Частые случаи утечек данных, кибератак и незаконного использования персональной информации вызывают обоснованные опасения как у пользователей, так и у владельцев сайтов. Законодательство также не стоит на месте. В последние годы Роскомнадзор и другие регулирующие органы значительно ужесточили требования Федерального закона № 152‑ФЗ «О персональных данных» для обеспечения максимальной защиты информации и соблюдения прав граждан.
При этом владельцы сайтов должны следовать строгим правилам, чтoбы избежать внушительных штрафов и сохранить доверие своих пользователей. В предыдущей статье «Законопослушный сайт — обрабатываем персональные данные правильно» мы уже рассказывали о частых нарушениях операторов персональных данных.
Вдохновившись мастер‑классом «Аудит сайта на соответствие 152‑ФЗ как точка входа к заказчикам» от эксперта по работе с персональными данными «1С:Инфобезопасность» Натальи Немудрой, мы провели аудиты сайтов партнерской сети 1С на соответствие требованиям Роскомнадзора. В исследовании приняли участие 65 сайтов компаний‑партнеров из различных регионов РФ. Каждому партнеру‑участнику нашей активности направлены рекомендации для проведения корректирующих действий.
На основе полученных данных, мы составили подробный чек‑лист, который поможет не только убедиться, соответствует ли сайт требованиям Роскомнадзора, но и понять, чтo изменить и где именно на сайте доработать.
#1. Расположение хостинга сайта
Первое, чтo нужно сделать — это определить место размещения вашего сайта. Удобнее и проще это проверить с помощью 152DOC для 1С, раздел «Сервисы» — определяем местоположение хостинга. Серверы, на которых размещены персональные данные российских граждан, по законодательству должны находиться в России. Из 65 сайтов‑партнеров, не локализован всего 1,54%, а все остальные хостятся в РФ.
Если вы пользуетесь зарубежными ресурсами или хостите сайт на иностранных серверах вам необходимо:
- Подать уведомление в Роскомнадзор о трансграничной передаче данных.
- Внести сведения о трансграничной передаче данных в документ «Политика обработки персональных данных» и иные локально‑нормативные акты.
#2. Проверка файлов Cookies и метрических программ
Файлы Cookies и сервисы веб‑аналитики, такие как «Яндекс.Метрика» или Google Analytics, могут быть использованы для отслеживания пользовательской активности на сайте и приравниваются к процессу сбора персональных данных.
Проверьте, чтo на вашем ресурсе отсутствуют нежелательные файлы Cookies и метрические программы, которые могут привести к утечке конфиденциальной информации. Из 65 сайтов‑партнеров, которые мы проанализировали, сервисы Google Analytics используют 47,69%.
Обратите внимание, чтo Google Analytics не рекомендуется к использованию на территории РФ. Если вы хотите продолжать пользоваться метрикой — необходимо подать уведомление о трансграничной передаче данных в Роскомнадзор.
Однако, не существует универсального списка файлов Cookies, который можно считать нежелательными, так как все зависит от контекста использования и целей сайта. Одни и те же файлы cookies могут быть безопасными на одном сайте и нежелательными на другом.
Можно выделить общие признаки потенциально нежелательных файлов cookies:
-
Трекинговые cookies.
-
Рекламные cookies.
- Third‑party cookies, установленные не самим сайтом, а третьей стороной.
- Сессионные cookies с длительным сроком действия.
- Cookies, отслеживающие информацию о пользователе без необходимого согласия.
#3. Предупреждающий баннер
Если на вашем сайте используются файлы Cookies и метрики, рекомендуем разместить предупреждающий баннер. Важно проинформировать пользователей об их использовании с кнопкой согласия на обработку данных.
Больше половины сайтов партнеров, а именно 69,23% не содержат предупреждающий баннер об использовании Cookies и метрических программ на своем сайте.
#4. Наличие документов «Согласие на обработку ПДн» и «Политика обработки ПДн»
Убедитесь, чтo на вашем сайте размещены «Согласие на обработку персональных данных» и «Политика обработки персональных данных» — это основные документы, регулирующие сбор и хранение персональных данных пользователей.
Документы информируют пользователей о том, как и для чего будут использоваться их данные. Разместите их в специально отведенных разделах, например в подвале страницы, в баннере использования Cookies или под формами сбора контактных данных.
