Сколько ты стоишь: Как выгодно продать персональные данные
Начнем с того, что изменения в статье 13.11 КоАП по поводу нарушения закона о персональных данных вступят в силу 01.07.2017 года, а это значит, что еще есть время, чтобы привести свои сайты в порядок.
Штрафы не только разделили на разные виды нарушений, но и увеличили в разы. Например, если на Вашем сайте отсутствует политика конфиденциальности, то штраф, в случае, если Вы индивидуальный предприниматель, составит 10 000 рублей. Если речь идет о компании – то не менее 30 000 рублей. А вот в случае обработки персональных данных без согласия клиента интернет-магазина или подписчика на информационные курсы, штраф для юридического лица может быть в размере до 75 000 рублей. Частному предпринимателю или директору фирмы в данной ситуации придется заплатить около 20 000 рублей.
Как узнать, являюсь ли я оператором персональных данных?
Персональные данные – любая информация о человеке, по которой можно точно установить его личность. Для владельцев сайтов сюда относятся формы обратной связи, личные кабинеты, подписки, регистрации, а также необходимость заполнить анкету. Даже если на Вашем ресурсе есть только кнопка для звонка – все равно это делает Вас оператором обработки персональных данных.
Правила для владельцев сайтов
Если Вы еще до сих пор ничего не сделали – рекомендуем поторопиться. Ведь оштрафовать Вас могут уже сегодня. А в помощь – наши простые правила, которые помогут избежать финансовых трат и проблем с законом. Итак:
- Если на Вашем веб-ресурсе есть какие-либо формы, запрашивающие персональные данные (далее ПД), то в обязательном порядке необходимо под каждую из них поставить предложение «Даю согласие на обработку моих персональных данных» и окошко для галочки.
- В предложении «Даю согласие на обработку моих персональных данных» поставить гиперссылку на документ, в котором будут прописаны все условия обработки ПД.
- Подготовьте текст документа с условиями обработки ПД. Например, это может быть оферта, пользовательское соглашение - как у «Ламоды », официальное уведомление, как у «М-видео », политика конфиденциальности, как у «Адидаса » или «Озона ». Важно!
Не стоит копировать полностью текст с других ресурсов. Нужно учесть, что информация, необходимая банку для оформления кредита или интернет-магазину для доставки товара, не понадобится для электронной рассылки или доски объявлений. Не стоит запрашивать ненужные вам данные, ведь за это тоже грозит штраф. Тексты с других сайтов можно использовать только в качестве ориентира, прописав свой список данных и цели использования. Согласно ст.9 Федерального закона №152-ФЗ в нем должна содержаться следующая информация:
ФИО, адрес субъекта ПД, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
Наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта ПД;
Цель обработки ПД;
Список ПД, на обработку которых субъект дает согласие;
Наименование или ФИО и адрес лица, осуществляющего обработку ПД по поручению оператора, если обработка будет поручена такому лицу;
Перечень действий с ПД, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПД;
Срок, в течение которого действует согласие субъекта ПД, а также способ его отзыва (если иное не установлено законом);
Подпись субъекта ПД
- Подайте уведомление об обработке ПД в Роскомнадзор .
Запрет хранения персональных данных на европейских серверах. Правда или миф?
Правда. Операторы должны при сборе персональных данных, в том числе посредством Интернета, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории нашей страны. Кроме того, россиянам предоставлено право в судебном порядке требовать удаления своих персональных данных, если они размещены в Интернете с нарушением законодательства. За хранение персональных данных, полученных посредством российских сайтов, так же последует штраф, вплоть до блокировки ресурса.
"Чет я очкую". "Да ты успокойся! Я сто раз уже так делал"
Думаете, никого не будут штрафовать из-за каких-то форм на сайте и ненужных бумаг? Будут, к сожалению. Прекрасный способ пополнить госказну.
В Тамбовской области прокуратура оштрафовала юридическую компанию за заполнение формы обратной связи без согласия пользователя на обработку персональных данных. Суды поддержали.
Директора управляющей компании оштрафовали за то, что он передал юристам данные должников, чтобы составить исковые заявления. Согласие на обработку персональных данных у жильцов он не получил. Конституционный суд ему не помог .
В Астрахани прокуроры штрафуют владельцев сайтов за формы обратной связи по алфавиту.
Хотите внести изменения на свой сайт как можно скорее?
