Как интернет-магазину хранить персональные данные и избежать штрафов

10 сентября Госдума подписала новый законопроект о повышении штрафов для eCommerce за нарушение правил хранения личных данных. О том, кому и чем это грозит и как хранить данные покупателей законно, рассказываем в статье.

Что относится к личным данным?

По закону 152-ФЗ к ним относятся:

• ФИО покупателя полностью;
• любые данные паспорта покупателя;
• точный адрес проживания;
• финансовое положение;
• информация об образовании;
• его профессия;
• биометрические персональные данные.

При этом закон не предусматривает проверки подлинности данных. Принимая и обрабатывая их, вы не можете узнать, действительно ли введенная информация относится к конкретному покупателю. Всегда есть вероятность того, что он их выдумал. Но и этот факт не освобождает интернет-магазин от ответственности.

Кто относится к операторам персональных данных?

К операторам персональных данных относятся компании, которые:

• собирают персональные данные субъектов;
• предоставляют им возможность заполнить анкету, пройти регистрацию и создать личный кабинет на своем сайте;
• разместили на сайте форму обратной связи и кнопку обратного звонка;
• предоставляют возможность разместить объявление на сайте.

Интернет-магазин нельзя представить без всего вышеописанного. В противном случае он просто не сможет приносить прибыль: каждый из пунктов имеет свое важное значение для привлечения покупателей и создания удобного, быстрого сервиса.

Однако, статус оператора личных данных для компании определяется средствами (софт и технические средства), которые она использует в своей работе. Интернет-магазин не может считаться оператором личных данных покупателей только в том случае, если не получает, не хранит и не занимается их обработкой.

Как интернет-магазину избежать проблем при хранении личных данных покупателей?

По закону «О персональных данных» интернет-магазин может обрабатывать личные данные покупателя без его согласия в том случае, если он подписал договор о получении товаров и услуг. При этом важно учесть следующее: подписание договора для вашего покупателя должно строго предшествовать приему личных данных интернет-магазином.

Чтобы осуществить это, интернет-магазину необходимо разбить публичную оферту на три отдельных документа:

1. Пользовательское соглашение. В нем должны быть указаны:

• условия использования вашего сайта;
• способы защиты прав на ваш сайт;
• полная информация о рассылках рекламы и уведомлений;
• ответственность, которую несет владелец компании перед покупателем;
• порядок урегулирования споров.

2. Публичная оферта на онлайн-торговлю. Этот документ описывает порядок заключения договора купли-продажи между компанией и покупателем.

3. Политика конфиденциальности. Здесь, как правило, указывается порядок обработки ПД интернет-магазином. Документ включает:

• информацию, которую собирает, хранит и обрабатывает сайт (полный перечень);
• цели сбора личных данных покупателей;
• требования к защите личных данных;
• оповещение о том, что пользователь может менять свои персональные данные.

Чтобы пользователь не смог отправить свои личные данные без предварительного согласия на их обработку, расположите под всеми формами ввода данных на сайте (регистрации/обратной связи и т. д.) текст, ссылающийся на политику конфиденциальности. Поставив рядом с этим текстом галочку, пользователь получит возможность совершить целевое действие – например, пройти регистрацию или получить обратный звонок.

Укажите на сайте своего интернет-магазина электронную почту, чтобы покупатель мог в любой момент изменить свои данные, отправив на нее запрос.

После того, как вы подготовили свой сайт, добавили на него необходимые документы, назначили ответственных за защиту персональных данных и проверили все регламенты, необходимо зарегистрироваться на сайте Роскомнадзора как оператор персональных данных. Такая регистрация носит уведомительный характер.

Что еще важно знать о хранении личных данных

В соответствии с п. 4 ст. 12 152-ФЗ хранить личные данные покупателей отечественным интернет-магазинам можно только на территории Российской Федерации, даже если это облачное хранилище. Делать это можно двумя способами:

1. Самостоятельно (в собственных базах на электронных или бумажных носителях)

Этот вариант подходит для начинающих, небольших интернет-магазинов. В таком случае их обработка (ведение информационной системы) вручную не займет у предпринимателя много времени.

2. Купить сервер

Такой способ подойдет развивающимся, средним и крупным компаниям. Партнер (хостинг или компания) сделает всю работу за вас.

Какие штрафы предусмотрены за нарушение закона о хранении персональных данных в России?

Наказание за сбор, хранение и обработку персональных данных россиян без регистрации компании в Роскомнадзоре предполагает приостановку ее деятельности сроком до 90 дней. Однако, чаще всего интернет-магазинам просто выписываются штрафы. Максимальный штраф достигнет 18 000 000 ₽.

Такой же штраф могут получить компании, занимающиеся хранением личных данных россиян за пределами РФ. Например, Facebook и Twitter в январе этого года получили штраф за нарушение требований по хранению данных россиян на территории РФ. Инициатором судебного разбирательства был Роскомнадзор. Но если раньше размер штрафа был незначителен, сейчас ситуация сильно изменилась. Помимо штрафа компании, нарушившей закон, грозит блокировка сайта на территории России.