Как владельцу сайта (или мобильного приложения), который собирает персональную информацию, нужно внести свой вклад путем разработки политики конфиденциальности сайта.
В этой статье объясняется, насколько важна защита персональных данных для бизнеса, разъясняются возможные последствия и штрафы за несоблюдение политики конфиденциальности данных, за несоответствие требованиям GDPR и другим положениям о защите данных.
Что такое «Privacy policy»?
Личные данные пользователей относятся к характеристикам, чертам или атрибутам личности, которые могут использоваться для идентификации конкретного лица. Требования к защите персональных данных включают конкретные процедуры, направленные на минимизацию вмешательства в частную жизнь людей, вызванного сбором и использованием их персональных данных.
Точное определение личной информации будет варьироваться в зависимости от конкретной страны, но, как правило, оно включает следующее:
- Имена.
- Даты рождения.
- Адреса (почтовый и электронный).
- Платежные реквизиты (номера кредитных карт).
- Местоположение (IP-адрес, геолокация).
- Номера социального страхования.
В дополнение к описанию того, как компания будет использовать информацию, при составлении политики конфиденциальности, необходимо разъяснить то, как компания будет выполнять свои юридические обязательства и как лица, личные данные которых собираются, могут обратиться за помощью, если организация не выполнит эти обязанности.
При составлении политики конфиденциальности сайта либо домена необходимо опираться на законодательную базу страны или стран, которые охватывает деятельность ресурса. Данные предписания предназначены для защиты людей, пользующихся услугами сайта, и их персональных данных. Соответственно, если Вы не осведомлены о законодательных и юридических аспектах защиты персональных данных конкретной страны, запросите помощь в составлении политики конфиденциальности у профильных специалистов.
В чем важность политики конфиденциальности?
Законодательством большинства развитых стран предусмотрена защита личных данных политикой конфиденциальности. Каждый сайт, для доступа к полному функционалу которого необходим сбор индивидуальных данных пользователя и аутентификация, должен подчиняться законодательству по защите данных. Специальные политики защиты информации и персональных данных Европейского Союза, Америки и Австралии имеют ряд особенностей.
Как и для какой цели владельцем веб-страницы собираются данные, какие действия могут производиться с полученной информацией и перечень способов защиты, возможность/невозможность разглашения третьим лицам обязательно прописываются при составлении политики конфиденциальности для сайта. Соответственно, ответственность за сохранение конфиденциальности персональной информации пользователей владелец сайта берет на себя.
Политика конфиденциальности в Евросоюзе
Европейский Союз известен тем, что здесь действуют строгие законы о конфиденциальности. Краеугольный камень законодательства о конфиденциальности, Общее положение о защите данных (GDPR), содержит подробную информацию в статьях 12, 13 и 14 о важности составления политики конфиденциальности и содействия осуществлению прав, которыми обладают пользователи этих данных.
GDPR принят в мае 2018 г. с целью заменить Директиву о сохранении данных. Цель политики — объединить процессы получения персональных данных от лиц в пределах Евросоюза. Сверх обозначенных требований, действуют Директивы Организации развития экономики относительно хранения индивидуальных клиентских данных:
- Сайт должен информировать посетителей о том, что их данные собираются.
- В политике конфиденциальности должны четко указываться цели сбора такой информации.
- Пользователи должны быть уведомлены о том, что их данные не будут разглашены без их согласия, за исключением случаев, предусмотренных законом.
- Если для сбора данных требуется согласие пользователя, этот момент должен быть отражен в политике конфиденциальности. Пользователям должны предоставляться инструкции о том, как отозвать свое согласие.
Чтобы быть совместимой с GDPR, политика конфиденциальности сайта должна включать конкретные пункты. В отличие от некоторых других законов о конфиденциальности, GDPR активно применяется, и за несоответствие требованиям политики GDPR могут быть наложены огромные штрафы в миллионы долларов.
Чтобы подробнее разобраться в текущем вопросе, можете заказать консультацию по положениям GDPR у специалистов нашей компании.
Великобритания: политика конфиденциальности для сайта
С момента вступления в силу GDPR ЕС в 2018 г. многие страны мира последовали его примеру и либо обновили, либо ввели новые правила защиты конфиденциальности данных. Парламентарное правительство Соединенного Королевства издало «Закон по защите данных», чтобы защитить данные клиента как на компьютере, так и в других системах хранения. Закон включает 8 положений:
- Личная информация обрабатывается честно и легально.
- Сбор осуществляется только для обозначенных целей в рамках законодательства.
- Собираются только достаточные для намеченной цели данные, без излишних вопросов.
- Персональные данные должны быть действительными и точными на момент сбора.
- Информация собирается только на период использования согласно обозначенной цели, после чего уничтожается.
- Обработка данных осуществляется в соответствии с правами пользователей.
- С соблюдением строгих мер по борьбе с незаконной деятельностью в отношении личной информации.
- Требования о защите конфиденциальных данных согласно закону ограничивают использование полученных конфиденциальных данных в пределах ЕЭЗ, кроме гарантии неразглашения этих данных третьей стороной.
Обратите внимание, в перечень услуг нашей компании входят консультации и помощь в составлении политики конфиденциальности для сайта английской компании.
Специальные процедуры политики конфиденциальности в Соединенных Штатах
Не существует федерального закона, требующего от компаний устанавливать конкретную политику защиты и хранения персональных данных в Соединенных Штатах. Однако существуют законы, которые ограничивают это в особых случаях:
- «Закон о защите детей» (COPPA) — требует публиковать политику конфиденциальности на данные, полученные от несовершеннолетних (совершеннолетними считаются лица в 18-21 год, зависит от штата).
