Онлайн-бизнес: юридическая упаковка и сопровождение интернет-проектов - Елена Федорук

Да, поскольку в данном случае всякий раз, когда кто-то смотрит или читает отзыв, он получает доступ к таким данным и при этом является третьим лицом.

Лайфхаки: убрать из отзыва все персональные данные – закрасить фото и ФИО на скриншоте письменного отзыва; не подписывать видеоотзыв; дать возможность человеку самому разместить свой отзыв.

Можно ли брать согласие на обработку персональных данных по телефону?

Нет! Получение согласия на обработку персональных данных по телефону либо посредством sms действующим законодательством РФ не установлено.

Как быть, если ученики моих онлайн-курсов – несовершеннолетние? (Рисование, иностранные языки, кондитерские курсы и т. п.) Они сами дают согласие?

По закону согласие на обработку персональных данных несовершеннолетних дают их родители или законные представители. Также возможно предоставление (оператору) персональных данных своих других близких родственников – при наличии письменного согласия от указанных лиц. Оператор, конечно же, не может проверить наличие или отсутствие такого согласия. Поэтому в Политике обработки персональных данных рекомендую указывать, что за достоверность данных и правомерность их предоставления несет ответственность лицо, которое их предоставило.

Какая ответственность предусмотрена за нарушение ФЗ «О персональных данных»?

Самая разная! Уголовная, административная, дисциплинарная и иная (см. ст. 24 ФЗ «О персональных данных»).

Уголовная наступает за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, и неправомерный доступ к охраняемой законом компьютерной информации (ст. 137, 272 УК РФ).

Административная ответственность предусмотрена за следующее:

• неправомерный отказ в предоставлении гражданину собранных в установленном порядке документов, материалов, несвоевременное предоставление таких документов и материалов, непредставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39 КоАП РФ – накладывается штраф от 5 до 10 тыс. руб. на должностное лицо);

• обработка персональных данных в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора персональных данных (ч. 1 ст. 13.11 КоАП РФ – предупреждение или штраф 1–3 тыс. руб. на гражданина, 30–50 тыс. руб. – на юрлицо);

• обработка персональных данных без письменного согласия субъекта, когда это необходимо, либо обработка данных с нарушением требований к составу сведений, включаемых в такое согласие (ч. 2 ст. 13.11 КоАП РФ – штраф на граждан от 3 до 5 тыс. руб., на юридических лиц – от 15 до 75 тыс. руб.);

• иные нарушения установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ч. 3–9 ст. 13.11 КоАП РФ), среди которых особенно неприятна ответственность за невыполнение оператором при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, предусмотренной законодательством РФ в области персональных данных обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ (ч. 8 ст. 13.11 КоАП РФ), – поскольку за такое правонарушение следует штраф на граждан в размере от 30 до 50 тыс. руб., а на юридических лиц – от 1 до 6 миллионов рублей. Впечатляет, не правда ли? За повторное такое нарушение (ч. 9 ст. 13.11 КоАП РФ) штраф составит от 50 до 100 тыс. руб. на граждан и от 6 до 18 (!) миллионов (!) рублей на юридических лиц. И самое неприятное в этом моменте то, что за эти административные правонарушения (по ч. 8 или 9 ст. 13.11 КоАП РФ) лица, осуществляющие предпринимательскую деятельность без образования юридического лица, несут административную ответственность как юридические лица;

• разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) (ст. 13.14 КоАП – штраф на граждан в размере от 500 до 1 тыс. руб.; на должностных лиц – от 4 до 5 тыс. руб.);

• непредставление или несвоевременное представление в государственный орган (должностному лицу) сведений (информации), представление которых предусмотрено законом и необходимо для осуществления этим органом (должностным лицом) его законной деятельности, а равно представление в государственный орган (должностному лицу) таких сведений (информации) в неполном объеме или в искаженном виде (ст. 19.7 КоАП РФ – штраф на граждан от 100 до 300 руб., на юрлиц – от 3 до 5 тыс. руб.).

Чтобы уточнить, обязаны ли вы или ваша организация подавать уведомление об обработке персональных данных, можно обратиться в Роскомнадзор. Дозвониться или получить ответ в электронном виде – реально.

Со сбором персональных данных связано много историй из жизни. Наверняка вы не раз замечали, что стоит вам набрать в поисковой строке браузера какой-то запрос – вас начинает преследовать реклама схожих товаров или услуг. Бывает и так, что вы заходите на какой-либо сайт, находитесь на нем некоторое время, возможно, что-то рассматривая более подробно, и уходите. А на следующий день вам звонят менеджеры фирмы с этого сайта и предлагают рассказать подробнее об одном из продуктов, который мог бы вас заинтересовать? Здесь мы имеем дело с очень интересным явлением.

Кликджекинг: законно ли?

Законно ли собирать персональные данные без согласия их собственника? В некоторых случаях – да: если, к примеру, обработка персональных данных необходима для защиты жизни, здоровья или для осуществления прав и законных интересов оператора или третьих лиц и еще в ряде случаев (п. 2–11 ст. 6 ФЗ «О персональных данных»). Но любое лицо, собирающее и обрабатывающее персональные данные не в соответствии с названными пунктами и без согласия на то субъекта персональных данных (читай: любого физического лица), делает это незаконно.

Но как? Как такие сайты умудряются узнавать номера телефонов?

Кликджекинг (от англ. clickjacking) – это технология обмана пользователей интернета, основанная на том, что на странице кроме видимых элементов располагаются невидимые.

Невидимые кнопки, ссылки размещаются поверх видимых кнопок и ссылок – там, где кликают пользователи. Соответственно, по клику происходит действие, которого пользователь не ожидал: например, подписка на какую-то группу в соцсети. Для себя я объяснила это еще проще: это как в Инстаграме – когда в сторис поверх ссылки на пост располагаешь картинку (к примеру, с надписью «Newpost»), то человек, нажимая на эту картинку, переходит в сам пост. Но при кликджекинге такие картинки могут быть прозрачными (невидимыми).

Разновидностью кликджекинга является соцфишинг (то же самое, но невидимые кнопки привязаны к соцсетям). Тогда могут не только звонить, но и писать в личные сообщения на платформе соцсети…

Технически такие махинации осуществляются скриптами – специальными программками. Но их можно выявить и удалить. (Если, конечно, это ваш сайт и вы только сейчас узнали о том, что кликджекинг – это незаконно.) Еще в 2015 году Яндекс ввел фильтр за кликджекинг, который «наказывает» недобросовестных сайтовладельцев снижением