Владелец небольшой студии добавил на сайт форму «Оставить заявку» и подключил счётчик посещений. Через месяц клиент спросил: «А куда вы деваете мой телефон?» Ответа на сайте не было. Политики конфиденциальности тоже: она казалась бумагой для больших корпораций.
Нужна ли сайту политика конфиденциальности
Да, если сайт собирает хоть какие-то персональные данные: имя и телефон в форме, адрес доставки, почту для рассылки, данные посещений и cookie (маленькие файлы, по которым сайт узнаёт посетителя). Такое требование есть в Евросоюзе, большинстве штатов США, Казахстане, России и Беларуси. Политика конфиденциальности - это страница, где сайт объясняет, какие данные собирает, зачем и что с ними делает. Проверить свою можно бесплатно в проверке политики конфиденциальности Awe Check.
Что должно быть в политике
Общий список зависит от страны, но его ядро хорошо видно в статье 13 европейского регламента GDPR. В ней перечислено, что оператор (тот, кто собирает данные) обязан сообщить человеку в момент сбора. Простыми словами это выглядит так:
- Кто вы: название компании или ИП и контакты, чтобы человеку было к кому обратиться.
- Зачем нужны данные и на каком основании вы их обрабатываете: выполнить заказ, ответить на заявку, отправить рассылку.
- Кому вы их передаёте: службе доставки, платёжному сервису, сервису аналитики.
- Передаёте ли за границу и как защищаете.
- Как долго храните или по какому правилу решаете, когда удалять.
- Какие права у человека: узнать, исправить, удалить, ограничить обработку, возразить и забрать свои данные.
- Что он может отозвать согласие в любой момент и подать жалобу в надзорный орган.
Три последних пункта новички пропускают чаще всего. А именно по ним человек понимает, что его данные не уйдут в никуда.
Где разместить политику
Политика лежит на отдельной странице и открывается с каждой страницы сайта, обычно из подвала. Вторая ссылка нужна рядом с каждой формой, где человек оставляет данные. Если отметка согласия есть, она не должна стоять заранее: человек ставит её сам. Отдельная ссылка на политику только на главной не считается: форма заявки может жить на другой странице.
Политика и cookie-баннер: в чём разница
Эти два элемента часто путают. Политика - документ, который объясняет всё про данные в целом: кто собирает, зачем, как долго хранит. Cookie-баннер - окно, в котором человек даёт или не даёт согласие на конкретные cookie, прежде чем они начнут работать. Баннер без политики оставляет человека без объяснений, а политика без баннера не спрашивает его разрешения. Хороший сайт держит обе вещи вместе: баннер ссылается на политику, а политика описывает те же cookie, что спрашивает баннер.
Пример: интернет-магазин с формой заказа
Магазин собирает имя, телефон и адрес доставки, ставит счётчик посещений и отправляет письма о заказах через почтовый сервис. В политике такого магазина должны появиться: реквизиты продавца, цель «выполнить заказ и доставить товар», список получателей (служба доставки, платёжный сервис, сервис рассылок, сервис аналитики), срок хранения данных и контакты для запроса на удаление. Форма заказа ссылается на политику и просит отметить согласие, которое человек ставит сам. Если хотя бы одного из этих звеньев нет, магазин остаётся уязвим для жалобы покупателя.
Как проверить, что политика работает
Мало иметь файл, важно, чтобы он был подключён. Проверку удобно сделать в четыре шага:
- Откройте проверку политики конфиденциальности и вставьте адрес сайта.
- Сервис найдёт страницу политики и покажет её адрес.
- Он проверит, есть ли ссылка на всех страницах и рядом с формами, и отвечает ли текст на главные вопросы.
- Отдельно покажет, описаны ли cookie и есть ли контакты для обращений.
Если политики нет, соберите её бесплатным генератором под нужную страну и затем перепроверьте сайт.
5 ошибок, которые встречаются чаще всего
- Политика скопирована с чужого сайта. В ней чужие реквизиты и сервисы, которых у вас нет. Проверяющий видит это за минуту.
- Ссылка есть на главной, а на странице с формой её нет. Человек оставляет данные там, где ничего не объяснено.
- Галочка согласия стоит заранее. Суд Европейского союза в деле Planet49 (C-673/17) указал, что для хранения cookie нужно активное согласие пользователя, то есть действие самого человека.
- В политике ни слова о cookie, хотя на сайте работают счётчики и реклама.
- Политика не обновлялась. Подключили новый сервис, а в документе его нет. Каждый новый сервис аналитики или рассылки стоит вносить в список получателей.
Чем грозит отсутствие политики
Размер штрафа зависит от страны и размера бизнеса: в Казахстане, России и Беларуси действуют свои статьи кодексов об административных нарушениях, в Евросоюзе штрафы определяет GDPR. Конкретные суммы по каждой стране мы собрали в разборе штрафов за сайт, чтобы не пересказывать их здесь и не устаревать при изменении закона.
Сегодня откройте любую страницу вашего сайта с формой и проверьте: есть ли рядом ссылка на политику. Если нет, это первое, что стоит исправить.
Источники
- GDPR, статья 13 - информация, которую оператор обязан предоставить человеку при сборе данных.
- Суд ЕС, дело Planet49 (C-673/17), пресс-релиз - для хранения cookie нужно активное согласие пользователя.
