, CRM, чаты, системы аналитики или рекламные пиксели, политика должна описывать каждый соответствующий канал обработки и основания передачи данных.
При проверке НЦЗПД может сопоставить содержание опубликованной политики с фактическим устройством сайта: используемыми формами, файлами cookie, скриптами и внешними сервисами. Несоответствие между заявленным и реальным порядком обработки данных создаёт риск предписания и административной ответственности по ст. 23.7 КоАП.
Поэтому подготовка политики должна начинаться с аудита сайта и используемых бизнес-процессов, а не с поиска шаблона в интернете.
Что должна содержать политика обработки данных
В политике следует отразить:
- Наименование и контактные данные оператора персональных данных.
- Цели обработки персональных данных.
- Правовые основания обработки применительно к каждой цели.
- Категории обрабатываемых персональных данных.
- Категории субъектов, чьи данные обрабатываются.
- Сроки хранения данных по каждой цели обработки.
- Сведения о лицах, которым персональные данные могут передаваться.
- Информацию о трансграничной передаче данных, если она осуществляется.
- Права субъектов персональных данных и порядок их реализации.
- Контакты ответственного лица или подразделения для обработки обращений.
Каждый элемент должен быть раскрыт с учётом фактической деятельности оператора. Например, цель «обработка заявок, поступающих через форму обратной связи на сайте» является конкретной. Формулировка «улучшение качества обслуживания» сама по себе не объясняет, какие именно данные и для каких действий обрабатываются.
Правовое основание также следует указывать отдельно для каждой цели. Нельзя объединять одной общей формулировкой обработку заявки клиента, подписку на рекламную рассылку, исполнение договора и выполнение обязанностей, предусмотренных законодательством.
Как описать правовые основания обработки
Правовые основания обработки персональных данных определены главой 2 Закона. Для сайтов коммерческих организаций обычно используются согласие субъекта, исполнение договора с субъектом и выполнение обязанностей, возложенных на оператора законодательством.
Один сайт может обрабатывать персональные данные по разным основаниям. Например, данные для ответа на запрос через форму связи могут обрабатываться на основании согласия, а сведения, необходимые для исполнения заключённого договора, — в связи с исполнением договора.
Согласно ст. 5 Закона согласие должно быть свободным, однозначным, конкретным и информированным. Форма согласия на сайте должна содержать сведения о цели обработки, перечне данных и операторе, а пользователь должен совершить активное действие, например самостоятельно поставить отметку в незаполненном чекбоксе.
Заранее отмеченная галочка или единая кнопка «Принять всё», нажатие которой одновременно означает согласие на маркетинговую обработку, не обеспечивают необходимой определённости. Политика должна соответствовать реальному механизму получения согласия на сайте.
Например, сайт может передавать сведения о посещаемости зарубежному сервису аналитики, не упоминая его в политике. Если данные пользователей при этом направляются на серверы за пределами Беларуси, возможна трансграничная передача персональных данных. Отсутствие соответствующих сведений в документах создаёт риск нарушения требований об информировании пользователей и порядка трансграничной передачи.
Файлы cookie и сторонние сервисы
Файлы cookie — небольшие текстовые файлы, которые браузер сохраняет на устройстве пользователя для хранения настроек, идентификаторов сессии и иных сведений. Cookie и аналогичные технологии могут быть инструментами обработки персональных данных, если позволяют идентифицировать пользователя или его устройство.
Если сайт применяет системы веб-аналитики, рекламные пиксели, онлайн-чаты, сервисы персонализации или иные технологии отслеживания, политика должна содержать раздел о cookie. В нём рекомендуется указать виды файлов, их назначение, срок хранения и способы отказа пользователя от необязательных категорий cookie.
Отдельно следует описывать работу со сторонними сервисами: CRM-системами, сервисами рассылок, платёжными шлюзами, хостингом, чатами и системами аналитики. Если такой поставщик обрабатывает данные по поручению компании, он может выступать уполномоченным лицом в смысле ст. 1 Закона.
В таком случае необходимо не только упомянуть сервис в политике, но и закрепить в договоре с поставщиком условия обработки и защиты персональных данных.
Трансграничная передача данных
Трансграничная передача персональных данных — это передача данных иностранной организации или физическому лицу за пределы Республики Беларусь. На практике она может происходить при использовании иностранных CRM-систем, облачных хранилищ, аналитики, рекламных платформ, сервисов рассылок и зарубежного хостинга.
Требования к трансграничной передаче определены ст. 9 Закона. До начала передачи оператор должен убедиться, что иностранное государство обеспечивает надлежащий уровень защиты прав субъектов персональных данных, либо использовать иное законное основание, предусмотренное законодательством.
Перечень государств, обеспечивающих надлежащий уровень защиты, определяется НЦЗПД. Если передача осуществляется в государство, не включённое в такой перечень, могут потребоваться согласие субъекта или договорные гарантии защиты его прав в зависимости от конкретной ситуации и применимого основания.
В политике следует указать, какие данные передаются за рубеж, в какие государства либо каким иностранным получателям, для каких целей осуществляется передача и на каком правовом основании она проводится.
Как описать права субъектов данных
Раздел о правах субъектов персональных данных является обязательной частью политики. Права субъектов предусмотрены ст. 10–15 Закона и включают право получать информацию об обработке данных, требовать изменения или прекращения обработки, удаления данных при наличии оснований, а также обжаловать действия оператора в НЦЗПД.
