Как разработать Политику конфиденциальности: пошаговая инструкция
Разработка проводится в несколько этапов:
- Проанализируйте, какие данные вы реально собираете и в каких целях.
- Определите правовые основания обработки для каждой цели.
- Сформируйте структуру документа под ваш бизнес, а не по шаблону.
- Опишите процессы простым и понятным языком, сохраняя юридическую точность.
- Проверьте соответствие требованиям Закона № 152-ФЗ и подзаконных актов.
- Опубликуйте документ на сайте и свяжите его с формами сбора данных.
Универсального шаблона не существует. Политика конфиденциальности компании всегда должна отражать реальные процессы, иначе при проверке это быстро выявляется.
Общие положения
В этом разделе вы задаете рамки документа. Здесь обычно указывают:
- для чего разработана Политика;
- сведения об операторе ПДн;
- какие основные термины используются.
Важно не перегружать текст определениями, но базовые понятия лучше раскрыть простым языком: кто такой оператор, что считается ПДн, что понимается под обработкой.
Также здесь стоит зафиксировать права пользователя: получать информацию о своих данных, требовать их уточнения или удаления (ст. 14 Закона № 152-ФЗ и ст. 18.1 Закона № 152-ФЗ).
Цели сбора ПДн
Закон требует конкретики. Цели должны быть законными, заранее определенными, напрямую связанными с деятельностью бизнеса.
Для сайта это обычно:
- обработка заявок и обращений;
- заключение и исполнение договоров;
- обратная связь с клиентами;
- аналитика и улучшение работы сайта.
Каждая цель должна соотноситься с конкретным набором данных. Избыточный сбор – прямое нарушение Закона № 152-ФЗ.
Основания обработки
Здесь вы объясняете, на каком основании работаете с ПДн. Например, это может быть заключение и исполнение договора с пользователем, требования закона, согласие субъекта ПДн (ст. 6 Закона № 152-ФЗ).
Важно понимать: сам по себе Закон № 152-ФЗ не является основанием обработки. Он устанавливает правила, но не дает автоматического права собирать данные.
Также стоит учитывать: если вы просите пользователя поставить галочку «соглашаетесь с политикой конфиденциальности», это не равно согласию на получение рекламных сообщений. Для этого нужно отдельное согласие.
Категории и объем обрабатываемых ПДн
В этом разделе показывают, что бизнес собирает ровно столько данных, сколько необходимо.
Обычно на сайте обрабатываются:
- фамилия, имя;
- номер телефона;
- адрес электронной почты;
- IP-адрес;
- данные cookie.
Если используются файлы cookie, это нужно прямо указать: какие именно файлы применяются и для чего.
Отдельно стоит обозначить категории субъектов: чаще всего это клиенты или пользователи сайта.
Условия и порядок обработки
Здесь описывается порядок обработки данных на всех этапах.
Рекомендуется указать:
- какие действия совершаются с данными (сбор, хранение, передача, удаление и т. д.);
- использование автоматизированных систем для обработки;
- сроки хранения информации;
- кому и в каких случаях данные передаются.
Если вы привлекаете подрядчиков – хостинг, CRM, сервисы рассылок – стоит указать это и зафиксировать, что передача осуществляется на основании договора поручения.
Отдельно упоминается соблюдение конфиденциальности и меры защиты данных в соответствии со ст. 7, ст. 18.1 и ст. 19 Закона № 152-ФЗ. Это важный маркер для проверяющих.
Порядок актуализации, исправления и удаления
Пользователь имеет право контролировать обработку своих ПДн. В Политике нужно описать:
- как он может направить запрос для получения информации об обработке;
- в какие сроки компания реагирует;
- в каких случаях данные уточняются или удаляются.
При достижении целей обработки или отзыве согласия ПДн нужно уничтожить, если нет оснований для их хранения. В обоих случаях обработка должна быть прекращена в течение 30 дней. Чтобы правильно сформировать документ и избежать ошибок, рекомендуем проконсультироваться с экспертами.