Разработка документов по персональным данным в соответствии с 152-ФЗ

Если на сайте используются формы для получения ПДн, например, формы для обратной связи, то такого баннера будет недостаточно. Все эти формы должны сопровождаться ссылками на Политику конфиденциальности и Согласие на обработку персональных данных. В противном случае это будет являться нарушением Федерального закона №152-ФЗ.

По российскому законодательству нет единых, типовых форм и конкретных требований для документов по ПДн. С одной стороны, это облегчает жизнь владельцам сайтов, а с другой стороны рерайт договоров, скачанных из Интернета или позаимствованных у конкурентов, имеет «дырявое» содержание с юридической точки зрения.

Особенно велики юридические риски для коммерческих ресурсов, предлагающих товары и услуги. Чем больше клиентов у Интернет-магазина или в приложении, тем чаще возникают спорные ситуации и тем чаще пользователи жалуются в Роспотребназор, пишут претензии, а суммы штрафов растут при повторных нарушениях.

Конструкторы документов по ПДн также не являются юридическим продуктом «под ключ». Более надежно от правовых рисков может защитить только индивидуальная проработка документов, так как любая ошибка в будущем может стоить очень дорого.

В настоящее время предусмотрено только 3 случая, когда оператору не нужно подавать уведомление о включении в реестр Роскомнадзора:

• если обрабатываемые данные включены в государственные системы ПДн, которые созданы для защиты безопасности государства;
• для систем, направленных на обеспечение устойчивого функционирования транспорта;
• если ПДн обрабатываются только на бумажном носителе.

До 1 сентября 2022 г. можно было не регистрироваться также в том случае, если ПДн получены при заключении договора с клиентом и не передаются третьим лицам. Теперь требования ужесточились.

Требования закона о персональных данных 152-ФЗ распространяются на все категории: государственные и муниципальные учреждения, юридические лица, коммерческие и некоммерческие организации, ИП, физические лица, самозанятые, если они совершают обработку, хранение и передачу таких данных.

Если на сайте размещены только примеры ваших работ и контакты для обратной связи, то есть персональные данные самого владельца веб-ресурса, то пользовательское соглашение и согласие на обработку персональных данных можно не публиковать.

Если же вы используете формы обратной связи, или у вас есть раздел с отзывами, то такие документы просто необходимы.

Штраф за отсутствие Политики конфиденциальности (статья 13.11 КоАП РФ, п.3):

• для физических лиц – 1,5-3 000 рублей;
• для должностных лиц – 6-12 тысяч рублей;
• для ИП – 10-20 тысяч рублей;
• для юридических лиц – 30-60 тысяч рублей.

Штраф за обработку персональных данных без согласия пользователя:

При нарушении 152-ФЗ в первый раз:

• Физические лица - 6-10 тысяч рублей
• Должностные лица - 20-40 тысяч рублей
• Юридические лица и ИП - 30-150 тысяч рублей 

При повторном нарушении:

• Физические лица - 10-20 тысяч рублей
• Должностные лица - 40-100 тысяч рублей
• Юридические лица и ИП - 100-300 тысяч рублей 

Штрафные санкции предусмотрены не только за отсутствие документов, но и за неправильный сбор, обработку данных. Например, нельзя «вечно» хранить ПДн. Срок их хранения (даже если они не обрабатываются), должен быть оправдан целями, указанными в Политике конфиденциальности.

За непредставление уведомления в Роскомнадзор о включении в реестр операторов персональных данных предусмотрен штраф (статья 19.7 КоАП РФ):

• для физических лиц – 100-300 рублей;
• для должностных лиц – 300-500 рублей;
• для юридических лиц – 300-5 000 рублей.

+ штрафы за сбор и обработку ПДн без согласия пользователя, за нарушение правил хранения и обработки до 6 млн. рублей.

Уведомление должно быть направлено до начала сбора ПДн.