Чем грозит попадание сайта в реестр нарушителей персональных данных
Сайт можно заблокировать не только за пиратский контент. Роскомнадзор ведёт реестр нарушителей прав субъектов персональных данных, и попадание в него означает потерю доступа к сайту в России без предупреждений. Рассказываем, как компания туда попадает, что грозит бизнесу и как выйти из списка.
Сайт может заблокировать не только за пиратский контент. Роскомнадзор ведёт отдельный реестр нарушителей прав субъектов персональных данных, и попадание в него означает потерю доступа к сайту в России без предупреждений и переговоров. Разбираемся, кто и почему туда попадает и что делать, чтобы выйти из списка.
Что за реестр и откуда он взялся
Реестр нарушителей прав субъектов персональных данных появился в 2014 году, после Федерального закона № 242-ФЗ от 21 июля 2014 года. Механизм блокировки прописан в статье 15.5 Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Ведёт реестр Роскомнадзор.
В реестр вносят не компанию, а доменные имена, сетевые адреса и указатели страниц сайта, где обрабатывали персональные данные с нарушением закона. Для бизнеса разница невелика. Если сайт у компании один, доступ к нему в России закрывают целиком.
Как компания попадает в список
Основанием для включения в реестр служит решение суда, вступившее в законную силу. Административного порядка здесь нет. Роскомнадзор не блокирует сайт сразу по итогам проверки или предписания. Ведомство обращается в суд, если оператор добровольно не устранил нарушение 152-ФЗ.
Обычно порядок такой. Сначала Роскомнадзор находит нарушение. Сайт собирает персональные данные без согласия, без политики обработки, передаёт данные третьим лицам без правовых оснований или хранит их с нарушением требований к защите. Ведомство направляет требование устранить нарушение. Если компания не реагирует, дело идёт в суд. Суд подтверждает нарушение, решение вступает в силу, домен попадает в реестр.
Тот же путь возможен по жалобе субъекта персональных данных. Человек обращается в Роскомнадзор или сразу в суд, если считает, что сайт обработал его данные незаконно.
Что происходит после включения в реестр
Как только адрес сайта появляется в реестре, оператор реестра направляет информацию провайдеру хостинга, где размещён сайт. Хостинг-провайдер уведомляет владельца сайта о необходимости устранить нарушение. Если владелец не убирает нарушение в срок, доступ к сайту или странице ограничивают на уровне операторов связи по всей России.
Для компании это означает потерю доступа. Посетители из России не открывают сайт вовсе или не открывают отдельную страницу, если заблокирован не весь домен, а один указатель. Заявки не поступают, оплата через сайт не проходит, к прямым потерям выручки добавляются репутационные издержки.
Как выйти из реестра
Основанием для исключения служит отмена судебного акта или устранение нарушения в установленном законом порядке. На практике компания приводит обработку персональных данных в соответствие с 152-ФЗ и подтверждает это Роскомнадзору. После этого домен или страницу исключают из реестра, блокировку снимают.
Процесс не быстрый и не гарантированный. Пока идёт проверка устранения нарушения, сайт остаётся недоступен. Разумнее не доводить дело до суда.
Что сделать, чтобы не попасть в реестр
Проверить три вещи, за которые чаще всего наступает ответственность по 152-ФЗ.
- На сайте есть политика обработки персональных данных, и она соответствует реальной практике компании, а не скопирована с чужого сайта.
- Согласие на обработку персональных данных запрашивают до того, как данные собрали, и формулировка согласия соответствует целям обработки.
- С подрядчиками, которые получают доступ к персональным данным клиентов, например с CRM, платёжными системами и службами доставки, заключён договор поручения на обработку персональных данных.
Если Роскомнадзор уже прислал запрос или предписание, отвечать нужно в срок, указанный в документе, и указать, что именно исправлено и когда. Компания, которая игнорирует запрос, быстрее всего окажется в суде.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Проверить, не значится ли сайт компании уже в одном из реестров Роскомнадзора, можно самостоятельно.
Проверка компании в реестре операторов РКН
Частые вопросы
Могут ли заблокировать сайт без решения суда?
Нет. Единственным основанием для включения в реестр служит вступившее в законную силу решение суда. Закон не предусматривает внесудебной блокировки по этому основанию.
Заблокируют весь сайт или только страницу с нарушением?
Это зависит от судебного решения и от того, что внесли в реестр. Иногда это домен целиком, иногда сетевой адрес или указатель одной страницы. Если нарушение нашли, например, в форме заявки без согласия на обработку персональных данных, в реестр может попасть именно эта страница.
Как узнать, что домен внесли в реестр?
Роскомнадзор передаёт сведения хостинг-провайдеру, а тот обязан уведомить владельца сайта. На практике стоит и самостоятельно проверять реестры Роскомнадзора, если компания получала претензии или запросы по персональным данным.
Что делать, если компания не согласна с решением суда?
Решение можно обжаловать в вышестоящей инстанции в общем порядке, установленном процессуальным законодательством. Пока решение не отменено, оно действует, и основание для блокировки сохраняется.