Персональные данные в онлайн-бизнесе: три заблуждения и штрафы РКН

Знаете, какая история повторяется с пугающей регулярностью уже несколько лет?

Часто бывает так, что владелец онлайн-продукта (эксперт, блогер, владелец сайта или мобильного приложения) слышит про обработку персональных данных и впадает в одну из трёх иллюзий, каждая из которых ведёт в тупик.

Ищет в интернете готовую “типовую” политику обработки персональных данных. Просит нейросеть написать ему договор-оферту для своего сайта. Или даже считает, что ему совершенно необязательно подавать уведомление о начале обработки персональных данных в Роскомнадзор, поскольку у него нет сайта с формой обратной связи.

В своей многолетней практике я часто сталкивалась с ложным убеждением, что если эксперт не имеет собственного сайта, работа с клиентом проходит преимущественно в мессенджерах, а персональные данные клиента заносятся в условную сводную Excel-таблицу — уведомление в Роскомнадзор подавать не нужно.

Заканчивается все обычно так:

• цели обработки персональных данных, заявленные в скачанной из интернета политике обработки персональных данных — часто противоречат той деятельности, которую фактически осуществляет эксперт. Кроме того, Федеральный закон “о персональных данных” постоянно меняется и дополняется новыми положениями.

Итог: положения “типовой” политики обработки персональных данных, скачанной из интернета, не соответствуют требованиям законодательства, а заявленные в ней цели обработки персональных данных и их объем не соответствуют тому объему и тем целям обработки персональных данных, которые есть на практике;

• договоры с клиентами не заключаются, публичный договор-оферта также отсутствует, согласие на обработку персональных данных (необходимый документ, если с клиентом не заключен договор на оказание услуг, или клиент не ознакомлен с договором-офертой);
• уведомление о начале обработки персональных данных в Роскомнадзор либо не подано вовсе, либо в нем не отражен реальный объем персональных данных, подлежащий обработке и цели обработки персональных данных.

При проведении проверки Роскомнадзор видит несоответствие целей обработки персональных данных, заявленных в правовых документах либо отсутствие правовых документов в принципе, и назначает штраф.

За годы своей практики я помогла десяткам владельцев онлайн-продуктов грамотно оформить необходимые для их бизнеса документы: договор-оферту (или разработать типовую форму договора на оказание услуг), политику обработки персональных данных (либо форму согласия на обработку персональных данных) и подать в Роскомнадзор корректное уведомление о начале обработки персональных данных.

В моей практике даже были кейсы, когда даже уже после получения уведомления от Роскомнадзора о выявленных нарушениях, удавалось избежать штрафа, благодаря грамотным мерам.

Часто эксперты или блогеры думают так:

1. «Достаточно скачать любой шаблон политики конфиденциальности — и я защищён». На деле такая политика оказывается просто бесполезной бумажкой, которая не работает и не защищает ИМЕННО ВАС.

2. «Уведомление в Роскомнадзор о начале обработки персональных данных — это сложная бюрократическая процедура, ее можно отложить». Откладывают до момента, когда получают уведомление из Роскомнадзора, что в результате проведенной проверки были выявлены нарушения, и штраф уже неизбежен.

3. «Мой бизнес маленький, меня не заметят». Даже если у вас нет собственного сайта, а есть только телеграм-канал, но вы осуществляете деятельность как частнопрактикующий эксперт — вы являетесь оператором персональных данных, и ОБЯЗАНЫ подать уведомление о начале обработки персональных данных.

Роскомнадзор проводит плановые и внеплановые проверки, и небольшой масштаб деятельности вашего бизнеса — не может являться гарантом того, что вы не будете оштрафованы.