8 499 938-65-20
Мы — ваш онлайн-юрист 👨🏻‍⚖️
Объясним пошагово, что делать в вашей ситуации. Разработаем документы и ответим на любой вопрос, даже самый маленький.

Все это — онлайн, с заботой о вас и по отличным ценам.
900 ₽
Вопрос решен

Какие документы нужны в рамках политики обработки перс данных в международном интернет-магазине?

Мы открываем международный интернет-магазин цифровых товаров (лекала одежды)

Форма ИП без сотрудников

Клиенты проходят регистрацию, покупку на сайте, данных храним в crm Битрикс

Какой пакет документов нужен в рамках этого вопроса?

Только политика обработки перс данных? Политика конфиденциальности тоже нужна?

Какие внутренние локальные акты нужны об обработке перс данных?

Надо ли все-таки регистрироваться как ОПД?

В течение какого срока роскомнадзор регистрирует как ОПД и где это посмотреть?.

Можем начинать работу с момента отправки заявления роскомнадзора или надо ждать, пока он зарегистриурет как опд?

Что еще надо учесть по этому вопросу?

Как учесть международные требования?

Показать полностью
, Юля Кондрашова, г. Москва
Юрий Колковский
Юрий Колковский
Юрист, г. Екатеринбург
9.5 рейтинг
Эксперт
Клиенты проходят регистрацию, покупку на сайте, данных храним в crm Битрикс

Юля

Здравствуйте. А какие именно данные Вы получаете от клиентов? Согласно положениям ст. 3 Закона о ПД

персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Так что далеко не все данные могут быть признаны таковыми.

Только политика обработки перс данных? Политика конфиденциальности тоже нужна?

Какие внутренние локальные акты нужны об обработке перс данных?

Юля

Ели действительно получаете ПД, то да, можно отдельное Согласие на обработку ПД, можно в Пользовательском соглашении блок включить. Внутренние локальные акты это как раз положение о конфиденциальности.

Надо ли все-таки регистрироваться как ОПД?

Юля

Если собираете/обрабатываете — тогда да.

В течение какого срока роскомнадзор регистрирует как ОПД и где это посмотреть?

Юля

Регистрация оператора персональных данных на сайте Роскомнадзора осуществляется в 30-дневный срок. Там же можно посмотреть процедуру.

Можем начинать работу с момента отправки заявления роскомнадзора или надо ждать, пока он зарегистриурет как опд?

Юля

Считаю, что поскольку характер уведомительный, то можно начинать. Но следует иметь в виду, что может быть запрошена дополнительная информация, если представленных сведений окажется недостаточно.

Что еще надо учесть по этому вопросу?

Как учесть международные требования?

Юля

Если речь идет о международных требованиях, то в первую очередь это правила обработки персональных данных, установленные общим регламентом по защите данных (регламент ЕС 2016/679) от 27 апреля 2016 года, или GDPR — General Data Protection Regulation.

0
0
0
0
Юля Кондрашова
Юля Кондрашова
Клиент, г. Москва

Ваш коллега ниже в комментариях говорит, что не надо регистрироваться как ОПД, а вы говорите, что надо, как верно?

Если персональные данные получены Вами в связи с заключением договора с обладателем ПД и Вы их не распространяете, не предоставляете третьим лицам, и сами ПД используются Вами только для исполнения заключенного договора, тогда уведомлять РКН не нужно. Если же собираетесь их распространять или передавать третьим лицам — нужно.

0
0
0
0
Леонид Остроухов
Леонид Остроухов
Юрист, г. Москва

Добрый день.

Надо ли все-таки регистрироваться как ОПД?

Оператором Вы будете являться в любом случае, однако обязанность оператора уведомлять Роскомнадзор о начале обработки ПД установлена статьей 22 152-ФЗ, при этом указано:

2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) обрабатываемых в соответствии с трудовым законодательством;

2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных

Исходя из этого, если Вы осуществляете обработку только в целях исполнения договора и не распространяете ПД, то уведомлять Роскомнадзор не обязательно. (подтверждается Постановлением Верховного Суда РФ от 05.08.2011 N 20-АД11-3)

0
0
0
0

Юридические лица обычно составляют следующие документы:

