Что удалось сделать и как это работает?

• реализовать единый подход к сбору, регистрации, хранению и процессу отзыва согласий;
• разработать универсальный виджет для версий согласий и разных сценариев их сбора;
• разработать средство администрирования (админку), с удобным интерфейсом!
• минимизировать правовые риски, связанные с обработкой и защитой персональных данных.

• реализовали и регламентировали единый подход и контроль согласий;
• оптимизировали поиск доказательств факта получения согласия, чтобы сократить длительность и трудозатраты;
• параметризировали согласия, то есть теперь можно узнать, кто дал согласие, какой использовался сценарий сбора, когда и в каких целях было получено согласие, а ещё сроки/статус/тип/версию согласия и т.д.;
• обеспечили выполнение требований ФЗ-152, тем самым снизили правовые и репутационные риски.

• сведения о согласии (наименование, тип, версия, краткое описание процесса, в котором оно используется и т.п.);
• статус согласия (принято/отклонено/в ожидании чуда);
• признак отзыва согласия (дата, время, основание);
• дату подтверждения согласия для автоматического уведомления о сроке его окончания (реализована автоматическая проверка срока действия согласия);
• срок действия согласия;
• способ подтверждения согласия.

• ввод полученного кода из SMS-сообщения или голосового сообщения в специальном поле на сайте ДомКлик (если клиент напрямую взаимодействует с сайтом).
• отправка полученного кода из SMS в ответном SMS (если запрос инициирован третьим лицом, например, сотрудником ДомКлик).
• гибридный сценарий позволяет подтверждать согласие как ответным SMS, так и через ввод кода по уникальный ссылке из SMS (обычно используется в случаях, когда клиент не находится на сайте ДомКлик, а инициатором выступает третье лицо).

Как еще это можно улучшить?

1. На nginx можно дополнительно выставить фильтр какие запросы перехватывать и вы можете указать, например, что нужно перехватывать если URL — myapp.com/profile/ в таком случае только запросы связанные с профилем будут сохраняться, что сильно уменьшит объем хранимых данных.

2. Как я писал выше можно добавить триггер в базу данных, которые будет парсить JSON запроса и класть уже в другую таблицу в структуру, когда на одного человека будет приходиться только одна запись.

3. Можно еще добавить веб интерфейс с поиском, который будет показывать все записи по поисковой строке, например по ФИО или айди человека.

Как отозвать своё согласие и какие документы потребуются?

Документы, сопровождающие процедуру отзыва персональных данных и введения запрета их обработки, во многом схожи. Основные отличия лежат в области формулировок в заявлении, и в том, откуда вы отзываете свое прежнее согласие. Чаще всего такая потребность возникает в отношениях с банками и торговыми компаниями, поэтому возьмем примерный перечень документов для обращения именно к ним.

Чтобы отозвать согласие на обработку ПДн у банка и торговой компании, понадобятся:

• личное заявление в двух экземплярах;
• копия договора с компанией-оператором;
• копия паспорта.

Внимание! Направить заявление на отзыв согласия можно лично – тогда на втором экземпляре ставится штамп или роспись должностного лица о получении, по почте заказным письмом с описью и уведомлением, или в электронном виде с удостоверением цифровой подписью.

Скрытая память браузера

Сайты, наряду с совершенно обычными куки, могут заполнять особую область памяти в браузере, так называемое хранилище DOM Storage (Document Object Model).

В то время как стандартные куки записывают лишь несколько байтов, в DOM-куки может входить до 10 Мбайт информации. Несмотря на то, что к ним прибегают лишь некоторые владельцы сайтов, от этой информации систему также необходимо очистить.

Как правило, удалением куки через настройки браузера удаляются и куки DOM, однако лишь при полном удалении истории. Лучше всего полностью отключить этих пожирателей памяти. Для этого в Firefox через адресную строку зайдите в «about:config» и согласитесь с условиями окна предупреждения. Затем найдите строчку «dom.storage.enabled» и двойным щелчком установите значение на «false».

