Нет предела совершенству

Операторы регулярно получают от Роскомнадзора требования об устранении нарушений, информация о которых получена ведомством в ходе автоматизированного мониторинга сайтов без какого-либо взаимодействия с оператором.

Большинство из требований регулятора не являются неожиданными и уже не раз озвучивались им. Тем не менее, многие из них со временем получают развитие, поэтому даже опытному DPO полезно периодически перепроверять сайт на соответствие ожиданиям регулятора.

Разберём один из самых популярных «источников» замечаний – cookie-баннеры.

Что обычно хочет увидеть инспектор (и к чему мы уже привыкли):

⚫️всплывающий баннер с информацией об использовании cookies (как это сделано, например, на сайте ГРЧЦ);

⚫️раздел об использовании файлов cookie в публичной политике обработки персональных данных (или отдельной политике, посвященной сбору именно технических данных);

⚫️упоминание о факте использования Яндекс Метрики прямо в тексте cookie-баннера;

⚫️поданное уведомление о намерении осуществлять трансграничную передачу данных, если оператор использует Google Analytics или другие иностранные сервисы.

Последние требования и запросы Роскомнадзора позволяют немного дополнить эту картину следующими рекомендациями:

1) Согласие как основание
Несмотря на декларируемое сокращение роли согласий как основания обработки персональных данных, в части метрических данных регулятор по-прежнему ожидает увидеть явное и недвусмысленное согласие. В этом смысле эксперименты с законным интересом следует проводить с осторожностью.

2) Сторонние сервисы сбора метрических данных
Если на сайте используются сторонние сервисы сбора метрических данных, помимо Яндекс Метрики, в идеале их все нужно обозначить прямо в cookie-баннере. Хотя именно сервис Яндекса неоднократно упоминался на публичных мероприятиях, его регулятор приводит лишь в качестве наиболее наглядного примера.

3) Сведения о cookies в реестре операторов
Упомянув о сборе данных с использованием cookies на сайте, следует добавить эту информацию и в уведомление об обработке персональных данных. Несоответствие между сайтом и уведомлением – одна из возможных причин получения запросов со стороны Роскомнадзора.

Набор замечаний, которые получают операторы от управлений Роскомнадзора, может немного отличаться от региона к региону, но основные вопросы повторяются достаточно стабильно.