— Политика обработки ПД
— Приказ и положение о комиссии ПД
— Перечень обрабатываемых ПД
— Согласие на обработку ПД
— Регламент рассмотрения запросов субъектов персональных данных или их представителей об обработке их персональных данных
— Журнал обращений субъектов персональных данных или их представителей об обработке их персональных данных
— Приказ о назначении ответственного за обработку ПД
— Перечень лиц осуществляющих обработку ПД
— Перечень мест хранения ПД
— Положение о внутреннем аудите ПД
— План мероприятий по защите ПД
— Обязательство о неразглашении ПД
— Перечень средств защиты информации
— Порядок доступа в помещение обработки ПД
Для ИП не все эти документы обязательны к примеру, статьей 18.1 152-ФЗ установлена обязанность назначать ответственных за обработку ПД только для юридических лиц. Так, можно выделить необходимый минимум: Политика, Перечень обрабатываемых данных, Согласие на обработку, Регламент и журнал запросов субъектов ПД, мероприятия по защите, документация об аудите соответствия закону и целям обработки ПД, в случае наличия сотрудников — ознакомление их с положениями законодательства.

Также, если Вы будете обмениваться такой информацией с иностранными контрагентами то следует руководствоваться нормами о трансграничной передаче персональных данных.

0
0
0
0
Юля Кондрашова
Юля Кондрашова
Клиент, г. Москва

Мы передаем эти данные в Битрикс

Дмитрий Васильев
Дмитрий Васильев
Адвокат, г. Москва
10 рейтинг
Эксперт

Добрый день.
Коллеги уже ответили на Ваш вопрос, я бы хотел в целом обозначить требования 152-фз и иных законов, касающихся обработки персональных данных.
Начну по порядку.
1. Когда нужна Политика конфиденциальности?
Политика конфиденциальности нужна во всех случаях, когда Вы собираете с пользователей сайта персональные данные.
То есть если у Вас на сайте есть только форма обратной связи, где указывается электронная почта и больше ничего – Вы не обрабатываете персональные данные, поскольку только по адресу электронной почты невозможно идентифицировать человека.
Если же Вы собираете ФИО и e-mail, то значит Вы обрабатываете персональные данные.
По факту Политика конфиденциальности нужна практически всегда за очень редкими исключениями.
2. Какие документы должны быть размещены на сайте?
Перечень документов, которые Вы должны разместить на сайте выглядит следующим образом:
2.1. Политика конфиденциальности (она же Политика обработки персональных данных, она же Политика в отношении обработки персональных данных).
2.2. Пользовательское соглашение (оно же Лицензионное соглашение, оно же Договор-оферта и оно же Публичная оферта). Все зависит от того, что за сайт.
Общая цель Пользовательского соглашения – расписать условия предоставления доступа к сервису и/или условия продажи товаров/услуг.
Пользовательское соглашение должно включать в себя:
— предмет договора,
— права и обязанности сторон,
— порядок расчетов,
— порядок разрешения споров,
— условия, ограничивающие Вашу ответственность (настолько, насколько это позволяет закон, частая ошибка – вопросам ответственности в Пользовательском соглашении уделяют мало внимания и возвращаются к ним только после того, как столкнутся с конкретной претензией от клиента или еще хуже с судебным иском. Я всегда рекомендую все риски (настолько насколько это позволяет закон) закрывать изначально при подготовке документации).
— условие о договорной подсудности по месту Вашего нахождения (кстати в способе описания условия о договорной подсудности очень часто допускаются ошибки, и суды потом признают пункт о договорной подсудности не согласованным, если хотите, чтобы в случае судебного спора, спор был по месту Вашего нахождения (не во всех случаях применимо), то нужно к описанию этого пункта подойти максимально ответственно и с учетом судебной практики).
Политику конфиденциальности и Пользовательское соглашение можно объединить в один документ, но лично я рекомендую иметь 2 отдельных документа, поскольку мне лично уже приходилось сталкиваться с тем, что Роскомнадзор при проверке сайта просто не разглядел положения про персональные данные в Пользовательском соглашении и повесил штраф.
И хотя это дело мы успешно оспорили, лишний раз «давать повод» для претензий я не рекомендую, лучше перестраховаться.  
Кроме того, если делать нормальную качественную политику конфиденциальности, то она получится не на 1 и не на 2 страницы, не говоря уже о пользовательском соглашении и если все совмещать, то Пользовательское соглашение получится раздутым, что не очень удобно.
При этом не стоит забывать, что на Вас лежит обязанность по доведению до клиентов всей необходимой информации о реализуемых товарах/услугах и для целей выполнения этой обязанности делать плохо читаемые раздутые и неструктурированные документы не самая лучшая идея (например, по банкам есть судебная практика когда суды не признают юридическую силу написанного в документах мелким шрифтом, мол нельзя в таком виде доводить информацию до клиентов — здесь может быть применена та же логика).