К сожалению, и здесь фокусной группе сайтов есть над чем работать — у 60% партнеров документы не размещены совсем или размещены с ошибками.
#5. Проверка содержания документов «Согласия» и «Политики»
Недостаточно просто иметь документы на сайте, важно также следить за их актуальностью, корректностью и соответствию нормам законодательства.
Что должны содержать документы:
- «Согласие на обработку персональных данных»: прописывает согласие субъекта и указывает, какие данные собираются, как они будут использоваться, для каких целей и сроки их хранения.
- «Политика конфиденциальности»: содержит действующие реквизиты компании, описывает процессы сбора, обработки и хранения персональных данных.
Если вам нужна помощь в составлении документов «Согласие» и «Политика» воспользуйтесь сервисом 152DOC для 1С. Он автоматически составит необходимые документы учитывая специфику вашей организации.
Для партнерской сети 1С разработан отдельный тариф 152DOC для 1С со специальными условиями — «Расширенный Партнерский».
#6. Активные ссылки под формами сбора данных
Доступ к информации о сборе и обработке данных на сайте должен быть максимально простым. Это поможет посетителям ресурса принимать решение о предоставлении своей информации, защитит от лишних вопросов и претензий со стороны регулирующих органов и пользователей.
Убедитесь, чтo под каждой формой сбора данных (подписка на рассылку, обратный звонок и пр.) размещены активные ссылки для перехода на документы «Согласия» и «Политики».
У 52,31% из 65 сайтов партнеров в нашем исследовании, отсутствуют или не активны ссылки на документы под формами сбора данных.
#7. Формы согласий и наличие галочек
Одним из ключевых требований закона является корректное оформление форм «Согласий» и «Политики обработки данных», а также наличие соответствующих чекбоксов на вашем сайте.
«Галочки» не должны быть предустановлены. Пользователю необходимо самостоятельно поставить отметку, подтверждая свое согласие на обработку данных. Это обеспечивает осознанное принятие решения и добровольное предоставление данных.
Только 21,54% из 65 сайтов партнеров выполняют данное условие и не предустанавливают галочки в формах.
Еще одним важным требованием является разделение на отдельные формы получения «Согласия» на обработку и ознакомление с «Политикой персональных данных».
У 46,15% из 65 сайтов партнеров выполняется условие наличия под формой сбора данных ссылки на документ «Согласие». При этом у 81,54% отсутствует поле ознакомления с «Политикой», либо совмещено с пунктом «Согласия».
#8. Сбор данных для отправки маркетинговых и информационных рассылок
Если вы собираетесь отправлять рассылки по полученным контактам — необходимо также прописать согласие пользователя под дополнительной формой с чекбоксом.
#9. Публикация сообщения о защите данных сотрудников и клиентов
Если на сайте размещаются фотографии, видео с вашими сотрудниками или клиентами — добавьте информацию в подвале страницы о том, чтo данные материалы размещены с разрешения субъектов данных.
Также убедитесь в получении письменного согласия на публикацию их фото или видео, ведь отсутствие документов является серьезным нарушением.
Фотографии сотрудников размещены на 7 сайтах, однако только 1 из них отвечает требованиям и имеет на странице с фотографиями соответствующее сообщение.
Вывод
Проанализировав небольшую группу из 65 сайтов партнеров, можно сделать следующий вывод: большинство из них не соответствует требованиям Роскомнадзора и нуждается в значительных доработках.
Не забывайте регулярно проводить аудит вашего сайта, обновлять внутренние документы и проводить обучение сотрудников. Используйте специализированные сервисы, такие как 152DOC для 1С или обращайтесь за помощью к дистрибьютору «1С‑Рарус».
Соблюдение вышеперечисленных пунктов поможет вам обеспечить безопасность и защиту персональных данных на вашем сайте.
Хотите получить аудит своего сайта и демо‑доступ к сервису 152DOC для 1С? Обращайтесь в отдел продаж системного программного обеспечения:
- эл. почта: soft@rarus.ru;
- тел.: +7 (495) 642-78-78;
- или в ваше региональное представительство компании «1С‑Рарус».
Менеджер маркетинговых проектов, «1С‑Рарус»
Эксперт отдела продаж системного программного обеспечения, «1С‑Рарус»
