Политика конфиденциальности для сайта — что должно быть внутри и где ее размещать

Политика конфиденциальности нужна не только крупным сервисам, интернет-магазинам и сайтам с личным кабинетом. Она требуется почти любому ресурсу, который получает от посетителей данные через формы, заявки, онлайн-чаты, подписки, регистрацию, оплату или сервисы аналитики. Даже если сайт собирает только имя и телефон, это уже обработка персональных данных, а значит владельцу нужно объяснить пользователю, какие сведения получает оператор и как они используются.

Частая ошибка — размещать на сайте короткий шаблонный текст без связи с реальной работой ресурса. В такой политике обычно указаны общие фразы о защите данных, но не описаны формы, цели обработки, сервисы аналитики, рассылки, CRM и порядок передачи данных подрядчикам. При проверке такие документы выглядят формально и не помогают подтвердить соблюдение требований.

Политика должна отвечать на несколько практических вопросов: кто является оператором данных, какие сведения собираются, зачем они нужны, как долго хранятся, кому могут передаваться и каким образом пользователь может обратиться с запросом. Чем сложнее сайт, тем подробнее должен быть документ.

Обычно в политике конфиденциальности указывают:

• наименование и контакты оператора;
• категории собираемых персональных данных;
• цели обработки данных;
• способы сбора информации;
• сведения о cookie и аналитике;
• условия передачи данных третьим лицам;
• сроки хранения;
• права пользователя;
• порядок отзыва согласия;
• меры защиты информации.

Для корпоративного сайта услуг перечень данных часто включает имя, телефон, адрес электронной почты, текст сообщения, сведения о компании клиента и технические данные посещения. Для интернет-магазина список шире: данные заказа, адрес доставки, история покупок, платежная информация в пределах обработки заказа, обращения в поддержку. Для сервиса с личным кабинетом могут добавляться логин, пароль, история действий, документы, загружаемые файлы и иные сведения.

Важно не копировать чужую структуру без проверки. Если в политике указано, что сайт не использует cookie, а на нем подключены системы аналитики и рекламные пиксели, возникает противоречие. Если написано, что данные не передаются третьим лицам, но заявки уходят в CRM, коллтрекинг, почтовый сервис или мессенджер, документ также не соответствует фактической работе сайта.

Отдельный блок стоит посвятить целям обработки. Они должны быть понятными и связанными с действиями пользователя. Например, обработка заявки, подготовка ответа, оформление заказа, регистрация в личном кабинете, техническая поддержка, отправка уведомлений, аналитика работы сайта. Не стоит указывать чрезмерно широкие цели, которые позволяют использовать данные для любых задач без конкретики.

Место размещения политики тоже имеет значение. Недостаточно спрятать ссылку в глубоком разделе сайта. Пользователь должен иметь возможность ознакомиться с документом до передачи данных. Поэтому ссылка обычно размещается в футере сайта, рядом с формами обратной связи, в окне регистрации, при оформлении заказа и около чекбокса согласия на обработку персональных данных.

Если сайт использует несколько форм, нужно проверить каждую из них. На практике часто бывает так: на главной странице согласие оформлено корректно, а в попапе обратного звонка, квизе или онлайн-чате ссылка отсутствует. Именно такие мелкие несоответствия становятся причиной претензий.

Для формы заявки лучше предусмотреть отдельное подтверждение согласия. Пользователь должен видеть, что отправка данных означает согласие с условиями обработки, либо самостоятельно отметить чекбокс. При этом заранее проставленная галочка может вызвать вопросы, потому что согласие должно быть осознанным и подтвержденным действием пользователя.

Политика конфиденциальности должна обновляться при изменении сайта. Если добавили рассылку, личный кабинет, новые формы, интеграцию с CRM, платежный сервис или аналитику, документ нужно пересмотреть. Иначе сайт начнет обрабатывать данные шире, чем указано в опубликованных условиях.

Отдельная проблема — рассылки. Если компания отправляет рекламные сообщения, одного общего согласия на обработку данных часто недостаточно. Лучше разделять согласие на обработку персональных данных и согласие на получение рекламных материалов. Это особенно важно для сайтов, где пользователь оставляет телефон или электронную почту для связи по заявке, а затем получает рекламные предложения.

При правовом аудите сайта политику проверяют не изолированно, а вместе с интерфейсом и техническими сценариями. Юрист смотрит, какие данные фактически собираются, куда они передаются, какие документы связаны с формами, есть ли подтверждение согласия и совпадают ли опубликованные условия с реальной работой ресурса.

Грамотно подготовленная политика конфиденциальности не должна быть перегруженной, но обязана быть точной. Ее задача — описать реальные процессы обработки данных на конкретном сайте и закрыть основные вопросы пользователя, владельца ресурса и контролирующих органов

При подготовке статьи частично использованы материалы с сайта web2b.law — где размещать политику конфиденциальности для сайта

Дата публикации: 29 мая 2022 года