ЮРИДИЧЕСКАЯ ПРОВЕРКА САЙТА

Здесь закон говорит не о согласии с политикой, а о её публикации. Ч. 2 ст. 18.1 Закона № 152-ФЗ устанавливает обязанность оператора «опубликовать или иным образом обеспечить неограниченный доступ» к документу, определяющему его политику в отношении обработки персональных данных.

Если сбор данных происходит через интернет, политика должна быть опубликована именно в интернете и доступна с тех страниц сайта, где осуществляется сбор данных.

ВАЖНО

Отдельная галочка «Согласен с политикой обработки персональных данных» сама по себе законом не требуется. Политику нужно опубликовать и сделать доступной, а не получать на неё согласие.

ПОЧЕМУ ЭТО ВАЖНО?

Оплата может выступать акцептом оферты, то есть действием, которым клиент принимает предложенные условия договора (ст. 438 ГК РФ). Поэтому важно, чтобы на момент оплаты было понятно, с какими именно условиями клиент соглашался: что входит в услугу, сколько она стоит, как происходит отмена или перенос съёмки, условия возврата денег и другие важные моменты.

Отдельная оферта в такой ситуации помогает зафиксировать эти условия в одном документе и в дальнейшем подтвердить, какие именно условия были предложены клиенту до оплаты.

То есть отдельная оферта — не обязательная формальность, а удобный способ юридически зафиксировать условия работы, особенно если договор заключается и оплачивается онлайн.

ВАЖНО

При этом фотограф остаётся оператором персональных данных, даже если технически данные хранятся или обрабатываются через Wfolio или другой сервис. Wfolio предоставляет техническую инфраструктуру, а фотограф определяет, какие данные клиентов собирать, для каких целей и как их использовать. Поэтому обязанность по уведомлению Роскомнадзора в такой ситуации лежит на фотографе как на операторе.

1. УКАЗЫВАТЬ ТРАНСГРАНИЧНУЮ ПЕРЕДАЧУ ДАННЫХ «НА ВСЯКИЙ СЛУЧАЙ»

Не стоит автоматически писать в политике про порядок трансграничной передачи данных или добавлять на сайт отдельное согласие на трансграничную передачу, если никакой такой передачи на самом деле нет.

Одного согласия клиента недостаточно. Закон устанавливает специальный порядок трансграничной передачи (и он очень сложный) оператор должен до её начала отдельно уведомить Роскомнадзор (ч. 3 ст. 12 Закона № 152-ФЗ).

Для передачи в государства, не входящие в перечень стран с адекватной защитой, действуют дополнительные ограничения: до истечения срока рассмотрения уведомления такую передачу осуществлять нельзя, кроме предусмотренных законом исключений.

Не используйте в своей работе Google Analytics, Google Forms и других зарубежные сервисы, через которые могут передаваться данные клиентов — это будет трансграничной передачей данных.

2. ДЕЛАТЬ ОДНО СОГЛАСИЕ «НА ВСЁ СРАЗУ»

Ещё одна распространённая ошибка — сделать одно согласие, в котором человек сразу соглашается на обработку персональных данных, рекламу, распространение персональных данных и всё остальное, что только можно придумать.

Закон устанавливает, что ряд согласий должны быть получены отдельно.

Например, согласие на рекламную рассылку, согласие на распространение ПД.

3. ВКЛЮЧАТЬ СОГЛАСИЕ НА ОБРАБОТКУ ПД В ПОЛИТИКУ ИЛИ ОФЕРТУ

Согласие на обработку персональных данных не стоит прятать внутрь политики, оферты, пользовательского соглашения или другого документа.

Статья 9 Закона № 152-ФЗ прямо говорит, что согласие на обработку персональных данных «должно быть оформлено отдельно от иных информации и (или) документов», которые подтверждает или подписывает человек.

Поэтому принцип «чем больше мы всего напишем, тем безопаснее» здесь не работает.

Более того, если вам вообще не требуется получать согласие, например, когда данные клиента обрабатываются для заключения или исполнения договора, не нужно искусственно добавлять согласие только ради перестраховки.

За обработку данных без требуемого согласия или с нарушением требований к согласию предусмотрена административная ответственность по ст. 13.11 КоАП РФ:

• Для граждан: 10–15 тыс. рублей
• Для ИП: 100–300 тыс. рублей
• Для юридических лиц: 300–700 тыс. рублей.