Положение и политика обработки ПДн: чем отличаются и что публиковать на сайте

Политика и положение — документы с разными задачами

Названия похожи, и в переписке их часто используют как взаимозаменяемые. На практике у документов разные адресаты и разные функции: политика адресована посетителям и клиентам, положение — сотрудникам и подразделениям компании.

Политика обработки персональных данных — публичный документ. Он объясняет человеку, чьи данные попадают на сайт, что с этими данными происходит: зачем их собирают, на каком основании, кому передают, сколько хранят и как реализовать свои права. Закон о персональных данных требует, чтобы такой документ был опубликован и доступен для чтения.

Положение об обработке и защите персональных данных — внутренний локальный акт оператора. В нём распределяют обязанности, описывают порядок доступа к данным, перечень информационных систем и меры защиты. Для компании это полезный рабочий документ, но он не рассчитан на внешнего читателя и не отвечает на вопросы посетителя сайта.

Как понять, что на сайте лежит не тот документ

Частая картина: ссылка в футере есть, документ открывается, но написан он для внутреннего пользования. Это видно при обычном чтении — по нескольким признакам.

Ещё один признак — расхождение с самим сайтом. Текст может быть написан правильно, но не совпадать с тем, что происходит в реальности: формы собирают больше данных, чем перечислено, аналитика и cookie-файлы запускаются до согласия, а данные уходят сервисам, о которых в документе не сказано ни слова.

• Текст говорит о сотрудниках, отделах, приказах и внутреннем контроле, а не о посетителях сайта.
• Не указано, кто оператор: нет наименования, реквизитов и контактов для обращений.
• Не перечислены цели обработки и категории данных, которые собирает сайт.
• Нет описания прав человека и порядка обращения к оператору.
• Документ выглядит как копия: упомянуты чужие сервисы, формы или разделы, которых на сайте нет.
• Нет даты и версии документа, поэтому невозможно понять, актуален ли он.

Что должно быть в политике, которую видят посетители

Политика пишется для человека, который не обязан разбираться в терминах. Важны не формулировки ради формулировок, а ответы на бытовые вопросы: кто собирает данные, зачем, что будет с ними дальше и как это остановить или отозвать.

Обычно документ закрывает несколько блоков: кто оператор и как с ним связаться; какие данные и для каких целей обрабатываются; на каком основании; как именно идёт обработка; кому и куда данные передаются; сколько хранятся; какие права есть у человека и как их реализовать.

Передача данных за пределы страны заслуживает отдельного абзаца. Если сайт использует иностранные сервисы аналитики, шрифтов, карт или авторизации, в документе стоит честно описать, что данные могут уходить за границу. Сама такая передача не запрещена, но у неё есть свои условия и отдельное уведомление регулятора, которое подаётся до начала передачи.

Дата и версия документа полезны и вам, и посетителю. Когда текст обновляется вслед за сайтом — появляется новая форма, подключается новый сервис, меняются цели обработки, — видно, что политика живая, а не скачанная однажды.

Документ на сайте не отменяет вопросов к самому сайту

Опубликованная политика закрывает только часть темы. Она описывает намерения оператора, но не показывает, что сайт делает на самом деле. Поэтому смотреть нужно на две вещи одновременно: на текст документа и на поведение сайта.

Проверка начинается с чистой сессии, до любого согласия. Так видно, стартуют ли трекеры раньше, чем человек нажал «принять», есть ли в cookie-баннере равнозначный отказ и настройка категорий, какие запросы уходят на внешние домены и какие данные получают иностранные сервисы.

Отдельно стоит посмотреть на формы и на вход на сайт. Форма может собирать данные без согласия или со ссылкой на документ, который совсем не про это. Авторизация через иностранный сервис — ещё один сценарий, который требует внимания, потому что за ним стоит отдельная передача данных.

Здесь помогает проверка сайта в Dobrolex: она фиксирует, какие данные собираются, куда уходят и где возникают правовые риски по 152-ФЗ и 38-ФЗ.

Как проверить свой сайт и документы за один проход

Начните с футера и политики: открывается ли ссылка без входа, есть ли в тексте реквизиты оператора и дата. Затем прочитайте документ глазами посетителя и отметьте места, где непонятно, кто и зачем собирает данные.

Дальше — сам сайт. Откройте его в режиме инкогнито, посмотрите, что происходит до согласия, проверьте cookie-баннер и формы. Сравните увиденное с тем, что обещает политика: расхождения и есть ваш список задач.

Если расхождений много или непонятно, как их квалифицировать, удобнее разбирать их по отчёту: в нём каждый факт связан с нормой, указана серьёзность эпизода и дана очерёдность исправлений. Такой отчёт в Dobrolex готовится по публичным страницам сайта, без входа в аккаунт и отправки форм.

Стоит помнить о пределах: проверяются только публичные страницы, сетевой обмен фиксируется как технический сигнал, а не как доказательство, и заключение не заменяет консультацию юриста. Если эпизодов не найдено, это значит лишь, что на осмотренных страницах признаков нарушений нет — закрытые разделы и внутренние процессы остаются вне проверки.