Инструкция по устранению нарушений по персональным данным на сайте

[MAXH0]

Фактически вся эта "обработка персональных данных" убивает личный сайт, как средство независимого общения. Чтобы личный сайт мог выполнять свою главную функцию — быть площадкой для простого и свободного общения — владелец вынужден тратить время и деньги на решение сложных юридических и технических задач.

Чёткого и понятного перечня разрешенных средств защиты данных в законе нет! Подать уведомление в Роскомнадзор — требует  усиленной квалифицированной электронной подписи (КЭП). Требуется разработать документ именно под свой сайт. Типовой формы не существует.

И как всегда бюрократическая нагрузка порождает паразитические юридические структуры, которые на этом кормятся. Что и демонстрирует статья.

Вот представьте бюрократическую нагрузку на простой некоммерческий сайт учителя...

[Robastik]

Зачем некоммерческий сайт учителя собирает ПД?

[MAXH0]

Интересный вопрос. Точнее интересно, как вы представляете сайт без персонализации. Визитка? Например, для персонализация нужна для индивидуальных заданий и образовательного маршрута.
Теоретически можно всю персонализацию вынести на социальные сети или тот же Макс, но как то это костыльно смотрится.

[nivorbud]

Проблема не в персональных данных, а в резиновой невнятной трактовке.

Например, маленькому обучающему сайтику ничего не нужно кроме email. Это перс. данные? Вряд ли. Это надо большой фантазией обладать, чтобы отнести email к перс. данным. Но формально email относят к перс. данным. Или... не относят...

А куки сами по себе вообще не относятся к перс. данным. Например, если я мой сайт будет в куке хранить размер шрифта, это перс. данные? Очевидно, нет. Даже если в куке будет храниться уникальный ID посетителя, это тоже еще не перс.данные, т.к. номер этот сам сайтик и генерит (буквально от балды). А вот если сайт соберет реальные перс. данные и свяжет их с id в куках, тогда да - можно трактовать этот id как перс. данные. Но не куки сами по себе.

Если же трактовать всё формально, то под сбор перс. данных можно отнести даже сайт визитку (или вообще страницу-заглушку) без установленных метрических программ.

ЗЫ:

В мультике про козленка, который всех посчитал, по сути показан процесс установки кук, т.е. он (козленок) по формальной широкой трактовке проводил сбор перс. данных, за что и огреб...

[MAXH0]

>> Например, маленькому обучающему сайтику ничего не нужно кроме email. Это перс. данные? Вряд ли. Это надо большой фантазией обладать, чтобы отнести email к перс. данным. Но формально email относят к перс. данным. Или... не относят...
<< В общем случае не относят. По крайней мере ИМХО... НО логин должен быть четко деперсонализирован. И другие данные не должны собираться. Т.е. если кто-то соотнесёт свою фамилию с почтой, то это сразу персональные данные. :)

P/S Вот это обсуждение подвигло меня на социальный эксперимент. Я создам в течении ближайших 2-3 месяцев обучающий сайт. И буду требовать от учащихся полной деперсонализации. Обращение только по Никам. Никаких имен и фамилий. Связь через обезличенную почту.
Посмотрим, что получится.

[Aurum_Gallente]

В статье не написано, что согласие на обработку ПД должно быть отдельным от иных согласий. Например, "я согласен на обработку ПД и рассылку уведомлений" - так нельзя.

"Продолжая пользоваться сайтом вы даёте согласие..." или "заполняя эту форму вы согласны..." тоже нельзя, хотя Яндекс в своих сервисах именно так и делает и его не трогают, видимо, особые правила для избранных. Согласие на обработку ПД должно даваться в явном виде, даже выбранный по умолчанию чекбокс "я даю согласие" уже нарушает закон. Или у особо хитрых светло-серый невыбранный чекбокс на сером фоне "я не даю согласие".

Согласие на трансграничную передачу данных должно даваться в явном виде, молчание или бездействие пользователя нельзя считать согласием на трансграничную передачу данных.

При подаче обращения в РКН можно указать ответственное лицо организации за обработку ПД, но за нарушения всё равно перед государством отвечает организация, ответственный отвечает только перед организацией, государство не должно иметь претензий к ответственному. Это не работает в случае трансграничной передачи, в этом случае отвечают перед государством оба.

При этом ничто не мешает сделать этот чекбокс обязательным, коммерческие организации имеют право не оказывать услуги тем, кто не согласен с правилами оказания услуг этой организации.