Полная инструкция: как самозанятым и ИП соблюдать Закон о персональных данных и «не попасть» на 50 базовых штрафа

В Беларуси сферу личных данных взяли под строгий контроль. Несколько лет назад был принят Закон № 99-З «О защите персональных данных». Появилась и организация, которая следит за соблюдением этого Закона – Национальный центр защиты персональных данных (НЦЗПД). Его сотрудники мониторят поведение так называемых операторов персональных данных.

Как разъясняет Центр, таким оператором считается и физлицо, которое обрабатывает персональные данные в связи со своей профессиональной или предпринимательской деятельностью. В том числе:

• ИП,
• самозанятые (плательщики НПД, ремесленники, нотариусы, адвокаты и т.д.).

Если вы относитесь к ним или планируете своё дело, точно читайте дальше и сохраняйте в закладки. 

Какие данные относятся к персональным?

Персональные данные — это не только ФИО, адрес и номер паспорта человека. В Законе понятие описано гораздо шире.

Это любая информация, позволяющая прямо или косвенно определить личность человека. В том числе,

• сведения о семье,
• трудовой деятельности,
• образовании,
• медицинские, биометрические данные и др.

На основании этой информации мы можем узнать ФИО соответствующего лица.

Какие персональные данные могут попасть к ИП или самозанятому, как продавцу товаров или услуг:

• местонахождение (через адрес доставки);
• контактные данные (номер телефона, адрес электронной почты, данные аккаунтов в соцсетях, мессенджерах);
• уникальный идентификатор клиента в CRM-системе;
• история заказов, информация об участии в программе лояльности, акциях, розыгрышах и т.д.;
• номер банковской платежной карточки и иные реквизиты, сведения о платежах;
• сведения об устройстве и браузере, IP-адрес;
• онлайн-активность (история посещения сайтов, поисковых запросов, переписка в сети, файлы cookie и другие).

Какие действия считаются обработкой персональных данных?

Многие предприниматели ошибочно считают, что не работают с персональными данными. А на самом деле, обработка персональных данных - любое действие, которое совершается с информацией о человеке: сбор, систематизация, хранение, изменение, использование, предоставление, удаление персональных данных.

Вот примеры обработки данных клиентов на сайте или через сайт:

• форма обратной связи;
• подписки на рассылку;
• регистрация на сайте;
• указание клиентом адреса доставки;
• подключение клиента к программе лояльности;
• рекламные игры, акции;
• проведение онлайн-платежей через сайт;
• пересылка сканов документов (например, свидетельство о рождении ребенка для онлайн-курсов, результатов медицинских анализов для консультации у диетолога);
• публикация отзывов клиентов (покупателей), в том числе, фото, видеоотзывы с изображением человека.

Во всех этих случаях оператор, то есть, предприниматель, обязан получить согласие от клиента на обработку его персональных данных.

Что такое Политика конфиденциальности и зачем она нужна

Это документ, который должен находиться в открытом доступе на сайте, например, в формате .pdf, чтобы любой покупатель/заказчик мог ознакомиться с ним.

Политика конфиденциальности нужна, чтобы объяснить пользователю, кто, какую информацию о нем собирает и зачем.

Документ составляется в произвольной форме, но вот что он должен содержать обязательно:

1. сведения об операторе (ФИО или наименование, адрес и контактные данные);
2. цели обработки персональных данных (например, для обработки заказов, для отправления информации об акциях и т.д);
3. перечень персональных данных, на обработку которых дает согласие пользователь. Используйте только те данные, которые реально нужны для взаимодействия. Избыточные требования могут стать поводом для жалобы клиента.
4. перечень действий и способы обработки персональных данных. В этой части оператор рассказывает, как он будет обращаться с данными пользователей: собирать их, обрабатывать, хранить, уничтожать.
5. сроки обработки и хранения данных.
6. права пользователя, возможность отзыва согласия на использование данных.

Стоит разместить Политику на видном месте на вашем сайте:

• на уровне не ниже второго экрана (одна прокрутка мышкой вниз),
•  или на главной странице сайта,
• или на странице, доступной с главной.

Часто этот документ «вешают» в подвале (футере) сайта, чтобы человек на любой странице мог его найти.

Как получить согласие лица на обработку персональных данных на сайте?

1. Через проставление «галочки» на форме согласия. Она заполняется при регистрации на сайте, оформлении заявки, создании личного кабинета. При этом нужно, чтобы согласие было «свободным, информированным и однозначным».
2. Путем введения кода, полученного в СМС-сообщении или в письме на электронную почту. Например, покупатель заполняет анкету на сайте интернет-магазина. Чтобы завершить регистрацию, он должен ввести код из СМС в специальное окно. Это и будет его согласием на обработку персональных данных.
3. Другими способами, позволяющими установить факт получения согласия субъекта персональных данных.

Нужно ли запрашивать согласие на обработку файлов cookies?

Сайты собирают, обрабатывают и хранят информацию о нашем пользовательском поведении. Эти сведения бизнес использует для анализа предпочтений и покупательской способности клиентов, а помогают в этом cookie-файлы.