3. Как составить Политику конфиденциальности?
К Политике конфиденциальности есть следующие требования, а именно Политика конфиденциальности должна в себя включать:
3.1. Перечень персональных данных, которые Вы обрабатываете.
3.2. Сведения о способах обработки персональных данных.
3.3. Должно быть прописано, что, проставляя галочку о согласии с политикой конфиденциальности, Пользователь тем самым дает свое согласие на обработку его персональных данных, указанных в Политике конфиденциальности.
3.4. Цели использования персональных данных.
3.5. Принципы обработки персональных данных, которыми Вы руководствуетесь.
3.6. Меры, применяемые для защиты персональных данных.
3.7. Очень важный момент, про который многие забывают – если в процессе использования персональных данных, эти данные становятся доступны третьим лицам, в том числе в автоматическом режиме, например, лицам, которые просто помогают Вам в управлении сайтом, маркетинговому партнеру и т.д., то об этом обязательно (!) должно быть указано в политике.
Это частая ошибка, которая приводит к тому, что Вам могут вменить незаконное разглашение персональных данных, несмотря на то, что Вы даже не думали ничего не нарушать. С этим мне неоднократно приходилось сталкиваться лично, Роскомнадзор за это активно штрафует.
3.8. В политику конфиденциальности нужно обязательно включить положение о том, что Вы вправе в любой момент изменить условия политики конфиденциальности в одностороннем порядке.
3.9. Еще важно прописать, что проставлением отметки Пользователь подтверждает, что он согласен со всеми условиями Политики конфиденциальности, что положения ему ясны и т.д.
3.10. Также в Политике отдельное внимание должно быть уделено файлам cookie, про это тоже часто забывают.
Это самый общий ряд требований, при этом стоит отметить, что каждый пункт должен быть сформулирован грамотно и должен учитывать конкретно Ваши нюансы. 
4. Помимо требований к содержанию документов, к самому сайту есть следующие требования:
4.1. На сайте на всех формах обратной связи, через которые может быть осуществлена передача персональных данных, должно быть окошечко, в котором Пользователи проставляют отметку о согласии с политикой конфиденциальности и пользовательским соглашением.
Частая ошибка – делается политика конфиденциальности, а в окошечке Пользователь просто дает согласие с «обработкой персональных данных», а не с условиями Политики конфиденциальности и как следствие в этом случае у Вас не будет подтверждения, что Пользователь согласился соблюдать условия политики конфиденциальности.
4.2. Без проставления отметки о согласии с политикой конфиденциальности и пользовательским соглашением Пользователь не должен иметь возможности отправить Вам свои персональные данные.
Это касается в том числе случаев, если он Вам передает только имя, номер телефона или адрес электронной почты (это все относится к персональным данным – ст. 3 152-ФЗ).
5. Если у Вас есть работники, то помимо указанных выше пунктов, должны быть выполнены следующие требования:
5.1. Должно быть принято и утверждено Приказом Положение об обработке персональных данных (можно объединить с Положением о коммерческой тайне).
К Положению об обработке персональных данных следующие требования:
5.1.1. Информацию о том, какие данные сотрудников обрабатываются.
5.1.2. Цели обработки персональных данных.
5.1.3. Порядок ознакомления сотрудников компании с положением.
5.1.4. Порядок и сроки уведомления работниками работодателя об изменении своих персональных данных.
5.1.5. Меры по защите персональных данных.
5.1.6. Порядок доступа отдельных работников к персональных данным сотрудников компании.
5.1.7. Порядок хранения персональных данных.
5.1.8. Условия предоставления третьим лицам персональных данных сотрудников компании.
Данное положение представляет собой локальный нормативный акт работодателя (ст. 8 Трудового кодекса РФ) и к нему применяются соответствующие требования, в частности:
— Положение об обработке персональных данных должно быть утверждено приказом единоличного исполнительного органа (директора) компании или самим ИП.
— Работники должны быть ознакомлены под роспись с содержанием Положения об обработке персональных данных (п.6 ч.1 ст. 18.1 152-ФЗ).
5.2. Помимо приказа об утверждении Положения, регулирующего вопросы обработки персональных данных, у Вас должен быть принят приказ о назначении ответственного за обработку персональных данных (ст. 22.1 ФЗ № 152-ФЗ).
Чаще всего им выступает сам директор компании, но это не обязательно. Каких-либо специфичных требований к приказу здесь нет, требования к нему такие же, как и к любому другому внутреннему приказу.
