Глемпинг

Проблема

в Нашу организацию обратился клиент с предписанием от РКн.

Роскомнадзором был проведен анализ интернет-ресурса клиента, по результатам которого установлены следующие нарушения:

• — выявлено отсутствие согласия на обработку персональных данных;
• — отсутствуют документы, содержащие сведений о факте использования программного средства Яндекс.Метрика, а также перечень обрабатываемых посредством программного средства Яндекс.Метрика персональных данных.

Решение

Наши специалисты провели правовой и технический аудит сайт клиента, в ходе которого были выявлены следующие нарушения:

• — отсутствие Политики по обработке Пдн и политики конфиденциальности сайта Оператора . В соответствии с частью 2 статьи 18.1. Федерального закона от 27.07.2006 № 152 — ФЗ «О персональных данных» Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
• — отсутствие согласия на cookie и сервисы аналитики. На сайте отсутствует механизм получения согласия на обработку cookie-файлов, несмотря на использование Яндекс.Метрики, использование функционала которые позволяют определить уникального посетителя Сайта, формировать сведения о его предпочтениях и поведении на Сайте;
• — отсутствие согласий для посетителей сайта. Во всех формах, где осуществляется ввод персональных данных, пользователь должен до отправки данных явно подтвердить согласие на обработку ПДн;
• — не в полном объёме размещены контактные данные организации. На основании ч. 2 ст. 10 149-ФЗ информация о владельце должно быть размещена в полном объёме;
• — регистрация владельца интернет-ресурса Домен сайта куплен на физическое лицо. Роскомнадзор может признать сайт нарушающим законодательство при отсутствии идентификации владельца или при разночтениях между публичной информацией на сайте и административной информацией о домене;
• — отсутствие согласия на рассылку Должна быть техническая возможность отказаться от рассылки, или рассылка должна осуществляться только при заполнении поля «Подпишись на нашу рассылку». Основание: ч. 3 ст. 10 149-ФЗ «Об информации, информационных технологиях и информационной безопасности»
• — отсутствие действительного сертификата безопасности. Передача персональных данных по незащищённым каналам связи запрещена. Оператор обязан применять организационные и технические меры по защите ПДн, в том числе средства шифрования (сертификат SSL/TLS).

Нашими специалистами были приняты все необходимые меры для устранения нарушений в сфере персональных данных и иным требованиям законодательства к интернет-ресурсам, подготовлены обязательные документы, а также организованы технические работы.

Результат

В результате работы были устранены нарушения законодательства в области персональных данных в части отсутствия согласия или иных правовых оснований на обработку персональных данных в том числе, посредством использования метрических программ, обеспечена возможность доступа к документам, определяющим политику в отношении обработки персональных данных, и сведениям о реализуемых мерах защиты персональных данных, на страницах, с использованием которых осуществляется сбор персональных данных. Подготовлен и направлен ответ в Роскомнадзор.

Ввиду своевременного реагирования и быстрого устранения нарушений к владельцу интернет-ресурса не были применены штрафные санкции.