Что такое политика обработки ПДн и зачем она нужна интернет-магазину?
Как только на сайте появляется форма с любыми полями, например «имя» и «телефон» при оформлении заказа, магазин становится оператором ПДн согласно статье 3 закона №152-ФЗ. Оператором является любое юридическое или физическое лицо, которое самостоятельно или совместно с другими организует и/или осуществляет обработку персональных данных. Покупатель в этой связке становится субъектом ПДн. По закону он обладает следующими правами: знать, какие данные собирает магазин, требовать их исправления или удаления, а также отзывать согласие. Такой документ, как политика обработки ПДн, необходим для информирования субъекта о его правах, целях обработки его данных и о действиях оператора. Обязанность публиковать политику прямо закреплена в статье 18.1 закона №152-ФЗ: оператор обязан обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн. Для интернет-магазина это означает, что документ должен быть опубликован на сайте и доступен в любой момент: то есть не после регистрации или по запросу, а сразу.
Отсутствие политики конфиденциальности или ее формальное наличие несет в себе юридические риски. РКН при проверке смотрит на содержание документа. Если политика не соответствует реальным процессам обработки ПДн в интернет-магазине, то это нарушение, которое может привести к внеплановой проверке компании и наложению на неё штрафов.
Что включить в политику обработки ПДн для интернет-магазина
Закон не диктует жесткую структуру документа, но определяет, какую информацию оператор обязан раскрыть. Требования содержатся в нескольких статьях закона №152-ФЗ: 14, 18, 18.1, 22. Если собрать их вместе, получается обязательный минимум.- Сведения об операторе. Наименование компании или ФИО ИП, ИНН, юридический адрес, контактные данные для обращений по вопросам обработки ПДн.
- Цели обработки. Типичный набор целей для интернет-магазина: оформление и доставка заказа, организация онлайн-оплаты, осуществление маркетинговых рассылок, обеспечение программы лояльности, аналитики и cookie. РКН требует конкретики, поэтому общая фраза «для улучшения сервиса» не подойдет.
- Правовые основания обработки. Ссылка на норму закона №152-ФЗ для каждой цели. Например: исполнение договора ( п. 5 ч. 1 ст. 6); маркетинговые рассылки (согласие субъекта по п. 1 ч. 1 ст. 6 и ст. 9). Подробнее о правовых основаниях рассказываем далее.
- Категории и перечень персональных данных. Конкретный список собираемых ПДн с указанием, к каким категориям они относятся: ФИО, телефон, email, адрес доставки, история заказов, данные об устройстве и браузере.
- Третьи лица. Кому и на каком основании передаются ПДн покупателей: службы доставки, платежные системы, CRM, сервисы аналитики. Без этого раздела передача ПДн курьерской службе формально является утечкой.
- Сроки хранения. Для каждой цели предусмотрен свой срок. Данные для доставки хранятся до истечения срока возврата товара, а данные для рассылок — до истечения срока действия согласия клиента.
- Права субъекта и порядок их реализации. Как покупатель может получить доступ к своим ПДн, потребовать их исправления, удаления или отозвать согласие. Здесь же следует указать контакт для таких запросов.
- Меры защиты данных. Краткое описание технических и организационных способов защиты: передача ПДн по протоколу HTTPS, ограничение доступа сотрудников, порядок уничтожения ПДн.
- Cookie. Технические cookie согласия не требуют в отличие от аналитических и маркетинговых. В политике нужно разделить их по видам и указать используемые сервисы аналитики: Яндекс.Метрика и другие.
Какое правовое основание обработки ПДн указывать
Правовым основанием называют норму закона, разрешающую магазину обрабатывать ПДн в конкретной ситуации. Без него любое использование ПДн незаконно. Владельцы интернет-магазинов часто перегружают корзину чекбоксами, опасаясь штрафов. На деле для большинства операций отдельное согласие не нужно. Покупатель принимает условия публичной оферты в момент оформления заказа, нажимая кнопку «Оформить» или «Купить». По п. 5 ч. 1 ст. 6 закона 152-ФЗ, если обработка ПДн необходима для исполнения договора, отдельное согласие не требуется. Собирать ФИО, телефон и адрес для доставки магазин вправе без чекбокса. Как только магазин выходит за рамки конкретного заказа, то основание меняется. Для рассылок, программы лояльности и маркетинговых cookie нужно отдельное согласие по ст. 9 152-ФЗ. Причем согласие на обработку ПДн и согласие на рекламные рассылки объединять в один чекбокс нельзя.| Действие | Основание | Чекбокс |
| Оформление заказа, доставка, оплата | исполнение договора (п. 5 ч. 1 ст. 6) | Не нужен |
| Передача ПДн курьерской службе | исполнение договора (п. 5 ч. 1 ст. 6) | Не нужен |
| Email-рассылки, брошенная корзина, бонусная программа | согласие субъекта (ст. 9) | Нужен, отдельный |
| Маркетинговые и аналитические cookie | согласие субъекта (ст. 9) | согласие субъекта (ст. 9) |
Передача данных курьерской службе отдельного согласия не требует, но должна быть юридически оформлена: необходимо упомянуть получателя ПДн в политике конфиденциальности и прописать условия обработки ПДн в договоре с курьерской службой.
