На этой неделе пользователи обратили внимание на странное поведение десктопной версии национального мессенджера MAX. Камера, по их словам, начинала «просыпаться» каждые 5–10 минут без каких-либо действий со стороны владельца. Один из юзеров пожаловался, что антивирус регулярно выдаёт уведомление: «Приложение MAX использует камеру». Таких сообщений за день могло быть десятки. Слухи быстро разошлись по соцсетям и Telegram-каналам (KTV-Ray).

В пресс-службе мессенджера, конечно, тут же выступили с разъяснением: никакого «шпионского режима» нет и быть не может. «Без активного действия пользователя приложение не запрашивает доступ к камере и не использует её», — цитирует заявление ТАСС. Там подчеркнули, что камера активируется только по воле самого пользователя — например, во время видеозвонка (Лента.ру).

Разработчики напомнили и о другом: национальный мессенджер MAX недавно согласовал с ФСБ требования по обеспечению безопасности для доступа к инфраструктуре «Госуслуг». «Техническая реализация и тестирование уже ведутся», — говорил ранее министр цифрового развития Максут Шадаев (Газета.ру).

Заказываем шторку для камеры.

1. Первым делом нужно подать заявку в РКН, указав основные Цели сбора ПД и адреса ЦОД (дата-центров), где у вас хранятся данные пользователей (а их может быть много! Ниже приведу наш пример)

2. Привести в порядок сайт: формы, сообщение о сборе кукис, политику конфиденциальности и согласие на обработку ПД. Если у вас есть лендинги, квизы или другие сайты, приводить в порядок нужно их все.

3. Подготовить все внутренние документы организации, которые требует собрать Роскомнадзор.

Первые два этапа нужно сделать как можно скорее. Третий - в спокойном режиме.

Далее подробно по каждому этапу.

Этап №1. Подача заявки в РКН

Подача заявления начинается тут: https://pd.rkn.gov.ru/operators-registry/notification/

Инструкций по заполнению сейчас в сети уже довольно много. Справится любой бухгалтер.

🔗 Скачать пример нашей заявки, сгенерированной в ЛК РКН

На что нужно обратить внимание:

1️⃣ Регион обработки: лучше указать "вся РФ". Но если есть офлайн-филиалы в регионах, то перечислите регионы в отдельности.

2️⃣ Цели обработки ПД:

• Если у вас нет сайта, чат-бота, квиза и прочих ресурсов, на которых с помощью форм обратной связи вы собираете ПД, а только 1С, то укажите только 2 основные цели: 1) Кадровый учет и 2) Исполнение договора

• Если в вашем случае больше вариантов, то выберите все подходящие вам цели (их около 30).

• Перечень Целей в заявке должен быть строго таким же, как вы указываете в тексте "Политика обработки персональных данных" (РКН это проверит)

3️⃣ Места нахождения баз данных (ЦОД):

• Указывается полный адрес ЦОДа: город, улица, дом, номер офиса или квартиры, где стоит сервер, на котором вы храните данные пользователей.

• Если у вас ЦОД в аренде (или вы пользуетесь облачным сервисом рассылки, хостинг сайта или Яндекс.Диск), то нужно указать наименование юрлица организации, ИНН, ОГРН и адрес (тут не обязательно указывать адрес конкретного ЦОД, достаточно указать юридический адрес сервиса, его можно найти на сайте или спросить в техподдержке сервиса).

• Если вы простой ИП-шник без сайта, рассылки, чат-бота, crm, но есть 1С, то хотя бы один ЦОД вы все-равно должны указать, т.к. с помощью 1С вы уже осуществляете автоматическую обработку данных сотрудников и/или контрагентов. Укажите адрес, где у вас находится 1С. Если это облачная 1С, укажите их юр.адрес.

Например, у нас оказалось 7 ЦОДов: 1) Сайт агентства 4rome.ru — собственный арендованный сервер в РФ 2) 2 лендинга ppc.4rome.ru и zavod.4rome.ru — сервера сервиса “Тильда” 3) CRM — собственный арендованный сервер в РФ 4) Рассылки — сервера сервиса Юнисендер 5) Колтрекинг — сервера сервиса UIS  6) Яндекс.Метрика — сервера Яндекс 7) Заявки через лид-формы — сервера сервиса "Марквиз"

4️⃣ Трансграничная передача ПД

Лучше бы, чтобы у вас ее не было.