5.3. Вы должны направить уведомление в Роскомнадзор об обработке персональных данных (не путать с регистрацией в Роскомнадзоре).
Уведомление в Роскомнадзор должно быть направлено в двух формах:
— по онлайн форме — https://pd.rkn.gov.ru/operators-registry/notification/form/
— в письменном виде по обычной почте в Управление Роскомнадзора. 
Частая ошибка – люди считают, что они подпадают под исключение и им не нужно направлять уведомление в Роскомнадзор.
С точки зрения закона действительно далеко не все компании должны направлять уведомление в РКН.
Например, если Вы обрабатываете персональные данные только своих контрагентов по договорам, то у Вас нет обязанности по направлению уведомления в Роскомнадзор (это лишь один пример, исключений больше).
Однако на сегодняшний день позиция Роскомнадзора такова, что уведомление нужно направлять почти всегда, поскольку практически всегда компании помимо обработки данных, которые подпадают под исключение о необходимости направления уведомления, также допускают иные формы обработки персональных данных.
Например, если Вы храните персональные данные потенциальных или бывших клиентов (в маркетинговых, рекламных или иных целях) – то это не подпадает под исключение, так как у Вас с ними нет действующего договора.
Как правило, все хранят данные о тех клиентах, которые обратились, но с которыми еще не заключили договор или с которыми у Вас уже закончились договорные отношения. В любом случае с точки зрения закона Вы уже не подпадаете под исключение и как следствие должны направить уведомление в Роскомнадзор по указанной выше форме.
6. Приведенные выше требования касаются ситуации, когда Вы обрабатываете данные граждан РФ в соответствии со 152-ФЗ.
Если Сервис ориентирован также на международный рынок, на европейских клиентов или клиентов из США, то возникают дополнительные требования.
Особое внимание следует в этом случае обратить на Регламент №2016/679 Европейского парламента и Совета Европейского Союза «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» General Data Protection Regulation (GDPR).
Описывать его требования в данном случае я думаю не совсем уместно, так как это тема отдельного полноценного разговора, но суть в том, что если Вы ориентированы на европейский рынок, то Ваша политика конфиденциальности должна быть составлена в соответствии со всеми требованиями GDPR.
В отношении других стран следует обратить внимание на местное законодательство, в частности, для работы с гражданами США, например, следует учесть требования Children's Online Privacy Protection Act (COPPA), PIPEDA, Enhancing Privacy Protection и других правовых актов, касающихся обработки персональных данных 
В целом нюансов и требований в части иностранного законодательства много, но их следует прорабатывать индивидуально и смотреть на кого ориентирован сервис.
7. Еще частая ошибка — хранение персональных данных граждан РФ на зарубежных сервисах, что запрещено законом (ст. 18 152-ФЗ). Хранить персональные данные граждан РФ можно только на российских серверах.
8. За нарушение закона о персональных данных Вам грозит следующая ответственность:
8.1. Ответственность по ст. 13.11 КоАП РФ (большой перечень видов нарушений, всего 7 частей в данной статье).
Каждое нарушение рассматривается отдельно и наказание за каждое нарушение также назначается отдельно, максимальный размер штрафа на текущий момент – 500000 руб.
8.2. За нарушение обязанности по хранению и использованию персональных данных работников грозит ответственность по ст. 5.27 КоАП. Здесь помимо штрафа уже предусмотрено административное приостановление деятельности на срок до 90 суток. 
8.3. Непредставление в органы Роскомнадзора уведомления об обработке персональных данных влечет ответственность по ст. 19.7 КоАП РФ. 
8.4. Также Роскомнадзор неоднократно обращал внимание, что существует уголовная ответственность за нарушение неприкосновенности частной жизни – ст. 137 УК РФ.
Стоит отметить, что в целом это основной набор требований по 152-ФЗ, однако не стоит забывать, что в зависимости от ситуации список требований может расширяться или наоборот сужаться.
Стоит учитывать, что «требование о наличии на сайте политики конфиденциальности» не значит, что достаточно скачать с интернета первую попавшуюся бумажку с названием «Политика конфиденциальности». Наличие формальной бумажки на сайте с названием «политика конфиденциальности» не имеет ничего общего с выполнением требований законодательства об обработке персональных данных.
Если Вам потребуется помощь в подготовке Пакета документов по персональным данным для сайта, мобильного приложения или для иных целей — Вы всегда можете обратиться ко мне в чат и получить помощь в решении своих вопросов (для этого Вам нужно нажать на кнопку «ОБЩАТЬСЯ В ЧАТЕ» на странице моего профиля — pravoved.ru/lawyer/362... (можно перейти по ссылке или нажав на мою фотографию)).
С Уважением,
Васильев Дмитрий.

