Как проверить надежность сервиса и безопасность передачи данных?

Здравствуйте, Вар!

Обработка персональных данных в России регулируется Федеральным законом № 152-ФЗ. Любая организация, собирающая сведения о гражданах, признается оператором персональных данных и обязана соблюдать ряд требований. Проверить добросовестность сервиса можно по нескольким объективным признакам.

Прежде всего оператор обязан быть внесен в реестр операторов персональных данных, который ведет Роскомнадзор. Реестр открыт, поиск в нем ведется по наименованию организации или по идентификационному номеру налогоплательщика. Отсутствие сервиса в реестре при систематическом сборе данных указывает на нарушение.

Второй признак касается документов на сайте. По статье 18.1 Закона оператор обязан опубликовать политику обработки персональных данных в свободном доступе. В ней должны быть указаны цели обработки, перечень собираемых сведений, сроки хранения и порядок их уничтожения. Отдельно проверяется наличие реквизитов владельца сайта: полное наименование, идентификационный номер налогоплательщика, основной государственный регистрационный номер и адрес. Их отсутствие само по себе тревожный сигнал, поскольку нарушает статью 9 Закона о защите прав потребителей.

Третий признак технический. Соединение должно защищаться протоколом с шифрованием, на что указывает адрес сайта, начинающийся с https. Согласие на обработку данных должно запрашиваться отдельным действием, а не считаться данным автоматически, и объем запрашиваемых сведений должен соответствовать заявленной цели. Требование паспортных данных или банковских реквизитов там, где для услуги достаточно имени и контакта, свидетельствует об избыточном сборе.

Ваши права при этом сохраняются в полном объеме. По статье 9 Закона согласие можно отозвать в любой момент, а по статье 14 вы вправе требовать сведения о том, какие ваши данные обрабатываются, и настаивать на их уточнении либо уничтожении. Обращение подается оператору письменно, срок ответа составляет десять рабочих дней. При нарушении подается жалоба в Роскомнадзор, а за незаконную обработку предусмотрена ответственность по статье 13.11 Кодекса РФ об административных правонарушениях.

Подскажите, о каком именно сервисе идет речь и какие данные он у вас запрашивает? Также уточните, давали ли вы согласие на обработку. От этого зависит, есть ли основания для жалобы.

При необходимости помогу проверить документы конкретного сервиса и составить требование об удалении ваших данных либо жалобу в Роскомнадзор.

С уважением,
Гайворонский Александр.

Если вам помог мой ответ, вы можете выразить благодарность здесь:
pravoved.ru/pay/lawyer-reward/id/3833167/

Это займет пару секунд, но позволит мне и дальше уделять время бесплатным вопросам. Спасибо за поддержку!

Добрый день! 
Важно уточнить:«сервис работает» и «сервис собирает данные» — не взаимоисключающие варианты. Нормально работающий сервис тоже может обрабатывать персональные данные. Вопрос в том, кто их получает, для какой цели, в каком объёме и что происходит с ними дальше.

Поэтому без названия или ссылки на конкретный сервис определить его надёжность невозможно. Для предметной проверки нужны хотя бы адрес сервиса и перечень сведений, которые он просит предоставить.

Я бы проверял несколько вещей.

1. Кто стоит за сервисом. Должно быть понятно это: юридическое лицо (какое), ИП или иное лицо его предоставляет, какие у него реквизиты и документы об использовании сервиса и обработке персональных данных.

Если оператор обрабатывает персональные данные, он по общему правилу до начала обработки обязан уведомить Роскомнадзор (ст. 22 Федерального закона №152-ФЗ). При этом закон предусматривает отдельные исключения, поэтому отсутствие записи в реестре само по себе ещё не позволяет окончательно сделать вывод о незаконности сервиса.

2. Нужно сопоставить назначение сервиса с объёмом запрашиваемых данных. Если для регистрации достаточно e-mail, а сервис дополнительно требует паспорт, банковские сведения, геолокацию или доступ к контактам, нужно понимать, зачем это необходимо и соответствует ли такой сбор заявленной цели.

Наличие или отсутствие отдельной «галочки» согласия также не является универсальным критерием законности: ст. 6 Закона №152-ФЗ предусматривает несколько оснований обработки персональных данных, а не только согласие пользователя.

3. Нужно посмотреть документы самого сервиса. Если персональные данные собираются через сайт, оператор обязан обеспечить доступ к политике обработки персональных данных на соответствующих интернет-страницах. В ней фактические цели и порядок обработки должны соответствовать тому, что сервис действительно делает с данными.

Если данные вы уже передали, можно обратиться к оператору и запросить сведения, в частности:

• какие ваши персональные данные обрабатываются;
• цели и правовые основания обработки;
• источник получения данных;
• сроки их обработки и хранения;
• сведения о лицах, которым данные могут быть раскрыты, и о трансграничной передаче, если она осуществляется.

Такая возможность регламентирована ст. 14 Закона №152-ФЗ. Оператор должен предоставить соответствующую информацию в течение 10 рабочих дней, а при мотивированном уведомлении срок может быть продлён не более чем ещё на 5 рабочих дней.

Наличие https говорит о защищённом соединении между браузером и сайтом, но не подтверждает само по себе ни добросовестность владельца сервиса, ни законность дальнейшего использования полученных данных.

Если пришлёте название или ссылку на сервис и напишете, какие именно данные он запрашивает, уже можно будет проверить его предметно: владельца, документы, заявленные цели обработки и соответствие объёма собираемых сведений этим целям.