• Если у вас есть сервисы, которые передают данные сразу за границу (минуя РФ-сервера), например google-analytics, и вы не уведомили об этом РКН, то вам грозит штраф от 1 до 6 млн. рублей.

• Если вы уведомите РКН, что у вас есть трансграничная передача данных, то штрафа не будет (пока!), но скорее всего они к вам придут для проверки, что у вас все правильно выстроено и лишние данные не утекают за границу (Проверят все документы, процессы, будут задавать много вопросов. Оно вам надо?)

Этап №2. Приводим все сайты в порядок

Привести в порядок нужно все свои сайты, лендинги и средства коммуникации: рассылки, чат-боты, сервисы для сбора заявок и пр. Везде, где вы собираете персональные данные.

1️⃣ Удалить с сайта Google Analytics, ГУГЛ-формы и Google Tag Manager (GTM) и все другие иностранные сервисы.

💰Рискуете заплатить штраф более 1 миллиона за трансграничную передачу данных.

⚠️Google Search Console можно продолжать использовать, т.к. в ней не собираются ПД и кукис.

2️⃣ Если решили оставить Google Analytics, или у вас на сайте какой-то другой иностранный сервис собирает данные, который вам не хочется удалять, то в заявлении в РКН нужно указать, что Осуществляется трансграничная передача данных (но лучше от этого избавится - см. пункт №1)

3️⃣ Разместите в подвале вашего сайта ссылку на документы "Политика обработки Персональных данных" и "Согласие на обработку персональных данных"

• При размещении Политики и Согласия — проверяйте, правильно ли внутри нее указаны ссылки на документы. Политика ссылается на Согласие, а Согласие на Политику

• В тексте Согласия и Политики должны быть формулировки текстов, которые вы напишете на сайте рядом с галочками в лид-формах. Тексты должны быть одинаковыми везде

Пример наших документов. Пользуйтесь!
🔗 Политика обработки персональных данных
🔗 Согласие на обработку персональных данных

Если у вас на сайте нет лид-форм, либо есть только ссылки перехода в соц.сети по кнопкам «написать нам» или «связаться», то вы на этом сайте не обрабатываете персональные данные и Политику обработки данных размещать НЕ нужно.

4️⃣ Оформление лид-форм на сайтах.

Рядом с каждой формой, где собирается ПД (мейл/телефон + ФИО) поставьте 2 галочки: “Согласие на обработку ПД” и “Согласие на рассылку.” 💰Цена вопроса — 500 000 за каждую жалобу на неправомерную рассылку

Рекомендуемые варианты текстов перед лид-формами:

🔲 «Я даю согласие на обработку персональных данных на условиях Политики обработки персональных данных»  🔲 Я согласен получать рекламные и информационные материалы

Если это не форма, а чат-бот, то вместо галочки под кнопкой подтверждения напишите:

«Нажимая на кнопку “Название кнопки”, я даю согласие на обработку персональных данных на условиях Политики обработки персональных данных»

⚠️ Слово «согласие» и слова «политика обработки» кликабельны и ведут на соответствующие тексты.

Если на сайте есть возможность оплаты и/или регистрация пользователей то вместо Согласия вы размещаете Оферту или Пользовательское соглашение. В этом случае, текст первой галочки должен быть другим:

🔲 «Я принимаю условия Оферты, а также даю согласие на обработку персональных данных на условиях Политики обработки персональных данных»

а в чат-боте:

«Нажимая на кнопку “Название кнопки”, я принимаю условия Оферты, а также даю согласие на обработку персональных данных на условиях Политики обработки персональных данных»

⚠️ Слово «оферта» и слова «политика обработки» кликабельны и ведут на соответствующие тексты.

Для форм вида "Подписка на новости", где берется только телефон и/или email для рассылок и звонков (без сбора ФИО) может быть только одна галочка:

🔲 Я согласен получать рекламные и информационные материалы

⚠️НО! Если для рассылок берется еще и имя, то должно быть 2 галочки: "Согласие на обработку" и "Согласие на рассылку".

5️⃣ Согласие на сбор cookies (куки)

Если на сайте установлена Яндекс.метрика, какие-то счетчики и сайт собирает cookies (куки), то рекомендуем делать незаметные всплывающие окна на сайте с текстом:

“Мы используем файлы cookie, чтобы улучшить работу сайта”

и дальше это окно либо пропадает само, либо можно добавить кнопки «согласен» / «понятно»

6️⃣ Нужно раз в полгода или в год делать аудиты своих сайтов и способов коммуникации (чат-боты, лендинги, квизы, рассылки) на соответствие законодательству о защите персональных данных каждый год. У вас могут появиться новые сайты, новые формы, новые маркетинговые сервисы. Может измениться телефон или ответственное лицо за ПД и пр.

