Положение об обработке ПДн: что в нём должно быть и как сверить его с сайтом

Положение, политика и согласие — это три разных документа

Положение об обработке персональных данных — внутренний документ оператора. Он описывает, как компания организует работу с данными: кто отвечает за обработку, по каким правилам принимаются и хранятся сведения, как обрабатываются обращения и что делать при инциденте. Политика — публичная версия этих правил, её размещают на сайте, чтобы посетитель понимал, что происходит с его данными. Согласие — отдельный текст, привязанный к конкретному действию: отправке формы, регистрации, подписке.

Путаница возникает потому, что все три запроса в поиске часто приводят к одному и тому же шаблону. В результате на сайте появляется страница с заголовком про положение, внутри — текст политики, а формы собирают данные без внятного согласия с целью обработки.

По 152-ФЗ оператор обязан утвердить документы, определяющие его политику в отношении обработки персональных данных, и опубликовать правила обработки. Если на сайте нет доступного документа с этими правилами, это самостоятельный риск — независимо от того, что лежит во внутренней папке.

Что должно быть в положении об обработке ПДн

Содержание положения не произвольное: оно отвечает на те же вопросы, что и политика, но подробнее и с распределением ответственности внутри компании. Если пункт нечем заполнить, это чаще сигнал, что процесс не выстроен, а не что пункт лишний.

Базовый набор разделов выглядит так:

• цели обработки — зачем вам данные: заявки, заказы, поддержка, аналитика сайта
• категории субъектов и данных — посетители, клиенты, сотрудники и какие именно поля вы собираете
• правовые основания — согласие, договор, требования закона
• способы обработки — формы, cookie, веб-аналитика, передача обработчикам
• перечень сервисов и подрядчиков, которые получают данные, включая иностранные
• сроки хранения, порядок уничтожения, доступ сотрудников, ответы на обращения и действия при инциденте

Документ должен совпадать с тем, что реально делает сайт

Самая частая проблема — не отсутствие документа, а расхождение между документом и сайтом. В тексте написано, что данные обрабатываются только своими силами, а на страницах подключены зарубежная аналитика, карты и внешние шрифты, которые получают запросы с данными посетителя.

Сверить стоит несколько вещей: какие счётчики и пиксели установлены, стартуют ли они раньше нажатия кнопки согласия, есть ли в cookie-баннере равнозначный отказ и настройка категорий, через какие сервисы работает авторизация и что уходит в формах.

Отдельный пункт — реквизиты оператора. В документах сайта должны быть указаны те же юрлицо или ИП, контакты и адрес, что и в реальности; расхождение здесь замечается быстро.

Технические признаки — трекер, стартовавший до согласия, или запрос к иностранному сервису — это повод разобраться, а не готовый вывод о нарушении. Но если данные действительно уходят за рубеж, а в документе об этом не сказано, документ перестаёт описывать вашу обработку.

Как проверить сайт и документы самостоятельно

Откройте сайт в приватном окне и до нажатия любых кнопок посмотрите, какие запросы уходят с открытой страницы: так видно, что запускается раньше согласия. Затем пройдите по формам и запишите, какие поля обязательны, какое согласие рядом с ними и сформулирована ли в нём цель обработки.

Сверьте три текста: опубликованные правила обработки, положение и согласие под каждой формой. Между ними не должно быть противоречий — если в согласии указана одна цель, а в правилах другая, это расхождение, которое видно при проверке.

Часть сигналов заметна только в сетевых запросах, поэтому их удобнее фиксировать отдельно: Dobrolex смотрит публичные страницы глазами нового посетителя и отмечает такие запросы как обстоятельство, требующее дополнительной проверки, а не как доказательство. В заключении по каждому эпизоду есть установленные обстоятельства со снимками экрана и временем фиксации, правовая квалификация со ссылкой на нормы и рекомендацией, что исправить, — по этим материалам и видно, какие пункты документов нужно переписать.

Что исправить в первую очередь

Расхождения делятся на две группы: то, что видит посетитель (баннер, формы, тексты, реквизиты), и то, что происходит в коде и настройках (счётчики, сторонние сервисы, места хранения данных). Второе обычно требует участия разработчика, но именно оно определяет, соответствует ли документ реальности.

Логичный порядок такой: сначала зафиксировать факты и собрать полную картину, затем по каждому пункту решить, что менять — настройки сайта или формулировки документов. Переписывать документ «под факт» без оценки риска не стоит: если данные уходят за рубеж, вопрос не закрывается одной формулировкой.

Дальше правки идут по очерёдности: сначала то, что касается посетителя и заметно при проверке, затем внутренние документы, распределение ответственности и порядок работы с обращениями.