Зачем политика нужна на самом деле
Статья 18.1 закона требует опубликовать документ, определяющий политику в отношении обработки данных, и обеспечить к нему неограниченный доступ. Для сайта это означает ссылку в подвале и рядом с каждой формой.
Но главная функция политики — договориться с самим собой. Пока вы её пишете, становится видно, что заявки дублируются в три места, а рассылочный сервис хранит базу неизвестно где.
Структура, которая работает
Мы используем десять разделов. Порядок можно менять, а вот выбрасывать разделы не стоит.
- —Кто оператор: полное наименование, ИНН, адрес, контакт для обращений.
- —Цели обработки — каждая отдельно: ответ на заявку, исполнение договора, рассылка, аналитика.
- —Для каждой цели — категории данных, категории субъектов, правовое основание и срок хранения.
- —Способы обработки: автоматизированная, без средств автоматизации, смешанная.
- —Третьи лица и поручения обработки: хостинг, CRM, служба доставки, платёжный агрегатор.
- —Трансграничная передача, если она есть, — подробнее в статье о передаче данных за рубеж.
- —Cookie и метрические программы — со ссылкой на отдельный документ, см. cookie-баннер по 152-ФЗ.
- —Меры защиты, без перечисления паролей и деталей инфраструктуры.
- —Права субъекта и порядок обращения, включая срок ответа.
- —Дата вступления в силу и порядок изменения документа.
Цели — сердце документа
Самая частая ошибка — одна строка «для оказания услуг». Закон требует, чтобы обработка ограничивалась конкретными целями, и для каждой цели состав данных должен быть минимальным.
Простой тест: возьмите любую форму на сайте и попробуйте найти в политике цель, ради которой собирается каждое поле. Если поле «Дата рождения» не привязано ни к одной цели — либо уберите поле, либо допишите цель.
Почему шаблон опасен
Скопированная политика обещает то, чего вы не делаете, и молчит о том, что делаете. В ней может быть написано, что данные не передаются третьим лицам, — а у вас подключены CRM, онлайн-чат и веб-аналитика.
Для проверяющего такое расхождение — готовый протокол: вы обрабатываете данные с нарушением собственной политики.
Как поддерживать документ в актуальном состоянии
Привяжите обновление политики к событиям, а не к календарю: новая форма, новый сервис, новый подрядчик. Ведите короткий журнал версий с датами.
Раз в полгода сверяйте политику с реальным сайтом. Это можно сделать вместе с плановой проверкой или запустить автоматический аудит.