0
0
0
0

Обращаю внимание, что на текущий момент в отношении КАЖДОГО действует СПЕЦИАЛЬНОЕ ПРЕДЛОЖЕНИЕ по вопросам работы с персональными данными. Чтобы получить предложение, Вам нужно ОБРАТИТЬСЯ КО МНЕ В ЧАТ, а именно:
1. Нажать на кнопку «ОБЩАТЬСЯ В ЧАТЕ» НА СТРАНИЦЕ МОЕГО ПРОФИЛЯ — https://pravoved.ru/lawyer/362127/ (можно перейти по ссылке или нажав на мою фотографию).



2. Описать свою ситуацию мне лично.
В рамках бесплатного предложения, Вы можете бесплатно получить информацию о ТОП 5 ОШИБОК при оформлении документов для сайта/мобильного приложения в сфере персональных данных (152-ФЗ, General Data Protection Regulation, Children's Online Privacy Protection Act и т.д.).
Также обратившись ко мне в чат, АБСОЛЮТНО ЛЮБОЙ может получить:
1. Устную или письменную консультацию по любым вопросам обработки персональных данных, в том числе по требованиям законодательства РФ, европейского, американского и международного законодательства в сфере персональных данных.
2. Помощь в проведении аудита Вашего сайта/мобильного приложения на предмет соответствия требованиям законодательства о персональных данных.
3. Помощь в подготовке полного пакета документов по персональным данным, в том числе следующих документов:
3.1. Политика конфиденциальности (она же политика обработки персональных данных) для сайта/мобильного приложения.
3.2. Пользовательское соглашение (оно же договор-оферта и оно же лицензионное соглашение) для Вашего сайта/мобильного приложения.
3.3. Уведомление в Роскомнадзор об обработке персональных данных. 
3.4. Положение об обработке персональных данных у ИП/ООО.
3.5. Форма приказа об утверждении положения о персональных данных.
3.6. Форма приказа о назначении ответственного за обработку персональных данных.
3.7. Инструкция ответственного за обработку персональных данных.
 

0
0
0
0
Похожие вопросы
Лицензирование
Здравствуйте, хотелось бы открыть магазин обуви, с копиями известных брендов таких как: adidas, nike и так далее, законно ли это и если да, то какие документы нужны
Здравствуйте, хотелось бы открыть магазин обуви,с копиями известных брендов таких как: adidas,nike и так далее, законно ли это и если да,то какие документы нужны
, вопрос №3088794, Анатолий, г. Москва
Лицензирование
Ассортимент 30-40 позиций Интересует, какие документы нужны?
Добрый день, Сейчас у нас семейный бизнес на дому (производство домашних полуфабрикатов) Юридически не оформлены Хотим организовать маленький цех, реализация у нас через интернет и только частным лицам, реализация юр. лицам не планируем. Ассортимент 30-40 позиций Интересует, какие документы нужны?
, вопрос №3121458, Василий, г. Москва
Административное право
На какие пункты федерального закона об обработке персональных данных, можно опираться, чтобы можно было обрабатывать следующие данные: фамилия инициалы, цель визита
Добрый день! Интересует следующий вопрос, в школе скоро будет проверка по персональным данным. На какие пункты федерального закона об обработке персональных данных, можно опираться, чтобы можно было обрабатывать следующие данные: фамилия инициалы, цель визита. Данный регламент прохода в учреждения зафиксирован локальным актом по школе, о пропускном режиме. При проходе в здание, посетитель должен предъявить документ удостоверяющий личность , при этом записываются следующие данные: фамилия инициалы, цель визита. Имеем ли мы право собирать данные сведения с посетителя и на какие пункты можно опираться. Все эти мероприятия проводятся с целью обеспечения безопасности, по постановлению правительства 1006 (антитеррористическая защищённость образовательного учреждения).
, вопрос №3137540, Дмитрий, г. Самара
Предпринимательское право
Хотелось бы узнать какие документы нужны для открытия магазина одежды?
Хотелось бы узнать какие документы нужны для открытия магазина одежды?
, вопрос №3204697, Ислам, г. Москва
Предпринимательское право
Какие документы нужны для правильного оформления отношений между интернет-магазином и клиентом, вплость до акта-передачи
Какие документы нужны для правильного оформления отношений между интернет-магазином и клиентом, вплость до акта-передачи
, вопрос №3318042, Сергей, г. Новосибирск
Дата обновления страницы 29.06.2021