Передача ПДн в СДЭК, ЮKassa и другие сервисы: как оформить законно
Интернет-магазин редко доставляет товары сам. ФИО, телефон и адрес покупателя уходят в СДЭК, Яндекс.Доставку, Почту России и другие службы. Данные банковской карты при оплате обрабатываются платежным шлюзом ЮKassa или Сбер Эквайринг, что является передачей ПДн третьим лицам. И если она не оформлена юридически, то магазин нарушает закон, даже когда просто отправляет посылку. Что нужно оформить Во-первых, в политике конфиденциальности должен быть раздел о третьих лицах: кому, какие персональные данные и с какой целью передаются. Без этого раздела покупатель не был уведомлен о передаче, а значит, она незаконна. Во-вторых, между магазином и курьерской службой должен быть заключен договор с разделом о поручении обработки ПДн. Это требование ч. 3 ст. 6 152-ФЗ. В разделе прописывается, какие ПДн передаются, для какой цели и какие меры защиты обязана соблюдать курьерская служба. Ответственность перед покупателем при этом остается на магазине. Если курьерская служба допустит утечку персональных данных, отвечать будет оператор, то есть сам интернет-магазин. Снизить этот риск можно, прописав в договоре с курьерской службой ее ответственность за нарушение условий обработки ПДн: тогда при утечке магазин сможет взыскать ущерб с виновной стороны. Популярные платформы Bitrix, InSales, CS-Cart и CRM-системы RetailCRM и amoCRM также получают ПДн покупателей. Их тоже нужно указать в политике в разделе третьих лиц и убедиться, что договоры с ними содержат условия об обработке ПДн.
Не уверены, правильно ли оформлены договоры с партнерами? Юристы «Хелп Консалтинг» проведут правовой аудит сайта, проверят договоры с курьерскими службами, платежными системами и CRM, приведут их в соответствие с требованиями 152-ФЗ и помогут избежать штрафов при проверке РКН.
Где и как разместить политику на сайте интернет-магазина?
Требование закона простое: документ должен быть доступен каждому пользователю в любой момент без регистрации и авторизации. Разбираем ниже, как это реализовать на практике. Обязательные точки размещения- Футер сайта. Ссылка на политику должна присутствовать на каждой странице сайта. Стандартным местом считается нижний колонтитул рядом с пользовательским соглашением и контактами.
- Форма оформления заказа. Рядом с кнопкой «Оформить заказ» должна быть фраза со ссылкой на политику: например, «Нажимая кнопку, вы соглашаетесь с политикой обработки персональных данных». Это уведомляет покупателя об обработке ПДн в момент их передачи.
- Форма регистрации и личный кабинет. Аналогичная ссылка — при создании аккаунта.
- Cookie-баннер. Если сайт использует аналитические или маркетинговые cookie, при первом визите пользователя должен появляться баннер с запросом согласия и ссылкой на политику.
Важно также подать уведомление в Роскомнадзор о начале обработки персональных данных, если ваш магазин этого ранее не делал. Юристы «Хелп Консалтинг» подготовят и подадут его под ключ.
Какие штрафы грозят интернет-магазину за нарушения при работе с ПДн?
Ответственность за нарушения в сфере ПДн регулируется статьей 13.11 КоАП РФ. Проверки проводит РКН, а за рекламные нарушения штрафует ФАС.| Нарушение | Статья | Штраф для юрлица |
| Обработка ПДн без законного основания | ч.1 | 150 000–300 000 руб. |
| Обработка ПДн без письменного согласия субъекта | ч.2 | 300 000–700 000 руб. |
| Обработка ПДн без политики на сайте | ч.3 | 30 000–60 000 руб. |
| Избыточный сбор ПДн | ч.1 | 150 000–300 000 руб. |
| Передача без основания | ч.1 | 150 000–300 000 руб. |
| Реклама без согласия (ФАС) | ст.14.3 КоАП, ФАС | 300 000–1 000 000 руб. |
Штрафы суммируются. Магазин с отсутствующей политикой, избыточными полями в форме заказа и незаконной рассылкой может получить сразу несколько постановлений. Помимо штрафов, РКН вправе потребовать блокировки сайта или ограничить доступ к нему до устранения нарушений.