Скрытое хранение. Владельцы сайтов зачастую сохраняют информацию во Flash-куки, поскольку те очень сложно удалить. Для этого пользователю необходимо вызывать скрытое меню Flash

Для Internet Explorer и Edge перейдите в «Свойствах браузера» на вкладку «Дополнительно» и снимите флажок перед опцией «Включить хранилище DOM». В Chrome все настройки действуют как для стандартных, так и для DOM-куки.

Чтобы их заблокировать, в «Настройках» нажмите на «Показать дополнительные настройки» и выберите для «Настройки контента» вариант «Блокировать данные и файлы cookie сторонних сайтов».  Если вы хотите удалить лишь куки DOM, используйте расширение Ghostery.

Что такое персональные данные?

В соответствии с определением вышеупомянутого закона: «Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных)». 

То есть, к персональным данным (далее ПД) можно отнести: ФИО, дату рождения, телефон, адрес, ИНН, сведения о работе, ссылки на аккаунты в соцсетях или личный сайт и другую подобную информацию. 

На любые данные найдётся тот, кто их обрабатывает — то есть делает все те вещи, которые описаны в соглашениях на обработку ПД (вы наверняка это знаете, если когда-нибудь читали подобные документы). А именно сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Человек, обрабатывающий ПД, называется оператором персональных данных. Он несёт ответственность за незаконную обработку ПД и может быть как юридическим, так и физическим лицом.

Вас можно считать оператором персональных данных, если на вашем сайте есть формы:

• подписки на рассылку;
• регистрации личного кабинета;
• заявки или обратной связи;
• системы онлайн-чата или онлайн-консультанта;
• размещения комментариев.

Поэтому определить, являетесь ли вы оператором ПД, можно в зависимости от того, какие именно данные вы собираете через формы обратной связи на сайте.

Почему закон поменялся?

Специалисты уверены, что дело в кибермошенниках, которые активны в последнее время. Например, в 2020 году они украли у россиян 10 миллиардов рублей, а это на 52, 2 % больше, чем в 2019 году. Это происходит и потому, что пользователи активно оставляют данные в сети. Они соглашаются на обработку данных, но затем информация утекает в третьи руки. 

Данные используют для обзвона, но это не самое страшное. Плохо, если информация попадает в руки хакеров, которые с ее помощью крадут деньги. В итоге власти решили, что надо ужесточить правила работы с данными, чтобы сайты не раздавали их направо и налево.

Как составить обращение в компанию?

Отзыв персональных данных производится в письменной форме. Это обращение к организации, которой было дано право на обработку вашей личной информации (банку, работодателю, коммерческой структуре в рамках рекламной акции или программы скидок). Заявитель может отозвать разрешение полностью, или изменить перечень данных и манипуляций с ними, на которые он дает согласие.

Согласно ч.5 ст. 21 Федерального закона «О персональных данных», получив подобное обращение, компания обязана в течение месяца прекратить обработку данных и уничтожить информацию, если ее дальнейшее сохранение не требуется, прямо запрещается субъектом и не оговорено договором, стороной которого остается заявитель.

Справка! Закон предусматривает ряд ситуаций, в которых информация может обрабатываться и после официального отзыва согласия.

Кроме случаев исполнения законодательства, международных соглашений и договоров с самим субъектом, к ним относятся исполнительное производство и судебные процессы. Также не будет прекращена работа с обезличенной статистической информацией и, данными, предоставленными гражданами при регистрации на порталах госуслуг. Закон отдельно защищает права организаций на работу со сведениями о заемщиках.

Безопасность за счет ваших данных

Еще глубже в системе укрепился совершенно особый вид суперкуки — HSTS-механизм (HTTP Strict Transport Security). Он должен, в первую очередь, защищать от хакеров. Совместимые с HSTS страницы создают перманентный файл куки на пользовательском ПК, который устанавливает, что впоследствии клиент с сервером сможет взаимодействовать исключительно через зашифрованное соединение.

