Политика обработки ПДн для интернет-магазина: что важно учесть и как составить

Что такое политика обработки ПДн и зачем она нужна интернет-магазину?

Как только на сайте появляется форма с любыми полями, например «имя» и «телефон» при оформлении заказа, магазин становится оператором ПДн согласно статье 3 закона №152-ФЗ. Оператором является любое юридическое или физическое лицо, которое самостоятельно или совместно с другими организует и/или осуществляет обработку персональных данных.

Покупатель в этой связке становится субъектом ПДн. По закону он обладает следующими правами: знать, какие данные собирает магазин, требовать их исправления или удаления, а также отзывать согласие. Такой документ, как политика обработки ПДн, необходим для информирования субъекта о его правах, целях обработки его данных и о действиях оператора.

Обязанность публиковать политику прямо закреплена в статье 18.1 закона №152-ФЗ: оператор обязан обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн. Для интернет-магазина это означает, что документ должен быть опубликован на сайте и доступен в любой момент: то есть не после регистрации или по запросу, а сразу.

Что включить в политику обработки ПДн для интернет-магазина

Закон не диктует жесткую структуру документа, но определяет, какую информацию оператор обязан раскрыть. Требования содержатся в нескольких статьях закона №152-ФЗ: 14, 18, 18.1, 22. Если собрать их вместе, получается обязательный минимум.

• Сведения об операторе. Наименование компании или ФИО ИП, ИНН, юридический адрес, контактные данные для обращений по вопросам обработки ПДн.
• Цели обработки. Типичный набор целей для интернет-магазина: оформление и доставка заказа, организация онлайн-оплаты, осуществление маркетинговых рассылок, обеспечение программы лояльности, аналитики и cookie. РКН требует конкретики, поэтому общая фраза «для улучшения сервиса» не подойдет.
• Правовые основания обработки. Ссылка на норму закона №152-ФЗ для каждой цели. Например: исполнение договора ( п. 5 ч. 1 ст. 6); маркетинговые рассылки (согласие субъекта по п. 1 ч. 1 ст. 6 и ст. 9). Подробнее о правовых основаниях рассказываем далее.
• Категории и перечень персональных данных. Конкретный список собираемых ПДн с указанием, к каким категориям они относятся: ФИО, телефон, email, адрес доставки, история заказов, данные об устройстве и браузере.
• Третьи лица. Кому и на каком основании передаются ПДн покупателей: службы доставки, платежные системы, CRM, сервисы аналитики. Без этого раздела передача ПДн курьерской службе формально является утечкой.
• Сроки хранения. Для каждой цели предусмотрен свой срок. Данные для доставки хранятся до истечения срока возврата товара, а данные для рассылок — до истечения срока действия согласия клиента.
• Права субъекта и порядок их реализации. Как покупатель может получить доступ к своим ПДн, потребовать их исправления, удаления или отозвать согласие. Здесь же следует указать контакт для таких запросов.
• Меры защиты данных. Краткое описание технических и организационных способов защиты: передача ПДн по протоколу HTTPS, ограничение доступа сотрудников, порядок уничтожения ПДн.
• Cookie. Технические cookie согласия не требуют в отличие от аналитических и маркетинговых. В политике нужно разделить их по видам и указать используемые сервисы аналитики: Яндекс.Метрика и другие.

Какое правовое основание обработки ПДн указывать

Правовым основанием называют норму закона, разрешающую магазину обрабатывать ПДн в конкретной ситуации. Без него любое использование ПДн незаконно.

Владельцы интернет-магазинов часто перегружают корзину чекбоксами, опасаясь штрафов. На деле для большинства операций отдельное согласие не нужно.

Покупатель принимает условия публичной оферты в момент оформления заказа, нажимая кнопку «Оформить» или «Купить». По п. 5 ч. 1 ст. 6 закона 152-ФЗ, если обработка ПДн необходима для исполнения договора, отдельное согласие не требуется. Собирать ФИО, телефон и адрес для доставки магазин вправе без чекбокса.

