Společnost shromažďuje na webu osobní údaje: odpovědi na otázky, které se týkají mnoha lidí

Jak vyplnit zaškrtávací políčko pro získání souhlasu se zpracováním osobních údajů? Je nutné v souhlasu (Yandex.Metrica) uvést všechny osoby, kterým jsou údaje předávány? Je pravda, že je lepší nepodávat oznámení Roskomnadzoru, abyste se vyhnuli ověřování? Jak správně formalizovat účely zpracování? Tento článek obsahuje odpovědi na nejzáludnější otázky týkající se shromažďování osobních údajů na webu.

Elina Mukhanová, právnička Comply, říká SHORTTRID

Jak správně vyplnit zaškrtávací políčko na webových stránkách pro získání souhlasu se zpracováním osobních údajů?

Zaškrtávací políčko se zpravidla nachází vedle formuláře pro shromažďování údajů na webových stránkách provozovatele osobních údajů. Může se jednat o následující formuláře:

Formulář. Například „objednejte si zpětné volání“ nebo „zeptejte se“ nebo formulář pro zadání objednávky. V tomto formuláři subjekt poskytuje své osobní údaje, aby mohl kontaktovat operátora s dotazy k produktu nebo provést nákup.

V tomto případě má provozovatel právo zpracovávat údaje subjektu údajů bez jeho zvláštního souhlasu na základě oprávněného zájmu provozovatele poskytovat svůj produkt nebo službu co největšímu počtu potenciálních klientů a v konečném důsledku dosahovat zisku, jakož i uzavírat s ním smlouvu.

To je dáno skutečností, že zpracování osobních údajů je možné bez souhlasu provozovatele, pokud má jiné důvody pro zpracování osobních údajů stanovené federálním zákonem č. 152-FZ. V daném případě je například zpracování osobních údajů nezbytné pro plnění smlouvy, jejíž je subjekt stranou, příjemcem nebo ručitelem, jakož i pro uzavření smlouvy z podnětu subjektu (článek 5, část 1, článek 6 federálního zákona č. 152-FZ), jakož i pro výkon práv a oprávněných zájmů provozovatele (článek 7.1, článek 6 federálního zákona č. 152-FZ).

Pokud tedy zpracování osobních údajů subjektu nepřesáhne rámec odpovědi na žádost nebo provedení nákupu, není nutné získávat samostatný souhlas subjektu osobních údajů; stačí umístit na webové stránky provozovatele nabídku nebo jiný dokument, v souladu s nímž subjekt provede nákup. Pokud však tyto údaje používáte i pro jiné účely (například ke shromažďování analytických údajů), bude souhlas vyžadován.

Registrační formulář. V tomto formuláři subjekt poskytuje své osobní údaje za účelem registrace v osobním účtu na webových stránkách provozovatele.

Proces registrace často končí tím, že subjekt přijme podmínky uživatelské smlouvy, což bude v tomto případě základem pro zpracování jeho osobních údajů (článek 5, část 1, článek 6 zákona č. 152-FZ).

Ve fázi registrace je subjekt často požádán o souhlas se zpracováním svých osobních údajů pro další účely provozovatele, které nesouvisejí s plněním uživatelské smlouvy, například: ke zlepšení uživatelské zkušenosti, k vytváření a rozvoji stávajících a nových služeb, produktů, služeb; k provádění statistického a jiného výzkumu.

Pro tyto účely bude provozovatel potřebovat samostatný souhlas se zpracováním osobních údajů. Je lepší upravit text zaškrtávacího políčka takto (slovo „souhlasím“ by mělo obsahovat hypertextový odkaz na text souhlasu):

☐ Souhlasím s tím, o zpracování osobních údajů

To znamená, že není vůbec nutné zaškrtávat políčko „Souhlasím se zásadami ochrany osobních údajů“. Zásady ochrany osobních údajů mohou být zveřejněny jinde (obvykle v patičce webu nebo jiné sekci).

Pokud zpracováváte osobní údaje pouze za účelem splnění podmínek uživatelské smlouvy, pak se dodatečný souhlas subjektu ve skutečnosti nevyžaduje, tj. takové zaškrtávací políčko není potřeba.

Formulář pro zaslání poštou. Mluvíme o přihlášení k odběru reklamních a informačních e-mailových adres provozovatele.

