Защита персональных данных для сайтов

С 15 ноября 2021 года в Беларуси действует Закон «О защите персональных данных». С тех пор требования к владельцам сайтов не только не ослабли, но и стали неотъемлемой частью цифрового этикета и юридической безопасности бизнеса.

Если у вас есть сайт, который собирает заявки, использует формы обратной связи, принимает оплату или просто сохраняет cookie-файлы — вы автоматически становитесь оператором персональных данных. А значит, обязаны защищать информацию посетителей. Штрафы и предписания за нарушения все еще актуальны, поэтому лучше один раз настроить защиту правильно, чем потом разбираться с Национальным центром защиты персональных данных.

В этой статье мы простым языком разобрали все шаги, которые нужно предпринять владельцам сайта. Используйте этот материал как готовый чек-лист.

Что именно нужно защищать?

Закон трактует понятие «персональные данные» максимально широко. Это не только паспортные данные, но и любая информация, по которой можно идентифицировать конкретного человека.

К персональным данным относятся:

• Стандартные идентификаторы: ФИО, дата и место рождения, адрес регистрации/проживания, паспортные данные.
• Контактные данные: номер телефона, e-mail, никнейм в мессенджере.
• Цифровые следы: IP-адрес, данные геолокации, история посещений сайта, файлы cookie.
• Специальные категории (требуют особой осторожности): расовая принадлежность, политические взгляды, религиозные убеждения, биометрические данные (фото с четкими чертами лица, отпечатки пальцев), информация о здоровье.

Важно: Даже если вы просто собираете базу подписчиков по e-mail, закон считает это обработкой персональных данных.

Ваши обязанности как оператора сайта

Если вы владелец интернет-магазина, корпоративного сайта или даже небольшого лендинга, вы обязаны соблюдать 6 главных требований закона:

1. Разработать и опубликовать Политику обработки персональных данных.
Это основной документ вашего сайта. В нем нужно прозрачно описать: какие данные собираете, зачем, как храните, передаете ли третьим лицам и как уничтожаете. Документ должен быть доступен по прямой ссылке в подвале (футере) сайта и на всех страницах, где идет сбор данных.

2. Получить согласие пользователя.
Согласие должно быть активным (галочка, клик на кнопку, подпись) и конкретным. Нельзя ставить галочки за пользователя автоматически. Нельзя прятать согласие в длинном тексте оферты. Оно должно быть оформлено как отдельный чек-бокс с текстом вроде «Я даю согласие на обработку персональных данных на условиях Политики конфиденциальности».

3. Обеспечить защиту данных.
Вы обязаны хранить данные так, чтобы их не украли хакеры и не слили недобросовестные сотрудники. Это требование к технической инфраструктуре сайта и серверов.

4. Разъяснять права субъектам.
Любой посетитель имеет право потребовать изменить, дополнить, заблокировать или удалить свои данные. Вы обязаны предоставить ему механизм для такого запроса (например, e-mail ответственного лица).

5. Назначить ответственного за обработку ПД.
В компании (даже если это ИП без сотрудников) должен быть человек, который отвечает за защиту данных. Если это ИП, он может назначить ответственным самого себя.

6. Обучить сотрудников.
Все, кто работает с базой клиентов (менеджеры, маркетологи), должны знать правила обработки ПД и быть ознакомлены с внутренними документами под подпись.

Политика обработки персональных данных: основа основ

Создание грамотной Политики — это не просто формальность. Это документ, который защищает вас в суде и при проверках. В нем должно быть четко прописано:

• Цели сбора данных (например, «для оформления заказа» или «для отправки новостной рассылки»).
• Сроки хранения (нельзя хранить данные клиента, который не делал заказ 5 лет, если цель сбора уже достигнута).
• Порядок уничтожения данных.

Как технически организовать сбор согласий?

Самый частый способ на сайте — это установка двух видов чек-боксов:

1.   Согласие на сбор данных (обязательное для отправки формы).
2.   Согласие на получение рекламных материалов (рассылок) (опционально, галочка не должна стоять по умолчанию).

Важно хранить логи (дату и время) того, когда пользователь поставил эту галочку. В случае спора вы должны будете доказать, что согласие было получено.

Нужна помощь с настройкой форм на сайте? Просто свяжитесь с нами. Мы знаем, как правильно интегрировать эти требования в любой движок.

Ответственный за персональные данные: кто это и зачем?

Приказом директора назначается конкретный сотрудник (или отдел), который следит за соблюдением закона. В небольших компаниях это может быть системный администратор, юрист или даже сам директор.

Однако у этого лица должен быть документ о прохождении обучения (повышения квалификации) в сфере защиты персональных данных. Такое обучение проводят аккредитованные центры, в том числе Национальный центр защиты персональных данных.

Заключение

Соблюдение законодательства о персональных данных — это:

• Доверие клиентов. Люди охотнее оставляют заявки на сайтах, где видят открытую политику конфиденциальности.
• Защита от штрафов. Штрафы для ИП и юрлиц по-прежнему существенны, а репутационные потери могут быть невосполнимы.
• Порядок в компании. Вы будете точно знать, какие данные у вас есть, зачем они нужны и как с ними работать.

Разобраться во всех нюансах самостоятельно бывает сложно. Штрафы грозят не за отсутствие файла «Политика.doc», а за неправильно собранное согласие или утечку данных.

Остались вопросы? Звоните или пишите нам! Мы сделаем ваш сайт безопасным.