- Закон GLBA (Грэмма-Лича-Блайли), согласно которому регистрация финансовой компании в США требует от ее учредителей предоставлять точную и полную текстовую информацию о том, как происходит обмен данными.
- Закон HIPAA о медстраховании и подотчетности требует от медицинских учреждений письм. уведомлений о соблюдении политики конфиденциальности данных для сайта.
Дополнительно в некоторых штатах действуют локальные законы о конфиденциальности, например, в Калифорнии принят Закон о защите конфиденциальности в Интернете (CalOPPA). Он предусматривает, что любой коммерческий сайт, собирающий или использующий личную информацию от жителей Калифорнии, должен иметь явно размещенную политику конфиденциальности для сайта американской компании, где подробно описано, как данные собираются, используются и передаются.
Таким образом, решив зарегистрировать компанию в США, необходимо соблюдать требования по защите конфиденциальных данных, которые раскрывают такие вопросы:
- какую информацию и каким способом будет собирать компания;
- как будет обеспечиваться защита безопасности информации;
- как будут использовать собранную информацию;
- будут ли данные переданы третьим лицам;
- каковы права клиента на свою личную информацию?
Для получения дополнительной информации о CalOPPA и CCPA, вы можете заказать консультацию по защите персональных данных в США у специалистов компании.
Политика защиты конфиденциальной информации в Австралии
Австралия регулирует, как предприятия должны обрабатывать личную информацию, в своем Законе о конфиденциальности 1988 г. Планируя зарегистрировать компанию в Австралии, обратите внимание, что согласно поправкам к Закону необходимо составить политику конфиденциальности для сайта и разместить ее на корпоративном сайте. Политика должна включать 13 пунктов, среди которых:
- получение от пользователей прямо связанной с бизнесом информации;
- при сборе личной информации резидент Австралии должен быть осведомлен, для каких целей собирается информация и кто может ее видеть.
Организациям, которые должны соблюдать австралийские принципы конфиденциальности, прежде всего нужно иметь актуальную и четко выраженную политику конфиденциальности, доступную бесплатно в подходящем формате и содержащую всю информацию, требуемую в соответствии с настоящим Законом.
Как составить политику конфиденциальности для сайта?
То, что вы должны включить в политику конфиденциальности, будет зависеть от характера бизнеса, того, где вы работаете и где находятся ваши клиенты, законов, применимых к регулированию деятельности компании в ЕС, США, Австралии и т.д. Однако составление privacy policy включает некоторые термины, которые являются довольно стандартными и их можно найти в большинстве политик конфиденциальности:
- Личная информация. Какой тип персональных данных вы хотите собирать, прямо или косвенно/автоматически, от имен до местоположения и от номеров телефонов до адресов электронной почты.
- Процесс сбора. Вы должны быть прозрачны и объяснить, как вы планируете собирать персональные данные своих пользователей. Если вы собираете данные об использовании, отслеживаете географическое местоположение или используете какие-либо сторонние сервисы, например, для рекламы и ретаргетинга, следует упомянуть об этом, поскольку пользователи могут не осознавать, что вы собираете данные в фоновом режиме.
- Использование. Это важный раздел политики конфиденциальности для сайта, поскольку использование этих данных для улучшения работы вашего веб-сайта отличается от продажи данных третьим лицам. Если у вас есть европейские пользователи, здесь следует указать правовую основу для сбора данных. Например, если вы работаете на веб-сайте электронной коммерции, вы должны указать, что личная информация будет использоваться для обработки платежей и доставки продуктов клиентам.
- Безопасность. Необходимо сообщить пользователям, какие способы защиты личной информации политикой конфиденциальности (от несанкционированного доступа) вы планируете использовать.
- Хранение и совместное использование. Пользователи должны знать, где будут храниться их данные, как долго они будут храниться и будут ли они переданы за границу (это может иметь место, например, если ваши серверы расположены за рубежом). Точно так же вы должны быть прозрачны в отношении того, кому вы передаете пользовательские данные и с какой целью.
- Файлы cookie. Если вы используете файлы cookie, то необходимо указать это в политике конфиденциальности, опубликовать ссылку на страницу на вашем веб-сайте, где размещена политика в отношении файлов cookie. Пользователям следует предоставить возможность отказаться. Вы можете объяснить, как это может повлиять на их пользовательский интерфейс.
- Отказ и права субъекта данных. Необходимо объяснить, что обмен личной информацией не является обязательным и что пользователи могут ограничить то, чем они делятся, отказаться или отозвать свое согласие в любое время. В этом разделе должны быть подробно описаны все права пользователей данных, которые могут быть привязаны к конкретной стране или региону, согласно положениям GDPR.
- Контактная информация. Следует указать свой адрес эл. почты, адрес улицы и номер телефона, а также контактные данные сотрудника по защите данных, если на сайт распространяется действие GDPR.
- Другое. В зависимости от характера бизнеса может потребоваться добавить некоторые дополнительные условия в политику конфиденциальности. Важно регулярно обновлять политику конфиденциальности данных для сайта, чтобы соответствовать постоянно меняющимся законам и учитывать любые изменения на веб-сайте.
Заключение
Если вас интересует, какие методы сбора персональных данных можно использовать для составления политики конфиденциальности, где и как хранить личную информацию, как аргументировать пользователям необходимость сбора информации, как скорректировать структуру политики безопасности, рекомендуем запросить консультацию по защите конфиденциальности данных в Европе у специалистов YB Case. Мы также оказываем сопровождение в составлении политики конфиденциальности для сайта английской компании.