Získání takového souhlasu je výslovně stanoveno v článku 15 federálního zákona č. 152-FZ. Je lepší upravit text samotného zaškrtávacího políčka takto (aby byl zároveň splněn požadavek článku 18 federálního zákona č. 13.03.2006-FZ ze dne 38 „O reklamě“):

☐ Souhlasím s tím, přijímat reklamu

V tomto případě bude neudělení souhlasu se zpracováním osobních údajů porušením části 1 článku 13.11 zákona o správních deliktech. Stanoví pokutu pro právnické osoby ve výši 60 000 až 100 000 rublů za první porušení a od 100 000 do 300 000 rublů za opakované porušení.

Samostatná odpovědnost je stanovena za porušení právních předpisů o reklamě. Za porušení požadavků stanovených právními předpisy o reklamě na reklamu distribuovanou prostřednictvím telekomunikačních sítí je tedy právnickým osobám stanovena pokuta ve výši od 300 000 do 1 000 000 rublů (část 4.1 článku 14.3 zákona o správních deliktech).

Provozovatel je tedy pouze v určitých případech povinen vypracovat a zveřejnit souhlas se zpracováním osobních údajů a zaznamenat jeho poskytnutí subjektem.

Buďme upřímní, Roskomnadzor se v případě zpracování osobních údajů na webových stránkách zdráhá věřit čemukoli jinému než souhlasu subjektu a tradičně hledá slovo „souhlas/souhlasí“ poblíž formulářů pro sběr dat.

Jak může provozovatel minimalizovat rizika?

První možnost: respektovat názor Roskomnadzoru a umístit na každý formulář zaškrtávací políčko s odkazy na souhlasy, ale to nemusí být pro provozovatele pohodlné.

Druhá možnost: v případech, kdy má provozovatel jiné důvody pro zpracování osobních údajů, doplnit do formulářů prohlášení o vyloučení odpovědnosti za zpracování osobních údajů. Může obsahovat minimální informace o podmínkách zpracování osobních údajů – účely, doby zpracování, a odkazovat na zásady ochrany osobních údajů.

Takové prohlášení o vyloučení odpovědnosti není nutné zobrazovat hned, můžete přidat text s hypertextovým odkazem, například: „Kliknutím na tlačítko „Objednat hovor“ potvrzujete, že jste si přečetli Ochrana osobních údajů. více„Po kliknutí na „více informací“ se může zobrazit vyskakovací okno s prohlášením o vyloučení odpovědnosti nebo se může otevřít jiná stránka webu s jeho textem.“

Je možné do zásad ochrany osobních údajů zahrnout souhlas se zpracováním osobních údajů?

Raději ne. Někteří provozovatelé osobních údajů zahrnují do textu zásad ochrany osobních údajů ustanovení, která v podstatě představují souhlas se zpracováním osobních údajů.

V tomto případě doporučujeme, aby provozovatel oddělil souhlas se zpracováním osobních údajů do samostatného dokumentu. Podrobnosti o některých ustanoveních souhlasu, která z nějakého důvodu nejsou zahrnuta v jeho textu, lze uvést v zásadách ochrany osobních údajů. Souhlas musí obsahovat hypertextový odkaz na část zásad ochrany osobních údajů obsahující tyto podrobné informace.

Podle stanoviska Roskomnadzoru musí zásady ochrany osobních údajů pro každý účel zpracování osobních údajů odrážet všechny údaje uvedené v odstavci 2 části 1 článku 18.1 zákona č. 152-FZ, a to:

• kategorie a seznam zpracovávaných osobních údajů,
• kategorie subjektů, jejichž osobní údaje jsou zpracovávány,
• způsoby, podmínky zpracování a uchovávání osobních údajů,
• postup při likvidaci osobních údajů při splnění účelů jejich zpracování nebo při vzniku jiných právních důvodů.

Je důležité, aby cíle v zásadách ochrany osobních údajů byly zohledněny stejným způsobem, jako jsou zohledněny v registru provozovatelů osobních údajů. V opačném případě, pokud Roskomnadzor zjistí tři nebo více nesrovnalostí mezi informacemi uvedenými provozovatelem v registru provozovatelů osobních údajů a informacemi v zásadách ochrany osobních údajů, může Roskomnadzor provést neplánovaná kontrolní (dohledová) opatření (vyhláška Ministerstva digitálního rozvoje ze dne 17.08.2023 č. 720).

Je nutné v souhlasu nebo zásadách ochrany osobních údajů uvést, komu přesně lze osobní údaje přenést (Yandex.Metrica, Unisender atd.)?

Formálně ne, ale Roskomnadzor se domnívá, že je to nutné.