Как только магазин выходит за рамки конкретного заказа, то основание меняется. Для рассылок, программы лояльности и маркетинговых cookie нужно отдельное согласие по ст. 9 152-ФЗ. Причем согласие на обработку ПДн и согласие на рекламные рассылки объединять в один чекбокс нельзя.

Передача ПДн в СДЭК, ЮKassa и другие сервисы: как оформить законно

Интернет-магазин редко доставляет товары сам. ФИО, телефон и адрес покупателя уходят в СДЭК, Яндекс.Доставку, Почту России и другие службы. Данные банковской карты при оплате обрабатываются платежным шлюзом ЮKassa или Сбер Эквайринг, что является передачей ПДн третьим лицам. И если она не оформлена юридически, то магазин нарушает закон, даже когда просто отправляет посылку.

Что нужно оформить

Во-первых, в политике конфиденциальности должен быть раздел о третьих лицах: кому, какие персональные данные и с какой целью передаются. Без этого раздела покупатель не был уведомлен о передаче, а значит, она незаконна.

Во-вторых, между магазином и курьерской службой должен быть заключен договор с разделом о поручении обработки ПДн. Это требование ч. 3 ст. 6 152-ФЗ. В разделе прописывается, какие ПДн передаются, для какой цели и какие меры защиты обязана соблюдать курьерская служба.

Ответственность перед покупателем при этом остается на магазине. Если курьерская служба допустит утечку персональных данных, отвечать будет оператор, то есть сам интернет-магазин. Снизить этот риск можно, прописав в договоре с курьерской службой ее ответственность за нарушение условий обработки ПДн: тогда при утечке магазин сможет взыскать ущерб с виновной стороны.

Популярные платформы Bitrix, InSales, CS-Cart и CRM-системы RetailCRM и amoCRM также получают ПДн покупателей. Их тоже нужно указать в политике в разделе третьих лиц и убедиться, что договоры с ними содержат условия об обработке ПДн.

Где и как разместить политику на сайте интернет-магазина?

Требование закона простое: документ должен быть доступен каждому пользователю в любой момент без регистрации и авторизации. Разбираем ниже, как это реализовать на практике.

Обязательные точки размещения

• Футер сайта. Ссылка на политику должна присутствовать на каждой странице сайта. Стандартным местом считается нижний колонтитул рядом с пользовательским соглашением и контактами.
• Форма оформления заказа. Рядом с кнопкой «Оформить заказ» должна быть фраза со ссылкой на политику: например, «Нажимая кнопку, вы соглашаетесь с политикой обработки персональных данных». Это уведомляет покупателя об обработке ПДн в момент их передачи.
• Форма регистрации и личный кабинет. Аналогичная ссылка — при создании аккаунта.
• Cookie-баннер. Если сайт использует аналитические или маркетинговые cookie, при первом визите пользователя должен появляться баннер с запросом согласия и ссылкой на политику.

Как реализовать на популярных платформах

На Bitrix, InSales и CS-Cart ссылку в футер добавляют через редактор шаблона. Форму оформления заказа дорабатывают через настройки чекаута или шаблон компонента. Если встроенных инструментов не хватает, подключают отдельный модуль или правят код. Cookie-баннер на большинстве платформ реализуется через сторонние сервисы или готовые решения.

Какие штрафы грозят интернет-магазину за нарушения при работе с ПДн?

Ответственность за нарушения в сфере ПДн регулируется статьей 13.11 КоАП РФ. Проверки проводит РКН, а за рекламные нарушения штрафует ФАС.

Заключение

Политика обработки ПДн фиксирует, какие персональные данные собирает интернет-магазин, на каком основании, кому передает и как долго хранит. Без актуального документа риск штрафов при проверке РКН резко возрастает.

Помимо политики, необходимо также проверить договоры с третьими лицами, такими как курьерские службы, платежные системы и CRM. В каждом из них должен быть раздел об обработке ПДн. Кроме того, следует убедиться, что уведомление о начале обработки ПДн подано в РКН и отражает реальные бизнес-процессы внутри компании.

Разобраться с документацией заранее и устранить возможные ошибки до их выявления регулятором поможет профессиональный правовой аудит сайта.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

119 публикаций на сайте

Подробнее о специалисте