Этот принцип не оставляет никаких шансов так называемым Downgrade-атакам, при которых клиенту лживо внушается, что сервер не обладает никакой технологии шифрования и поэтому доступ возможен только через небезопасное соединение. Однако, по словам известного информатора Эдварда Сноудена, HSTS-куки используются секретными службами для отслеживания. Таким образом, вам придется выбирать: больше безопасности или больше конфиденциальности?

Учтите, что атаки, от которых защищают HSTS-куки, относительно редки. При этом сегодня все чаще они используются для вынюхивания информации. У записи HSTS нет срока годности, и она остается при удалении куки браузера. Кроме того, даже режим приватности не защитит от слежки, во всяком случае в Chrome. Этот браузер передает значение куки даже в таком режиме.

Позиция Google — безопасность имеет большее значение, чем частная жизнь. Mozilla Firefox, а также IE и Edge от Microsoft, напротив, однозначно делают ставку на личную сферу. То же самое можно сказать и о мобильных браузерах. Как не допустить HSTS-куки в свою систему, зависит от браузера.

Предотвращаем хакерские атаки. Плагин NoScript блокирует на ненадежных сайтах все установленные плагины, а также JavaScript

Сложнее всего это сделать для Firefox, поскольку тут вам придется глубоко погружаться в структуру папок веб-обозревателя. Для этого введите в адресной строке «about: support» и в следующем окне нажмите на кнопку «Показать папку» рядом со строкой «Папка профиля». Здесь выберите файл «SiteSecurityServiceState.txt» и откройте его в Блокноте Windows.

С помощью комбинации «Ctrl+A+Del» удалите его содержимое целиком и сохраните файл клавишами «Ctrl+S». Для предотвращения последующей записи в этот файл, однако, необходимо дополнительно снабдить его соответствующей защитой. Для этого щелкните по файлу правой кнопкой мыши и выберите в контекстном меню пункт «Свойства».

В открывшемся окне поставьте флажок рядом с опцией «Только чтение». В Chrome этот процесс реализован гораздо проще. Здесь можно удалить отслеживающие куки для отдельных сайтов командой для адресной строки «chrome:// net-internals/#hsts».

Чтобы избавиться от всех HSTS-куки одним махом, необходимо стереть все данные браузера, а не только историю. Тот же принцип действия и для Internet Explorer 11 и Edge. В настройках удаления дополнительно активируйте «Данные веб-сайтов».

Для чего необходимо согласие на обработку данных

Закон о персональных данных с 1 июля 2017 года, ужесточивший наказание за их разглашение, устанавливает, что каждый работодатель является оператором по их обработке. Поэтому он должен осуществлять специальные мероприятия по их защите.

С этой целью он разрабатывает и использует Положение о защите персональных данных работников. Обязательным приложением к нему должно идти согласие работника на использование сведений о нем.

Этот документ составляется сразу же, как только осуществляется прием на работу сотрудника в компанию. Так как при трудоустройстве он в организацию предоставляет значительный объем информации о себе, который не должен подлежать разглашению.

Однако, работа компании предполагает взаимодействия с широким кругом лиц, с которыми отношения устанавливаются через сотрудников компании. Поэтому некоторую информацию фирме приходится разглашать, например, данные работника, указанные в доверенности и т.д..

Чтобы это она могла делать, ответственные работники должны при каждом подобном случае у соответствующих сотрудников брать согласие на разглашение. Причем в согласии обязательно указывается – какие именно данные подлежат передаче. Человек, работающий на предприятии, имеет право отменить свое согласие в любое время.

Очень часто зарплата сотрудников перечисляется на их карт-счета, которые открываются в банках. Для этого обязательно необходимо взять у персонала компании соответствующие согласия.

Внимание! В любом случае согласие у работника предприятия должно получаться в добровольном порядке, без принуждения человека к этому.