Zákon vyžaduje, aby informace o osobách zpracovávajících osobní údaje jménem provozovatele byly uvedeny pouze v souhlasech, pro které zákon stanoví striktní písemnou formu. Pro zásady ochrany osobních údajů takové požadavky neexistují. Provozovatel si může seznam takových třetích stran stanovit dle vlastního uvážení – jedná se o osvědčený postup.

Kromě toho musí mít provozovatel i nadále seznam takových třetích stran pro případ, že obdrží žádost subjektu o předání jeho osobních údajů třetím stranám, a také pro včasnou aktualizaci interních dokumentů a smluv se třetími stranami, které zpracovávají osobní údaje jménem provozovatele.

U nestriktních souhlasů takové požadavky ve skutečnosti také neexistují. Roskomnadzor však zastává názor, že informace o třetích stranách zpracovávajících osobní údaje by měly být shromažďovány v samostatném seznamu prostřednictvím odkazu ze souhlasu. Takový seznam by měl být zveřejněn na oficiálních webových stránkách provozovatele. Tento seznam by měl uvádět nejen třetí strany, ale také účely, pro které jsou jim osobní údaje předávány.

Pro většinu podniků je nutnost získávat souhlas klientů se zpracováním osobních údajů v přísné písemné formě vzácná, proto není vyžadován seznam třetích stran, kterým jsou osobní údaje předávány.

My však zase doporučujeme, aby si klienti vytvořili seznam třetích stran, kterým provozovatel pravidelně předává osobní údaje a s nimiž podmíněně trvale interaguje. Tento seznam lze zveřejnit na samostatné stránce webu a odkaz na něj lze uvést v zásadách ochrany osobních údajů nebo souhlasech.

Pokud webová stránka obsahuje recenze zákazníků s celými jmény a fotografiemi (nebo pouze celými jmény), považuje se to za šíření osobních údajů?

Ano, publikování zákaznických recenzí s celým jménem a fotografií nebo pouze s celým jménem je šířením osobních údajů a musí být v souladu s článkem 10.1 zákona č. 152-FZ. Podle tohoto článku se souhlas se zpracováním osobních údajů, který subjekt povolí k šíření, vyhotovuje odděleně od ostatních souhlasů se zpracováním osobních údajů subjektu.

Roskomnadzor uvádí (časový kód 2:52:28), že metody pro získání souhlasu jsou vyvíjeny dle uvážení provozovatele s přihlédnutím k možnostem a funkčnosti jeho webových stránek. Jako příklady Roskomnadzor uvádí:

• osobní účet,
• webový formulář na webových stránkách,
• vzor ke stažení, který subjekt vyplní a zašle na e-mail operátora.

V praxi tuto možnost využívá jen málo subjektů. Proto v případě absence pohodlné funkcionality pro shromažďování souhlasů od subjektů, sledování zákazů a podmínek zpracování osobních údajů, které stanovily, lze použít předběžné opatření. Například do zásad ochrany osobních údajů zahrnout obecné ustanovení o absenci zákazů a podmínek pro zpracování osobních údajů neomezeným počtem osob. V dokumentu je vhodné samostatně předepsat ustanovení o změně zásad ochrany osobních údajů a zveřejnění příslušných podmínek a zákazů subjektu, až se v budoucnu objeví. Tento přístup minimalizuje náklady provozovatele.

Zároveň se zdá, že publikování recenzí je možné pouze s uvedením jména klienta, což provozovateli umožní vyhnout se shromažďování souhlasu se zpracováním osobních údajů povolených k distribuci.

Jak správně uvést, do kdy je souhlas se zpracováním osobních údajů platný?

Podle obecné zásady zakotvené v článku 5 zákona č. 152-FZ musí být zpracování osobních údajů omezeno na dosažení konkrétních, předem stanovených a legitimních účelů. Pokud jde o dobu platnosti souhlasu se zpracováním osobních údajů, znamená to, že musí odpovídat účelu zpracování osobních údajů a nesmí být ve vztahu k němu nepřiměřený.

Doba trvání souhlasu musí být omezena na konkrétní období (např. den, měsíc, rok) nebo vymezena podmínkou jeho ukončení. O tom hovoří i Roskomnadzor (časový kód 1:09:14).

Pokud tedy provozovatel zná přesnou dobu zpracování osobních údajů, je lepší ji v souhlasu specifikovat. Například přesná doba může být uvedena v souhlasu se zpracováním osobních údajů za účelem zasílání reklamních zásilek. Často takový souhlas specifikuje doby 5 nebo 10 let, což odpovídá současné praxi.