Сookie (обычно их так и называют - куки) — это небольшие текстовые файлы, сгенерированные сайтами. В них записана информация о посещении сайта. У каждого сайта свой набор cookie. Вот сколько всего интересного (и личного) они могут рассказать:

• индивидуальные настройки формата работы с сайтом (язык, город, масштаб страницы). 
• логин и пароль.
• личные данные пользователя. Сайт может хранить номера телефонов, паспортные данные, адреса, платёжные данные. Эти данные автоматически проставляются при повторных покупках или заказах услуг на сайте.
• данные об устройстве, с которого вы зашли на сайт. Используются для оптимизации работы ресурса.
•  перемещение по сайту или клики на баннеры с рекламой
• потребительские предпочтения, то есть, какие товары и услуги вам приглянулись. 

Словом, сookie-файлы тоже содержат персональные данные и на них распространяется Закон о защите ПД. Национальный центр защиты персональных данных рекомендует, чтобы в отношении сookies на сайте присутствовало два элемента:

• отдельный всплывающий баннер, предусматривающий согласие на обработку cookies-файлов. 
• политика обработки cookie в открытом доступе. В ней владелец сайта должен четко описать, какие именно сведения собираются посредством cookie, для каких целей, как хранятся и передаются ли эти данные третьим лицам.

Баннер для согласия на обработку «кукис» должен быть правильно оформлен. На основе мониторинга белорусских сайтов проверяющие составили рейтинг основных ошибок при создании этих баннеров:

• отсутствие кнопки для отказа. А нужно, чтобы вместе с кнопкой «согласиться» баннер содержал кнопку «отклонить».
• если cookie-файлы обрабатываются для нескольких самостоятельных целей (например, рекламных и статистических) необходимо предоставлять возможность согласиться/отказаться от каждой из них. Действует принцип «одна цель – одно согласие».
• кнопка отказа от обработки трудно различима, появляется на cookie-баннере спустя время (например, через 10 секунд). А должна быть четкой и понятной.
• пользователя информируют о неблагоприятных для него последствиях в случае отказа (например, недоступность интернет-ресурса либо его ключевых функций, которые на самом деле не зависят от обработки cookie).
• сookie-баннер содержит кнопки, которые позволяют согласиться или отказаться от сбора сookie-файлов, но отсутствует политика сookie.

Где взять образцы документов?

На сайте Национального центра по защите персональных данных. В разделе «Портфель оператора» представлены рекомендации и примеры Политик, в том числе, по обработке персональных данных и файлов cookies.

Лайфхак: можно подсмотреть положения об обработке персональных данных на сайтах других предпринимателей, которые работают с вами в одной сфере, и позаимствовать важные нюансы в свою Политику.

Как находят нарушения Закона о персональных данных?

Для этого проводят плановые, внеплановые и камеральные проверки. 

Плановые проверки одного и того же оператора (уполномоченного лица) проводятся с периодичностью не чаще одного раза в два года. Причиной проверки может быть жалоба покупателей, пользователей.

Чаще всего жалуются на:

• публикацию фотографий без их согласия в интернете;
•  интернет-магазины и другие организации торговли, которые совершают рассылки и звонки о товарах и акциях без получения согласия клиентов;
•  избыточную обработку данных при реализации программ лояльности (например, сбор копий документов, запрос данных о членах семьи).

Так что обратить на себя внимание может даже неприметный интернет-ресурс ИП или самозанятого.

Реальный пример. Две девушки пожаловались в Национальный центр защиты персональных данных на ИП, который незаконно распространял их персональные данные на своем сайте. Госорган вынес требование удалить эти сведения. Сотрудники Центра также обратили внимание на незаконную деятельность ИП в сфере информационных технологий, которую тот рекламировал на своем сайте. Эта деятельность, по их оценкам, содержала признаки противоправности. Центр передал данные в органы внутренних дел. В результате в отношении ИП возбудили уголовное дело.

Что будет, если не соблюдать Закон о персональных данных?

В КоАП предусмотрена отдельная статья 23.7 «Нарушение законодательства о защите персональных данных». За умышленные незаконные сбор, обработку, хранение или предоставление персональных данных физического лица либо нарушение его прав, связанных с обработкой персональных данных, грозит штраф до 50 БВ.

Также есть санкции, если физлицо, ИП и юрлицо не обеспечили соблюдение мер защиты персональных данных:

• от 2 до 10 базовых величин для физлица,
• от 10 до 25 базовых величин на ИП, 
• от 20 до 50 базовых величин на юрлицо.

Как показывает практика, наказания в виде штрафов – редкость. Чаще всего, если Центр находит нарушения, то предпринимателю направляют предписания исправить недочеты. Если нарушитель игнорирует предписание, то НЦЗПД вправе приостановить или прекратить обработку персональных данных на ресурсе на срок до 6 месяцев. Т.е. может быть приостановлена или работа сайта в целом или отдельных его частей – личного кабинета, формы заявки и др. Правда, в 2024 г. такая мера была предпринята только в отношении 1 оператора.

*Перепечатка материалов NOW без ссылки на первоисточник запрещена.