Политика конфиденциальности для сайта

Любой сайт, который принимает данные посетителей — через форму заявки, форму обратной связи, регистрацию, подписку на рассылку, — обрабатывает персональные данные и подпадает под требования 152-ФЗ. Даже если сайт не хранит данные напрямую, а передаёт их в CRM или сервис email-рассылок, оператором остаётся владелец сайта.

Политика конфиденциальности для сайта выполняет ту же функцию, что и политика обработки ПДн по ст. 18.1: информирует субъекта и служит доказательством выполнения обязанности оператора. Отдельный документ под сайт удобен тем, что описывает конкретные каналы сбора данных именно на этом ресурсе — формы, куки, счётчики аналитики, — а не обработку компании в целом.

Для многих операторов достаточно одного документа, который совмещает функции политики по ст. 18.1 и политики конфиденциальности сайта. Разделение на два документа имеет смысл, когда компания ведёт офлайн-деятельность со своей спецификой обработки данных, которая на сайте не отражена.

Помимо базовых элементов, которые требует ст. 18.1 152-ФЗ — цели обработки, категории данных, правовые основания, сроки хранения, права субъекта, — для сайта имеет смысл добавить:

• перечень форм на сайте, через которые собираются данные, и цель каждой формы;
• сведения об использовании файлов cookie и аналогичных технологий, со ссылкой на политику cookie, если она оформлена отдельным документом;
• сведения о сервисах аналитики и рекламы, которым сайт передаёт обезличенные или персональные данные;
• сведения о хостинге и стране размещения серверов, если данные обрабатываются за пределами РФ;
• порядок обращения посетителя сайта к оператору по вопросам обработки его данных.

Перечень форм и технологий стоит держать актуальным: если на сайте появилась новая форма подписки или подключён новый сервис аналитики, политику нужно обновить в тот же момент, а не постфактум.

Пример вводной формулировки

Настоящая Политика конфиденциальности определяет порядок обработки персональных данных посетителей сайта, администрируемого ООО «Компания» (далее - Оператор). Используя Сайт и оставляя данные через формы, размещённые на нём, пользователь выражает согласие с условиями обработки персональных данных, изложенными в настоящей Политике. Если пользователь не согласен с условиями Политики, он должен прекратить использование Сайта и не передавать Оператору свои персональные данные.

Политика конфиденциальности сайта и политика обработки персональных данных по ст. 18.1 152-ФЗ решают одну и ту же законодательную задачу — раскрыть подход оператора к обработке данных. Различие в основном терминологическое и по фокусу: первая ориентирована на посетителя конкретного сайта, вторая описывает обработку данных оператором в целом, включая офлайн-каналы.

Если компания ведёт всю обработку данных через сайт и не имеет других значимых каналов сбора — например, интернет-магазин без розничных точек, — один документ под названием «Политика конфиденциальности» может закрывать оба требования одновременно. Название документа для закона значения не имеет, важно содержание.

Если у компании есть офлайн-деятельность с собственными каналами сбора данных — розничные точки, бумажные анкеты, — целесообразно вести общую политику обработки ПДн по ст. 18.1 и отдельно короткую политику конфиденциальности для сайта, ссылающуюся на общую политику по деталям.

Политику конфиденциальности размещают на отдельной странице с постоянным URL, доступной по прямой ссылке из любого раздела сайта — как правило, из подвала. Ссылку на неё также размещают рядом с каждой формой, которая собирает персональные данные, чтобы посетитель мог ознакомиться с документом до отправки данных.

Для интернет-магазинов и сервисов с оплатой на сайте ссылку на политику часто дублируют на странице оформления заказа и в шаге, где пользователь указывает контактные данные. Это снижает риск претензии о том, что документ был физически недоступен в момент сбора данных.

Если сайт существует в нескольких языковых версиях, политику стоит перевести на каждый язык — версия на языке интерфейса сайта, а не только на русском, соответствует духу требования об информировании субъекта.

Три ошибки, которые встречаются в политике конфиденциальности сайта чаще всего:

• копирование чужого документа без адаптации - политика ссылается на сервисы, которых нет на сайте, или не упоминает те, что реально используются, например счётчик метрики или пиксель ретаргетинга, установленный позже;
• обработка данных описана в общих словах, без привязки к конкретным формам и целям сайта - документ не выполняет свою информационную функцию перед посетителем;
• политика не обновляется при добавлении новых форм, виджетов и трекеров, хотя сайт технически меняется чаще, чем юридические документы.

Синхронизировать документ с фактическим состоянием сайта нужно каждый раз: политика должна отражать текущий набор форм и сервисов на момент, когда её читает посетитель.