Existují případy, kdy není možné předem stanovit dobu platnosti souhlasu. K tomu může dojít při dlouhodobém poskytování služeb klientům. Pokud správce osobních údajů shromažďuje souhlasy se zpracováním osobních údajů nad rámec uzavřené smlouvy, může být doba zpracování osobních údajů vázána na dobu platnosti smlouvy se subjektem osobních údajů nebo na dobu poskytování služby jemu.

Doba trvání souhlasu „do dosažení účelu zpracování osobních údajů“ by byla chybou, jelikož takový souhlas se nepovažuje za informovaný. Subjekt nemá žádnou informaci o tom, kdy správce osobních údajů rozhodne, že účelu zpracování osobních údajů bylo dosaženo.

V souhlasu se zpracováním osobních údajů a v zásadách ochrany osobních údajů může provozovatel uvést jakékoli vhodné kanály pro zaslání odvolání nebo odmítnutí zpracování osobních údajů (žádost subjektu). Může se jednat o speciální e-mailovou adresu, odkaz na samostatný formulář na webových stránkách, samostatnou schránku pro odběratele atd.

Zároveň, pokud subjekt odešle požadavek jinými kanály, než které byly uvedeny, bude provozovatel i tak povinen na něj reagovat. Proto je stanovení zvláštních kanálů pro zasílání žádostí o osobní údaje v zásadách ochrany osobních údajů pro provozovatele příležitostí k maximální organizaci procesu vyřizování žádostí subjektů, ale v žádném případě příležitostí k jejich omezení.

Jaké datum zpracování osobních údajů by mělo být uvedeno v oznámení Roskomnadzoru, pokud společnost existuje již dlouho, ale oznámení zasílá teprve nyní?

Je nutné uvést konkrétní skutečné datum zahájení úkonů s osobními údaji s využitím automatizačních nástrojů nebo bez použití takových nástrojů (metodická doporučení Roskomnadzoru). Zpravidla se jedná o datum zahájení činnosti provozovatele stanovené v zakládajících dokumentech. Datum zahájení zpracování se často shoduje s datem přidělení OGRN (OGRNIP).

Zařazení společnosti do registru provozovatelů osobních údajů není důvodem k zahájení kontroly ze strany Roskomnadzoru. Nejsou také známy žádné případy, kdy by Roskomnadzor považoval provozovatele za odpovědného za pozdní oznámení.

Co dělat, když společnost používá Google Analytics nebo jiné zahraniční služby, do kterých jsou přenášeny osobní údaje?

Používání Google Analytics nebo jiných zahraničních služeb bez jakéhokoli dalšího nastavení ze strany provozovatele bude s největší pravděpodobností zahrnovat přeshraniční přenos osobních údajů a také nutnost dodržovat požadavky na lokalizaci osobních údajů.

Před zahájením přeshraničního přenosu osobních údajů je provozovatel povinen informovat Roskomnadzor o svém záměru provést přeshraniční přenos (část 3 článku 12 zákona č. 152-FZ). Neinformování Roskomnadzoru je porušením zákona.

Podání oznámení však s sebou nese i řadu důsledků:

• bude nutné pravidelně aktualizovat informace v registru správců osobních údajů,
• Musíte být připraveni kdykoli obdržet zákaz předávání osobních údajů do jedné či druhé země a restrukturalizovat své interní procesy tak, aby tento zákaz splňovaly.

Zároveň by se ani při podávání oznámení Roskomnadzoru o přeshraničním přenosu osobních údajů nemělo zapomínat na otázku lokalizace osobních údajů, jejichž přítomnost u provozovatele se pro Roskomnadzor stane ještě zřetelnější skutečností.

Měl by individuální podnikatel zveřejnit zásady ochrany osobních údajů?

Ano, Roskomnadzor se domnívá, že tento požadavek se vztahuje i na jednotlivé podnikatele.

V souladu s odstavcem 2 části 1 článku 18.1 zákona č. 152-FZ je provozovatel, který je právnickou osobou, povinen vydat dokument definující politiku provozovatele týkající se zpracování osobních údajů. Navzdory výše uvedenému ustanovení se Roskomnadzor domnívá, že provozovatelé osobních údajů, kteří jsou individuálními podnikateli, musí také zveřejnit (a tedy předem zveřejnit) dokument definující politiku týkající se zpracování osobních údajů na webových stránkách.

Odkaz na článek v sekci SHORTREAD.