После проведение аудита, нужно подавать уточненные отчеты в РКН. Сделайте эту процедуру рутинной, чтобы в РКН данные были обновлены, и они видели, что вы следите за этим. Так вероятность того, что они к вам придут очень низкая.

Этап №3. Внутренние процессы и документы

Если к вам придет РКН с проверкой, то он запросит у вас большое количество документов. Именно поэтому важно срочно правильно подать заявку и привести в порядок свои средства коммуникации и сайты, чтобы у РКН не возникло желания вас проверять.

Что нужно подготовить обязательно:

1️⃣ Если вы имеете доступ к данным контрагентов вашего клиента — телефоны, потребности, имена, email (актуально для маркетинговых агентств), и используете их во внутренних отчетах, рекламных кампаниях, доработках сайта, автоворонках, то вам стоит в ближайшее время подписать дополнительные соглашения (Поручения на передачу ПД) со всеми клиентами, которые вам такие данные передают.

Если этого не сделать, при проверке вы рискуете неправомерным использованием данных, а ваш заказчик — утечки персональных данных 💰Цена вопроса — несколько миллионов рублей

2️⃣ Входящие звонки в компанию

Если вы их записываете, то нужно обязательно озвучивать звонящему, что "продолжая разговор вы даёте согласие на обработку персональных данных". Запись такого разговора нужно хранить как зеницу ока.

3️⃣ Чек-лист документов, которые вам нужно иметь для предоставления в РКН

Все эти документы организация может подготовить самостоятельно, используя базовые шаблоны кадровых систем или даже ChatGPT.

⚠️ Обязательно нужно учитывать специфику своей деятельности, а не слепо копировать шаблоны.

Базовый пакет документов. Его РКН требует при проверке со всех

1. Политика обработки персональных данных

2. Приказ о назначении лиц, ответственных за организацию обработки ПДн и обеспечение безопасности ПДн

3. Приказ о мерах по обеспечению исполнения требований законодательства РФ о персональных данных

4. Положение об обработке и обеспечении безопасности персональных данных (внутренний ЛНА)

5. Инструкция ответственного за организацию обработки персональных данных Заказчика

6. Инструкция ответственного за обеспечение безопасности персональных данных Заказчика

7. Инструкция по реализации процедур, направленных на выявление и предотвращение нарушений обработки ПДн

8. Регламент реагирования на запросы/обращения субъектов персональных данных и их представителей, уполномоченных органов

9. Журнал регистрации запросов и обращений субъектов ПДн

10. Перечень процессов обработки ПДн

11. Перечень мест хранения ПДн

12. Перечень процессов передачи ПДн третьим лицам

13. Перечень информационных систем персональных данных (ИСПДн)

14. Акт оценки возможного вреда субъектам персональных данных

15. Порядок уничтожения ПДн, формы актов об уничтожении ПДн

16. Порядок обезличивания ПДн

Дополнительные документы для организаций с сотрудниками

1. Перечень работников и других лиц, имеющих доступ к ПДн

2. Согласие на обработку персональных данных работников

3. Согласие на обработку персональных данных, разрешенных субъектом для распространения по работникам и контрагентам

4. Инструкция работника, допущенного к обработке персональных данных Заказчика

Дополнительные документы, если у вас есть свои ИТ-системы

1. Приказ о системе разграничения доступа к ИСПДн

2. Методика определения актуальных угроз безопасности ИСПДн

3. Методика определения уровня защищенности ИСПДн

4. Методика по выбору и обеспечению мер защиты ИСПДн

5. Модель угроз безопасности ПДн в ИСПДн

6. Приказ о назначении комиссии по защите персональных данных

7. Положение о комиссии по защите персональных данных, технические регламенты и инструкции

8. Регламент работы подразделения по защите информации

9. Инструкции пользователей АРМ (автоматизированное рабочее место)

10. Регламент реагирования на угрозы

11. Акт оценки информационных систем по классам защищённости

12. Уточненный адаптированный базовый набор мер защиты ИСПДн

13. Инструкция администратора ИСПДн

14. Журнал учёта инцидентов безопасности в ИСПДн