РКН: владелец сайта теперь оператор обработки персональных данных

Эта статья рассказывает о моём опыте общения с товарищами из РКН (Роскомнадзор) в мае-июне 2023г., объясняет с их помощью какие сайты, какие элементы, сервисы и информация на них попадают под деятельность Оператора обработки персональных данных в свете последних изменений, внесённых недавних поправок в Закон № 152 «О персональных данных» .

Эта статья лишь первая из этого цикла. Я буду рассказывать владельцам сайтов о том, какие нарушения могут быть выявлены на их сайтах, о моём опыте общения с РКН и способах устранения нарушений, связанных с новыми поправками к Закону № 152 «О персональных данных». Как вы уже поняли, эта информация очень важна для владельцев сайтов в РУнете.

 Теперь почти каждый владелец сайта (доменного имени) в сети интернет автоматически является Оператором персональных данных

С 1 сентября 2022 г., и с 1 марта 2023 г. вступили в силу поправки к закону № 152 «О персональных данных», определяющие новые, жесткие требования к владельцам доменных имён. (Администраторам доменных имён).

Если владелец сайта проигнорирует эти требования, и не будет принимать никаких мер по соблюдению законодательства в части политики обработки персональных данных, то ему могут быть назначены штрафы, размер которых в совокупности может превысить десять миллионов рублей!

Рассказываю какие сайты попадают под требования Закона № 152 «О персональных данных»

Товарищи из РКН пояснили, какие сайты обязаны привести в соответствие с новыми поправками свои ресурсы, а какие нет. Какие сайты являются обработчиками персональных данных, а какие нет.

Определение персональных данных

Для этого надо просто понять а что же такое персональные данные с точки зрения буквы закона? Давайте посмотрим на текущее определение персональных данных согласно закона 152-ФЗ:

Если вы внимательно вчитались в это определение, то должны понять одну простую вещь: фактически под персональными данными понимается почти любая информация, получаемая сайтом от пользователя, который его посещает.

Объясняю, какие данные на вашем сайте будут являться персональными

▪️ Фамилия, имя, отчество пользователя;

▪️Е-майл адрес;

▪️Адрес места жительства, информация о местоположении;

▪️Дата рождения;

▪️Личное фото;

▪️Любые ссылки на персональные страницы, принадлежащие пользователю, например, личный блог/сайт/канал, социальные сети, мессенджеры и др.;

▪️Финансовые/банковские реквизиты;

▪️IP — адрес пользователя;

▪️Информация о действиях пользователя на сайте;

▪️И многое другое, поскольку чёткого списка персональных данных в законе нет.

А что такое Оператор персональных данных?

Из этого следует, что даже если ваш сайт не обрабатывает и не хранит персональные данные, то вы как владелец доменного имени всё-равно являетесь Оператором персональных данных, и считается, что обрабатываете их.

Даже в том случае, если какой-либо технический элемент сайта (например, скрипт) собирает указанные выше данные, и сразу же, через долю секунды, автоматически удаляет, то всё-равно будет считаться, что вы ведёте сбор и обработку персональных данных и автоматически являетесь Оператором обработки персональных данных.

Элементы на сайте, собирающие персональные данные. Примеры.

▪️Любые формы обратной связи, формы отправки сообщений кому-либо;

▪️ Любые формы регистрации;

▪️Формы отправки комментариев, отзывов;

▪️Корзины товаров, покупок;

▪️Пуш-уведомления (или любые иные) о подписке;

▪️Любые системы, скрипты и счётчики веб-аналитики;

▪️Любые программные средства сбора и/или хранения «куки» (cookies) пользователей.

Перейдём к примерам элементов на сайте, обрабатывающих персональные данные

▪️Пример 1. На сайте присутствует форма добавления комментариев. Следовательно, владелец сайта является оператором персональных данных:

▪️Пример 2. На сайте присутствует форма отправки Е-майл пользователя  для подписки на уведомления на новые публикации. Это значит, что владелец такого сайта также является оператором персональных данных:

▪️Пример 3. На сайте присутствует форма регистрации пользователей, что автоматически делает владельца доменного имени сайта Оператором персональных данных:

▪️Пример 4. В коде сайта используются системы веб-аналитики (счётчики посещаемости), значит владелец сайта обрабатывает персональные данные пользователей и является Оператором персональных данных:

⚠️ Итак, примеров вполне достаточно, чтобы понять одну простую вещь: практически все сайты Рунета в том или ином виде ведут обработку персональных данных, и их владельцы попадают под действие Закона № 152-ФЗ, свежих поправок к нему, и являются Операторами обработки персональных данных ⚠️

Следовательно, если владельцы доменов проигнорируют меры в рамках 152-ФЗ, то однажды к ним придёт пакет от Регулятора (РКН). (Как он пришёл мне месяц назад). И тогда придётся устранять нарушения в темпе быстрого вальса (в течение 10 рабочих дней с момента получения уведомления о нарушениях законодательства).

У меня сайт самый простой: информационный, контентный. Все материалы я размещаю сам, к тому же я физ. лицо. Потому, в самом простейшем случае, как у меня, например, необходимо будет сделать шесть организационно-технических мероприятий на сайте. По времени это заняло у меня несколько часов беспрерывной работы. С учётом того, что  я работаю на основной работе, потребовалось 3 дня, чтобы устранить все нарушения, которые обозначил РКН в своём письме.

А вот что это было за страшное письмо из Роскомнадзора, и какие меры необходимо принять владельцам сайтов в части касающейся сбора и обработки персональных данных, я скоро напишу. Поделюсь своим опытом со своими любимыми читателями.😉

В силу того, что РКН отвечает не каждый день на обращения, всего понадобилось около месяца, чтобы привести всё в соответствие с действующим законодательством. Не забывайте, что я делал всё сам, без помощников и суфлёров, (если не считать инспекторов РКН) и с нуля.

Кстати, если кто-то думает, что в РКН работают «злобные выписыватели штрафов», то ошибаются. Это довольно общительные ребята, вежливые, корректные, отвечают на вопросы, разъясняют непонятные моменты. В общем не стОит бояться с ними работать: звонить, писать, задавать вопросы. Их цель не оштрафовать вас, а предупредительно-разъяснительная работа.

Друзья! Тема сайтостроения как видите продолжается! Просто она приняла несколько иной оттенок сейчас. Так что не переключайтесь на другой канал, и  я расскажу вам как проходило моё общение с РКН, чем оно закончилось, что я и как делал на сайте, чтобы всё соответствовало букве закона.