Политика обработки персональных данных для сайта: что обязательно включить в документ

Политика обработки персональных данных — это не формальный текст для подвала сайта, а документ, который должен объяснять посетителю, какие сведения собирает компания и что происходит с ними после отправки формы. Если политика составлена по шаблону и не соответствует реальной работе ресурса, она не решает задачу. На сайте могут использоваться заявки, регистрация, онлайн-оплата, чат, аналитика, личный кабинет и рекламные инструменты, а в документе будет описан только сбор имени и телефона.

Подготовку политики лучше начинать с проверки всех точек, где сайт получает информацию о пользователях. Нужно изучить формы, подключенные сервисы, файлы cookie, системы аналитики, CRM, платежные модули и порядок передачи сведений подрядчикам.

Кто является оператором персональных данных

В начале документа необходимо точно указать организацию или индивидуального предпринимателя, который определяет цели и способы обработки данных. Обычно приводят полное наименование, адрес, ИНН, ОГРН или ОГРНИП и контакты для обращений.

На практике встречается ошибка, когда сайт принадлежит одной компании, платежи принимает другая, а в политике указано третье лицо. Пользователь должен понимать, кому именно он передает информацию. Если в работе сайта участвуют несколько организаций, их роли нужно разграничить.

Важно проверить, совпадают ли сведения в политике с реквизитами в оферте, разделе контактов и карточке организации. Разные названия и адреса создают путаницу и могут вызвать вопросы при проверке.

Какие данные собирает сайт

В политике не следует писать, что компания обрабатывает «любые персональные данные». Перечень должен быть конкретным и соответствовать функциям ресурса.

Сайт может получать:

• имя, фамилию и отчество;
• номер телефона и электронную почту;
• адрес доставки или оказания услуги;
• данные учетной записи;
• сведения, указанные в комментарии к заказу;
• информацию о действиях на сайте;
• IP-адрес, cookie и технические данные устройства.

Перечень зависит от конкретного проекта. Например, форма обратного звонка обычно не требует адреса проживания, а интернет-магазин может получать адрес доставки и сведения о составе заказа. Если компания не собирает определенные данные, их не нужно включать в документ просто для подстраховки.

Отдельно стоит проверить поля со свободным вводом. Пользователь может самостоятельно указать в комментарии дополнительную информацию, поэтому порядок работы с такими сведениями тоже нужно учитывать.

Для каких целей используются сведения

Каждая категория данных должна быть связана с понятной целью. Формулировка «для осуществления деятельности компании» слишком широкая и ничего не объясняет посетителю.

Целями могут быть обработка заявки, оформление заказа, доставка, регистрация личного кабинета, предоставление доступа к сервису, обратная связь, направление уведомлений и ведение бухгалтерского учета.

Если данные планируется использовать для рассылки рекламы, это необходимо выделить отдельно. Нельзя автоматически считать, что посетитель, отправивший заявку на консультацию, одновременно согласился получать рекламные письма и сообщения.

Полезно составить внутреннюю таблицу, в которой для каждой формы указаны собираемые данные, цель, срок хранения и получатели. На основе этой таблицы намного проще подготовить точную политику.

Правовые основания обработки

В документе необходимо указать, на каком основании компания работает с данными. Основанием может быть согласие пользователя, исполнение договора, требование закона или другое предусмотренное обстоятельство.

Не следует автоматически указывать согласие как единственное основание для всех операций. Например, часть сведений может обрабатываться для оформления и исполнения заказа, а отдельные данные — для направления рекламных сообщений после получения самостоятельного согласия.

Формулировки политики должны совпадать с текстами рядом с формами. Если чекбокс содержит одну цель, а в документе указано несколько дополнительных целей, пользователь не получает понятной информации о своих действиях.

Какие операции выполняются с данными

Политика должна описывать, что компания делает с полученной информацией. Обработка включает не только хранение. Сведения могут собираться, записываться, систематизироваться, уточняться, использоваться, передаваться, блокироваться и удаляться.

Необязательно перегружать документ длинным перечнем терминов без объяснений. Важнее показать реальный процесс. Например, заявка поступает в CRM, менеджер связывается с клиентом, сведения используются для подготовки заказа, а затем хранятся в течение установленного срока.

Если применяются автоматизированные системы, это также стоит отразить. Нужно учитывать не только сайт, но и последующую работу сотрудников с полученными данными.

Кому может передаваться информация

Передача данных часто происходит через сторонние сервисы. Интернет-магазин взаимодействует с платежными системами, службами доставки, CRM, телефонией и техническими подрядчиками. Корпоративный сайт может использовать форму, письма из которой проходят через почтовый сервис.

В политике важно объяснить категории получателей и цели передачи. При этом не всегда требуется перечислять все компании поименно, но описание должно позволять понять, зачем третья сторона получает доступ к сведениям.

Следует проверить договоры с подрядчиками и распределение ответственности. Если компания передает данные исполнителю, это должно быть предусмотрено не только на сайте, но и в договорных отношениях.

Сроки хранения и порядок удаления

Фраза «данные хранятся бессрочно» обычно не подходит для большинства процессов. Срок необходимо связывать с целью обработки, действием договора, требованиями законодательства или отзывом согласия.

Для разных категорий сведений могут действовать разные сроки. Информация о заявке не всегда должна храниться столько же, сколько документы по выполненному заказу. Рекламная рассылка прекращается после отзыва согласия, но отдельные сведения могут сохраняться, если это требуется по другому основанию.

В политике нужно объяснить, когда данные удаляются, обезличиваются или прекращают использоваться. Внутри компании при этом должен существовать реальный порядок удаления, а не только формулировка на сайте.

Права пользователя и порядок обращения

Посетитель должен знать, как запросить сведения об обработке своих данных, уточнить их, потребовать прекращения использования или отозвать согласие. Для этого в политике указывают понятный канал связи.

Желательно предусмотреть:

• электронный адрес для обращений;
• почтовый адрес оператора;
• требования к содержанию запроса;
• порядок подтверждения личности заявителя;
• способ направления ответа.

Не стоит публиковать адрес, который никто не проверяет. Если обращения остаются без ответа, наличие формального контакта в политике не помогает компании.

Меры защиты и актуализация документа

Политика может содержать общее описание организационных и технических мер защиты. Не нужно раскрывать конфиденциальные настройки серверов или системы безопасности. Достаточно указать, что доступ ограничивается, сотрудники получают его в пределах обязанностей, а информационные системы защищаются от неправомерного использования.

Документ следует пересматривать при каждом заметном изменении сайта. Новая форма, подключение CRM, другой платежный сервис, запуск рассылки или изменение юридического лица могут потребовать обновления политики.

После редактирования нужно проверить не только сам текст, но и ссылки на него, чекбоксы, формы и дату публикации новой версии. Политика считается полезной только тогда, когда она описывает реальные процессы и остается понятной обычному посетителю

При подготовке статьи частично использованы материалы с сайта web2b.law — политика обработки персональных данных для сайта