Вся информация, полученная компанией о работнике, может использоваться с его разрешения только в хозяйственных целях, а именно:

• Повышение образования работника;
• Для целей создания для работника безопасных условий работы;
• Для обеспечения учета и контроля результатов трудовой деятельности работника.

Администрация должна в обязательном порядке объяснить своему работнику каким образом она собирается применять предоставленную им информацию, как осуществляется хранение и защита личных данных сотрудников.

Также субъекты должны знать, что если запрос о предоставлении личных данных исходит от государственных органов по запросам, то в этом случае допускается их разглашение, и получать на это согласие работника не нужно.

Если работник откажется предоставить согласие на использование его личных данных, администрация сможет осуществить их обработку в рамках выполнения своих обязанностей по трудовому договору с работником (например, при осуществлении обязательного страхования и т. д.).

Внимание! Однако, существуют такие последствия отказа работника от передачи согласия, когда он не сможет выполнять своих трудовых обязанностей. Например, на предприятии существует контрольно-пропускной режим

Без согласия сотрудника на разглашение его данных, руководство не сможет оформить ему пропуск, а поэтому он не сможет ходить на работу.

О чем всегда забывают при подготовке документации?

Еще один широко распространенный и не менее важный вид нарушений связан с документацией в области обработки персональных данных. Дело в том, что для полного соответствия требованиям Закона № 152-ФЗ и подзаконных актов организациям нужно иметь огромное количество документов, в иерархии которых не просто разобраться. Как показывают результаты проверок Роскомнадзора, компании допускают три основных нарушения в этой области:

• отсутствует большая часть необходимой документации;
• документация не актуализируется на постоянной основе (например, при изменениях процессов обработки персональных данных);
• не заполняются типовые формы документов (перечни, журналы и др.) в соответствии с внутренней документацией организации.

Как же сформировать полный комплект документов, чтобы пройти проверку без нареканий со стороны представителей регулятора? Работа с персональными данными в любой организации начинается с верхнеуровневого документа, определяющего общие требования, то есть политики. При ее разработке полезно изучить рекомендации Рекомендации Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 31 июля 2017 г.

Среди документов второго уровня в иерархии можно выделить следующие:

1. Положение об обработке персональных данных. Его можно разработать как отдельно для работников и остальных субъектов данных, так и в виде единого документа. Я рекомендую выбирать второй вариант и не забывать, что с документом нужно ознакомить каждого работника под подпись;
2. Регламент обработки обращений от субъектов персональных данных / Роскомнадзора;
3. Регламент проведения внутренних проверок в части соблюдения требований Закона № 152-ФЗ и подзаконных актов в области обработки персональных данных;
4. Методика оценки вреда субъектам персональных данных. По моей практике, компании крайне редко разрабатывают этот документ, хотя он необходим для успешного прохождения проверки Роскомнадзора;
5. Иные документы.

Для наглядности иерархическая структура необходимых документов представлена на схеме:

Рис. Иерархическая верхнеуровневая схема документов оператора персональных данных

Список внушительный, не говоря о том, что в этой колонке я не рассматриваю документы по защите персональных данных по требованиям ФСТЭК и ФСБ России

Но и это еще не все: организациям, в которых планируется проверка Роскомнадзора, также следует обратить внимание на подготовку справок по различным вопросам. Например, это может быть информация по обработке данных уволенных работников, справка об обработке биометрических данных и не только

Например, в моей практике был случай, когда компании пришлось подготовить суммарно порядка 200 справок по разным вопросам обработки персональных данных. Так что этот вопрос лучше продумать заранее.

Куки

В обычных куки веб-сайты хранят, к примеру, данные доступа или информацию, с помощью которой пользователь при следующем вызове страницы однозначно идентифицируется. И если изначальной целью этого было обеспечение комфорта, то сейчас многие компании, в том числе и гигант Google, используют такие фрагменты данных для отображения целевой рекламы.

