Форма регистрации на сайте может стать основанием для привлечения к ответственности
Большинство владельцев бизнеса воспринимают сайт исключительно как инструмент продаж и коммуникации с клиентами. Однако, с юридической точки зрения любой сайт, на котором пользователь оставляет свои данные, становится объектом регулирования законодательства о персональных данных.
При этом нарушения зачастую допускаются еще до начала активной деятельности сайта - на этапе обычной формы регистрации, обратной связи или онлайн-заявки.
Пользователь указывает фамилию, имя, номер телефона, адрес электронной почты, ИИН либо иные сведения. С этого момента владелец сайта начинает осуществлять сбор и обработку персональных данных, а значит обязан соблюдать требования Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите».
Персональные данные - это не только ИИН
Согласно подпункту 1 статьи 1 Закона Республики Казахстан «О персональных данных и их защите», персональными данными признаются сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных.
На практике к таким сведениям относятся:
фамилия, имя, отчество;
номер мобильного телефона;
адрес электронной почты;
ИИН;
адрес проживания;
сведения о местоположении;
IP-адрес;
иные данные, позволяющие идентифицировать лицо прямо либо косвенно.
Следовательно, даже обычная форма обратной связи на сайте уже предполагает обработку персональных данных.
Самостоятельный ввод данных пользователем не освобождает от обязанностей
Распространенным заблуждением является мнение о том, что если пользователь добровольно ввел свои данные на сайте, отдельное согласие на их обработку не требуется.
Однако статья 7 Закона Республики Казахстан «О персональных данных и их защите» устанавливает, что сбор и обработка персональных данных осуществляются с согласия субъекта персональных данных либо при наличии иных предусмотренных законом оснований.
При этом согласие должно быть получено до начала обработки данных и предоставляться в порядке, позволяющем подтвердить факт его получения.
Иными словами, владелец сайта обязан обеспечить возможность подтверждения того, что пользователь был надлежащим образом уведомлен об условиях обработки своих данных и выразил согласие на такую обработку.
Наиболее распространенным способом исполнения данного требования является использование отдельного чек-бокса с указанием на согласие с условиями обработки персональных данных и ссылкой на соответствующие документы.
Политика конфиденциальности является обязательным элементом правовой защиты бизнеса
Одним из наиболее распространенных нарушений является отсутствие на сайте политики конфиденциальности либо размещение формального документа, не содержащего необходимой информации.
Между тем пользователь должен быть проинформирован:
какие именно данные собираются;
для каких целей осуществляется обработка;
кто является собственником и оператором базы данных;
кому могут передаваться данные;
как обеспечивается их защита;
в течение какого срока осуществляется хранение информации;
каким образом субъект может реализовать свои права.
Данные требования вытекают из положений Закона Республики Казахстан «О персональных данных и их защите», а также из принципов добросовестности и прозрачности обработки персональных данных.
Отсутствие такой информации существенно повышает риск возникновения претензий со стороны пользователей и уполномоченных органов.
Пользовательское соглашение снижает правовые риски
В случае если сайт предоставляет пользователям доступ к личному кабинету, сервису, онлайн-платформе, маркетплейсу либо иному функционалу, рекомендуется разработка пользовательского соглашения.
Данный документ позволяет определить:
порядок использования сайта;
права и обязанности сторон;
основания ограничения доступа к сервису;
порядок удаления аккаунта;
пределы ответственности владельца сайта;
порядок разрешения споров.
Фактически пользовательское соглашение является основным документом, регулирующим отношения между владельцем интернет-ресурса и его пользователями.
Отсутствие такого документа значительно осложняет защиту интересов компании при возникновении конфликтных ситуаций.
Использование cookie-файлов также требует правового регулирования
Современные сайты практически всегда используют системы веб-аналитики, рекламные инструменты и сервисы статистики.
Для их функционирования применяются cookie-файлы - специальные технические идентификаторы, позволяющие анализировать действия пользователей на интернет-ресурсе.
С помощью cookie могут собираться сведения о:
посещаемых страницах;
времени нахождения на сайте;
действиях пользователя;
используемом устройстве;
предпочтениях посетителя.
Поэтому пользователь должен быть уведомлен о факте использования таких технологий и иметь возможность ознакомиться с соответствующей информацией.
На практике данное требование реализуется посредством отдельного уведомления о cookie-файлах и соответствующего раздела в политике конфиденциальности.
Ответственность за нарушения
Нарушение требований законодательства о персональных данных может повлечь административную ответственность.
Так, статьей 79 Кодекса Республики Казахстан об административных правонарушениях предусмотрена ответственность за:
незаконный сбор и обработку персональных данных;
несоблюдение мер по защите персональных данных;
нарушение порядка хранения персональных данных;
иные нарушения законодательства в данной сфере.
Помимо административных штрафов, бизнес может столкнуться с:
требованиями об устранении нарушений;
ограничением обработки данных;
репутационными потерями;
претензиями со стороны клиентов и контрагентов;
необходимостью проведения внепланового аудита и модернизации информационных систем.
Что следует проверить владельцу сайта
Перед запуском сайта рекомендуется убедиться в наличии следующих элементов:
✓ согласие на обработку персональных данных;
✓ политика конфиденциальности;
✓ пользовательское соглашение;
✓ уведомление об использовании cookie-файлов;
✓ порядок отзыва согласия субъектом персональных данных;
✓ внутренние меры защиты персональных данных;
✓ документы, подтверждающие соблюдение требований законодательства о персональных данных.
Практика показывает, что большинство нарушений выявляется не вследствие сложных технических ошибок, а из-за отсутствия базовых юридических документов и процедур.
Именно поэтому правовая проверка сайта должна осуществляться до его запуска, а не после возникновения претензий со стороны пользователей либо контролирующих органов.
Настоящий материал носит исключительно информационный характер.
Информация подготовлена на основании законодательства Республики Казахстан, действовавшего на дату публикации материала. В связи с возможными изменениями законодательства и особенностями конкретной ситуации применение изложенной информации без получения индивидуальной юридической консультации может быть некорректным.
Для получения правовой оценки и рекомендаций с учетом обстоятельств конкретного случая рекомендуется обратиться за профессиональной юридической помощью.