Недостаточно просто перечислить положения Закона. Политика должна объяснять, как пользователь может реализовать права: куда направить запрос, какие сведения указать в обращении, как подтвердить личность, по какому адресу электронной почты или почтовому адресу обращаться.
В документе необходимо указать контакты ответственного лица или структурного подразделения, которое рассматривает обращения субъектов. Несоблюдение сроков рассмотрения обращений или необоснованный отказ в реализации прав может стать основанием для жалобы в НЦЗПД.
Политика без нарушений: основные отличия
| Элемент политики | Документ соответствует требованиям | Документ содержит риск нарушения |
|---|---|---|
| Цели обработки | Конкретно описывают действия на сайте: обработка заявок, регистрация, рассылка, оформление заказа. | Содержат общие фразы: «улучшение сервиса», «иные законные цели». |
| Правовые основания | Указаны отдельно для каждой цели обработки. | Используется одно основание для всех целей либо основание не указано. |
| Сторонние сервисы | Перечислены сервисы, характер передаваемых данных и цели передачи. | CRM, аналитика, рассылки, эквайринг и чаты не упомянуты. |
| Трансграничная передача | Описаны страны или иностранные получатели, основания и гарантии защиты. | Раздел отсутствует при фактическом использовании зарубежных сервисов. |
| Файлы cookie | Указаны виды cookie, цели их использования, сроки хранения и порядок управления настройками. | Cookie не упомянуты либо описаны одной общей строкой. |
| Права субъектов | Есть перечень прав, порядок обращения и контактные данные оператора. | Права перечислены формально, без процедуры их реализации. |
| Сроки хранения | Определены для отдельных категорий данных и целей обработки. | Указано «по мере необходимости» либо сроки отсутствуют. |
| Реальная практика сайта | Политика составлена после аудита форм, скриптов, сервисов и бизнес-процессов. | Использован шаблон другого сайта без адаптации. |
Когда обновлять политику обработки данных
Политика обработки персональных данных требует регулярной актуализации. Её необходимо пересматривать при добавлении новых форм на сайте, подключении CRM, системы аналитики, онлайн-чата, сервиса рассылок или платежного сервиса, изменении целей обработки и появлении нового канала трансграничной передачи.
Основанием для обновления также служат изменения законодательства и новые разъяснения НЦЗПД. Рекомендуется фиксировать дату редакции непосредственно в тексте опубликованной политики, чтобы пользователь видел актуальность документа.
Если новая редакция затрагивает условия, на которые пользователь ранее предоставил согласие, например добавляет новую цель обработки или нового получателя данных, может потребоваться получение согласия на новых условиях. Иначе у новой обработки может отсутствовать надлежащее правовое основание.
Для сложных сайтов с большим количеством форм и внешних интеграций, при работе со специальными категориями персональных данных либо при получении предписания НЦЗПД полезно провести профильный юридический аудит сайта и документации.
Часто задаваемые вопросы
Обязательна ли политика обработки персональных данных для любого сайта в Беларуси?
Если сайт собирает персональные данные посетителей, оператор обязан обеспечить неограниченный доступ к политике обработки персональных данных. Это требование предусмотрено ст. 17 Закона № 99-З.
Можно ли использовать один шаблон политики конфиденциальности для разных сайтов?
Нет. Политика должна отражать фактическую обработку данных конкретного сайта: используемые формы, цели, категории данных, сервисы, получателей информации и трансграничные передачи.
Нужно ли описывать файлы cookie в политике обработки персональных данных?
Да, если cookie и аналогичные технологии используются для идентификации пользователя или его устройства. Рекомендуется указать виды файлов, их назначение, сроки хранения и способы управления настройками cookie.
Что происходит, если политика на сайте есть, но не соответствует реальной обработке данных?
НЦЗПД может сопоставить содержание политики с формами, скриптами и сервисами, применяемыми на сайте. Несоответствие может быть признано самостоятельным нарушением требований законодательства о персональных данных.
Как часто нужно обновлять политику конфиденциальности на сайте?
Политику следует обновлять при изменении целей обработки, состава собираемых данных, подключении новых сервисов, появлении трансграничной передачи, а также при изменении законодательства. Дату последней редакции желательно указывать в тексте документа.
Юридическая компания «Экономические споры»: документация по персональным данным под ключ
Разработка политики обработки персональных данных входит в комплексное правовое сопровождение белорусского бизнеса, которое оказывает юридическая компания «Экономические споры». С 2019 года компания работает с субъектами хозяйствования и специализируется на B2B-задачах.
Команда включает 15 юристов и специалистов с практикой от 15 до 25 лет. Наталия Табала специализируется на защите персональных данных, интеллектуальной собственности, цифровом праве, антимонопольных и налоговых вопросах. Она является судьёй Третейского суда «Экономические споры» и спикером Белорусского форума корпоративных юристов.
Компания помогает провести аудит сайта, подготовить политику обработки персональных данных, формы согласий, документы для работы с подрядчиками и уполномоченными лицами, а также выстроить порядок реагирования на обращения пользователей и запросы НЦЗПД.
Если вашему бизнесу нужна юридическая поддержка по разработке политики обработки персональных данных, аудиту сайта или сопровождению при взаимодействии с НЦЗПД, оставьте заявку на сайте юридической компании «Экономические споры».