Конечно, для владельцев сайтов этот вопрос очень актуален, и следует предпринимать действия для избежания писем и штрафов от Роскомнадзора уже сейчас. Придется заняться доработками всех форм обратной связи и корзины на сайте, разработать персонализированные Правила и соглашения, разместить их на сайте в открытом доступе. Поэтому, если Вы не в силах решить это самостоятельно, команда Зекслер будет рада Вам помочь .
Казалось, он так и останется на бумаге. Принятый «27» июля 2006 г. Федеральный закон № 152-ФЗ «О персональных данных» долгое время не вызывал у игроков рынка ничего, кроме иронии и скепсиса. Тем неожиданнее стало требование Роскомнадзора, которое он выдвинул этим летом в отношении знаменитых купонных сервисов: Группон, КупиКупон, Биглион и некоторых других. Их попросили отчитаться о мерах по защите личной информации подписчиков. Формальным поводом к проверке послужили объявления в Сети о продаже баз данных, которые, в общем-то, уже не редкость.
О результатах проверки пока ничего не известно, но уже есть все основания предполагать, что это – только начало. Купонаторы оказались первыми в силу своей популярности, но они далеко не рекордсмены по сбору информации о клиентах. Операторами персональных данных, подпадающими под действие закона, являются все компании, чей бизнес так или иначе связан с идентификацией потребителя, и среди них есть и более «осведомленные» сферы деятельности:
Медицина (государственные и частные лечебные учреждения);
Кредитно-финансовые учреждения;
Сфера страхования;
Операторы сотовой связи;
Компании туриндустрии;
Агентства по подбору персонала;
Риэлторские компании;
Авиационные пассажирские перевозки.
Сегодня в России таких компаний более 5 миллионов. Кто следующий?
Чем грозит игнорирование закона?
Нарушение 152-ФЗ «О персональных данных» чревато дисциплинарной, гражданской, административной, уголовной ответственностью:
штрафы до 300 000 рублей;
конфискация средств защиты информации;
приостановление деятельности предприятия;
исправительные работы;
лишение свободы и т.д.
Штраф накладывается за зафиксированное нарушение, что вовсе не исключает возможность повторного взыскания штрафа. Это как если бы вы ехали на автобусе без билета, и на каждой остановке заходил контролер и штрафовал вас за безбилетный проезд. Так и здесь, выдается предписание о немедленном устранении нарушений, например, в течение 3 дней. После проверка приходит снова, и вас снова штрафуют - и так до бесконечности, пока вы не выполните все требования 152-ФЗ, что недешево и небыстро.
Более того, соответствие закону контролируют не только госорганы, но и грамотные пользователи. При утечке информации любой пользователь сможет подать гражданский иск, где сумма морального ущерба будет исчисляться фантастическими суммами. Так, год назад был подан иск по жалобе одной из посетительниц сайта, которая нашла на нем личные данные шести человек. Роскомнадзор в процессе выступал в интересах неопределенного круга лиц, и требовал уничтожить персональные данные, которые к тому моменту были размещены на сайте. Сведения эти публиковались для поиска родственников, а сам сайт представляет собой крупнейший российский генеалогический ресурс. Дело закончилось мировой. Но это, вероятно, первое и последнее дело с подобным исходом.
Что же делать?
Существует, как минимум, четыре способа, отличающиеся степенью риска в отношении базы данных в частности и бизнеса в целом.
Уничтожить базу данных. За что маркетологи не скажут вам спасибо. Клиентская база - источник повторных продаж: маркетинговые инвестиции в 5 раз меньше, чем в новых клиентов, а доходы от старых клиентов в 2 раза выше, чем от новых.
Сделать так, чтобы информация в базе данных была обезличена в понимании 152-ФЗ. Это значит, что собранная информация должна содержать минимум данных, чтобы субъекта невозможно было идентифицировать. Но, например, такая мелочь, как личное обращение к клиенту, является одним из условий успешной email - рассылки – надежного маркетингового инструмента, и что вы будете делать с обезличенной базой?
Имея возможность самостоятельно определять категорию обрабатываемых данных, компании впадают в соблазн намеренно занижать его, чтобы освободить себя от дополнительных хлопот с аттестацией и сертификацией оборудования и защитой информации. Но при первой же проверке Роскомнадзора, ФСТЭК или ФСБ подлог без труда будет раскрыт.