Разоблачаем шпионов. В настройках браузера нередко можно вычислить отслеживающие куки и их «подателя» непосредственно по названию

В Google Chrome для этого зайдите в «Настройки» и нажмите там на кнопку «Показать дополнительные настройки». В раз деле «Личные данные» кликните по пункту «Настройкам контента» и выберите для файлов cookie опцию «Удалять локальные данные при закрытии браузера». В Mozilla Firefox из «Настроек» зайдите в «Приватность» и измените вариант «Firefox будет сохранять историю» на «Firefox не будет сохранять историю».

Если вы пользуетесь Internet Explorer или Edge корпорации Microsoft, в «Свойствах браузера» на вкладке «Общие» поставьте флажок рядом с опцией «Удалять журнал браузера при выходе». На устройствах на базе Android вы сможете настроить автоматическое удаление куки подобно настольным браузерам.

Система iOS, напротив, дает лишь возможность принципиально отказаться от сохранения куки. Для этого в меню настроек Safari выберите вариант «Блокировать cookies» и далее укажите «Блокировать всегда».

Подробные требования к содержанию согласия

Согласие должно включать в себя следующую информацию:

1) Фамилия, имя, отчество (при наличии) субъекта персональных данных.

2) Контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных)

3) Сведения об операторе персональных данных

Если оператором является юридическое лицо, то указывается: наименование, ИНН, ОГРН, а также адрес, указанный в ЕГРЮЛ

Если оператором является физическое лицо, то указывается: фамилия, имя, отчество (при наличии), место жительства или место пребывания.

Если оператором является индивидуальный предприниматель, то указывается: фамилия, имя, отчество (при наличии), ИНН, ОГРНИП. Адрес указывать не надо, как это следует из приказа, что странно. Я рекомендую указывать и адрес ИП.

4) Сведения об информационных ресурсах оператора, посредством которых будет осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных

5) Цель (цели) обработки персональных данных

Формулировки цели или целей обработки персональных данных должны соответствовать положениям законодательства Российской Федерации, устанавливающим функции, полномочия и обязанности оператора, и (или) документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных.

6) Категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных

Заполнение соответствующего поля осуществляется применительно к конкретному субъекту персональных данных по следующему образцу:

• общие персональные данные (фамилия, имя, отчество (при наличии), год, месяц, дата рождения, место рождения, адрес, семейное положение, социальное положение, имущественное положение, образование, профессия, доходы, другая информация, относящаяся к субъекту персональных данных);
• специальные категории персональных данных (расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояния здоровья, интимной жизни, сведения о судимости);
• биометрические персональные данные (ДНК, радужная оболочка глаз, дактилоскопическая информация, цветное цифровое фотографическое изображение лица, голос, фотоизображение рисунка вен ладони, полученного в диапазоне, близком к инфракрасному, и иные сведения).

Указание специальных категорий персональных данных и биометрических персональных данных допускается в случае предварительного получения оператором, осуществляющим обработку персональных данных, согласия на обработку персональных данных в соответствии с требованиями статей 9, 10, 11 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

7) Категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов

Указанное поле заполняется по желанию субъекта персональных данных без ограничений со стороны оператора, осуществляющего обработку персональных данных.

Условия и запреты предполагают ограничение или запрет осуществления оператором действий по распространению и (или) предоставлению персональных данных неограниченному или определенному кругу лиц соответственно.

Дополнительно в Согласии могут быть указаны условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных.

8) Условия, при которых персональные данные могут передавать только по внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников

9) Срок действия согласия

Должен быть отражен конкретный срок его действия: определенный период времени или дата окончания срока действия.

Не допускается указание на автоматическую пролонгацию срока действия Согласия, а также определение срока его действия путем установления бессрочного статуса или указания на событие, неизбежность наступления которого возможно в долгосрочной перспективе.

Что делать, если я обрабатываю ПД у себя на сайте?

