Один чекбокс на вебинар и рекламу: как это влечёт штраф

EdTech-платформа собирала заявки на бесплатный вебинар.

Главная ошибка — объединение целей в одном чекбоксе. Согласие на обработку данных для проведения мероприятия нельзя смешивать с согласием на рекламу. Формулировка «информационных/рекламных» с коварным слешом делает согласие недействительным: пользователь не понимает, на что именно подписывается. Правильное решение — два независимых чекбокса, причём рекламный не должен быть предзаполнен по умолчанию.

Как избежать лишнего штрафа при запуске новых сервисов

Частая ошибка при масштабировании — попытка подать отдельное уведомление в Роскомнадзор на каждый новый домен. По ст. 22 152-ФЗ оператором данных выступает юридическое лицо, а не сайт. Уведомление подаётся одно. При запуске нового продукта нужно направить информационное письмо о внесении изменений в существующую запись реестра, добавив новые домены и категории данных.

Главная ловушка скрыта в целях обработки. Если в реестре указана цель «пропускной режим в здание», а платформа собирает данные для «заключения договора на обучение», это нарушение ст. 5 152-ФЗ (несовместимость целей). Одна такая ошибка приравнивается к незаконной обработке персональных данных.

Таймер 24 часа при утечке базы данных

Если база данных сервиса слилась в сеть, стратегия «тихо исправить уязвимость» не сработает. Ещё 72 часа отводится на внутреннее расследование и отправку его результатов в надзорный орган с указанием виновных лиц.

Это экстренная процедура, к которой невозможно подготовиться за день без заранее прописанного внутреннего регламента. Если пропустить дедлайн, Роскомнадзор узнает об утечке из открытых источников (например, из Telegram-каналов ФинЦЕРТа), и штраф за сокрытие инцидента приплюсуется к штрафу за саму утечку.

Многие думают, что достаточно скопировать «Политику конфиденциальности» у конкурентов. Обязательный минимальный набор для платформы включает: политику обработки данных (ст. 18.1 152-ФЗ, штраф до 100 000 ₽ за отсутствие), конкретное согласие на обработку (штраф до 150 000 ₽ за каждый эпизод без него), пользовательское соглашение (РКН проверяет, не подменяется ли им согласие на обработку), Cookie Policy (IP-адреса и данные об оборудовании признаются персональными данными) и внутренний регламент реагирования на запросы субъектов (без него легко пропустить законный срок ответа — 10 рабочих дней — что приведёт к проверке и блокировке).