4. Соответствовать требованиям 152-ФЗ. На взгляд законодателей, безопасность персональных данных может гарантировать:
добровольное письменное согласие клиента на использование его данных;
внутренний документ в компании, который регламентирует работу с персональными данными;
сотрудник, работающий с персональными данными, имеющий специальное образование в области технической защиты информации;
наличие (класс 1 - 3) лицензии ФСТЭК на осуществление деятельности по технической защите конфиденциальной информации
Сегодня из 5 миллионов российских компаний-операторов персональных данных требованиям закона соответствуют лишь 230 000. Остальные являются формальными нарушителями, что и понятно: работа над соответствием - это трудоемкий и дорогой процесс. По оценкам одного известного банка, приведение деятельности к стандартам может стоить от 1,5 млн рублей и занять 3 года.
Тем не менее, эту процедуру уже начали проводить те, кто всегда находится под пристальным внимание м регулирующих органов – банки, страховые, авиа-компании.
Но маркетинговая активность поставила эти компании перед очередной проблемой. Организация масштабных программ лояльности порой требует передачи клиентской базы сторонним подрядчикам – дело в том, что технические возможности собственного аппаратно-программного комплекса часто ограничены и не позволяют работать с большими объемами писем к клиентам. Так вот если компания, которой база передана для работы, в свою очередь, не соответствует требованиям 152-ФЗ, все усилия по защите данных внутри компании можно считать напрасными: вы - нарушитель.
Кому доверять?
В настоящий момент на рынке решений, которые обеспечивают рассылку емейлов по клиентской базе данных, не так много компаний, заявляющих о наличии аттестованных продуктов, а среди полнофункциональных и способных рассылать в краткие сроки большие объемы писем (а в отношении крупных компаний счет идет на миллионы), пожалуй, всего один. Это сервис, разработанный петербургской компанией сайт (ЗАО «Интернет-Проекты» ).
Инструмент, получивший название , имеет аттестат соответствия требованиям по информационной безопасности № СПАЯ.141011АК1 в системе сертификации ФСТЭК России РОСС RU.0001.01БИОО.
Обмен информацией между клиентом и SubscribePRO проходит по защищенным VPN - тоннелям. Необходимые для полноценной работы данные хранятся в информационной системе, прошедшей проверку и аттестацию, на серверах, расположенных в России и принадлежащих российской компании. Это значит, они подчиняются российскому законодательству, чем не могут похвастаться другие крупные сервисы емейл-маркетинга.
Компании с повышенными требованиями к безопасности могут шифровать свои базы с невозможностью доступа к ним даже при получении доступа в аккаунт. Для усиления безопасности возможно также использование биометрической AGSES-карты, которая обеспечивает безусловную взаимную аутентификацию доступа и подтверждение операций.
Как закон помог маркетологам?
Таким образом, федеральный закон «О персональных данных» с одной стороны, поставил под угрозу работу маркетологов, связанную с рассылкой по клиентской базе, а с другой, напротив, подтолкнул компании к использованию мощных профессиональных инструментов рассылок, способных решать ранее недоступные задачи:
рассылать письма автоматически в заданное время;
делать это со скоростью более 4 млн писем/час;
сегментировать базу данных на группы получателей;
по имени обращаться к каждому клиенту;
поддерживать фирменный стиль в оформлении писем;
получать статистику доставки писем и откликов на них;
не попадать в SPAM -листы.
В случае с 152-ФЗ выходит, что обойти законодательство будет гораздо дороже, чем ему соответствовать - и речь здесь идет не только о времени и деньгах, но и о репутации компании, которая сама по себе является весьма серьезным маркетинговым инструментом. При работе с профессиональным подрядчиком опасность утечки информации при рассылке можно с уверенностью исключить.
Еще один закон, принятый в пользу маркетологам, - 161-ФЗ «О национальной платежной системе», в той его части, которая обязывает банки «информировать клиента о совершении каждой операции с использованием электронного средства платежа путем направления клиенту соответствующего уведомления ». Если раньше этим инструментом повышения лояльности пользовались лишь некоторые банки, то с 1 января 2013 года, когда п. 4 ст. 9 161-ФЗ должен вступить в силу, - обязаны будут все.
Ведущие финансовые организации страны уже начали проведение тендеров среди рассылочных компаний. Они понимают, с какими объемами работы придется столкнуться, и использование аттестованного подрядчика в этом случае - наименее затратный и наиболее эффективный способ решения проблемы.