Собирая информацию о пользователях, вы можете задаться вопросом: «Как обрабатывать ПД, чтобы избежать штрафных санкций?». Сущесвтует ряд условий обработки персональных данных для сайта. Вам необходимо:

1. Установить защищённый протокол передачи персональных данных на сайте (SSL-сертификат). В выборе сертификата вам поможет хостинг-провайдер: например в REG.RU базовый SSL-сертификат можно получить даже бесплатно.
2. Составить политику конфиденциальности и разместить её на сайте.
3. Спрашивать согласие посетителей на обработку их ПД.
4. Уведомить Роскомнадзор, что вы собираете персональные данные.

На всякий случай подчеркнём, что нужно выполнить все эти шаги. Пройдёмся по каждому из пунктов.

SSL-сертификат

SSL-сертификат — стандарт безопасности для обмена данными между сайтом и пользователем. Главное преимущество SSL-сертификата — зашифрованное соединение, которое защищает трафик, не давая перехватить его и использовать оставленные на сайте персональные данные в мошеннических целях.

Критически важно перейти на протокол SSL всем сайтам, где есть информация первой и второй категории (подробнее о категориях информации можно узнать здесь). Это, например, данные банковских карт, логины и пароли от аккаунтов, формы с указанием полного имени и адреса и прочее

Политика конфиденциальности

Составляя политику конфиденциальности, обратите внимание на принципы обработки персональных данных. В ней необходимо указать следующую информацию:

1. Наименование оператора обработки персональных данных. Если сайт принадлежит ИП или просто физическому лицу — указать ФИО, если юридическому лицу — название компании и ИНН.
2. Адрес оператора: юридический (для юридических лиц) или фактический (для физических лиц).
3. Список собираемых данных: ФИО, почта, телефон, файлы-cookies, паспортные данные и другое. Список должен быть максимально полным и подробным. 
4. Цель сбора данных. Обязательно укажите, для чего будут использоваться ПД. Собирайте только необходимые данные.
5. Сроки обработки данных. Персональные данные после их использования по назначению подлежат удалению. Их обработка возможна только в течение ограниченного времени. 
6. Факт привлечения третьих лиц к обработке данных. Сюда относятся также различные партнёрские программы, например партнёрская программа REG.RU. Если вы приводите новых клиентов в другую компанию, то она является третьим лицом, которое будет обрабатывать ПД.
7. Свои контактные данные. В реквизитах политики конфиденциальности укажите контакты, по которым с вами можно связаться. Такая информация будет полезна для ваших клиентов, если они захотят удалить или изменить свои персональные данные.
8. Меры обеспечения безопасности данных. Расскажите клиентам, что их персональные данные хранятся на защищённых серверах, располагающихся на территории России (да, по закону хранить данные российских граждан можно только на серверах, находящихся в РФ).

Посетители вашего сайта должны иметь возможность беспрепятственно ознакомиться с политикой конфиденциальности, поэтому мы советуем разместить её в футере каждой страницы.

Согласие на обработку персональных данных

В соответствии с законом «О персональных данных» пользователь должен самостоятельно решать, предоставлять ли вам свои данные, и давать согласие на их обработку. При этом согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Сделайте чекбокс с уведомлением о том, что клиент соглашается на обработку ПД и ознакомлен с политикой конфиденциальности (не забудьте дать на неё ссылку). Посетитель сайта должен самостоятельно поставить галочку в чекбоксе, и делать это за него мы не рекомендуем.

Но есть ряд случаев, когда согласие на обработку ПД можно получить и другим способом. К ним относится, например, подписание договора, одной из сторон которого является пользователь. 

Уведомление Роскомнадзора

Закон «О персональных данных» гласит, что вам необходимо уведомить Роскомнадзор о сборе и обработке персональных данных посетителей вашего сайта. Сделать это можно через специальную форму.

Но есть и исключения, когда уведомлять Роскомнадзор не обязательно. Среди них, например, обработка общедоступной информации (то есть той, которую пользователь сделал доступной для неопределённого круга лиц, например данные о себе, опубликованные на личном сайте или в открытом профиле социальной сети) или данных, включающих в себя только ФИО.