Traitement des données personnelles pour une petite boutique en ligne

Des amis ont été impressionnés par la nouvelle amende d'un million de roubles dans le Code des infractions administratives:

Article 13.11. Violation de la législation de la Fédération de Russie dans le domaine des données personnelles
8. Omission par l'opérateur de collecter des données personnelles ... obligations d'assurer l'enregistrement, la systématisation, l'accumulation, le stockage, la mise à jour ... ou l'extraction des données personnelles des citoyens de la Fédération de Russie à l'aide de bases de données situées sur le territoire de la Fédération de Russie, - ... aux personnes morales (et aux entrepreneurs individuels) - d'un million à six millions de roubles.

Le serveur sur lequel se trouve leur magasin est à l'étranger. Ils sont intéressés par ce qu'il faut faire, s'il est nécessaire de faire beaucoup d'efforts. Faites immédiatement une réservation que le magasin est basé sur un système de gestion auto-écrit, qui contient des éléments de conformité avec 152-FZ "Sur les données personnelles". D'après mon texte, il sera clair que d'autres devront se prononcer.

Commencez immédiatement avec des millions d'amendes. Revendiquez à Roskomnadzor que bien que le site soit situé à l'étranger, le traitement est effectué en Russie. Lors de la commande, l'utilisateur entre ses données personnelles, qui sont immédiatement envoyées pour traitement en Russie. Les données personnelles autant que l'utilisateur le souhaite sont stockées sur son appareil dans des cookies. Un serveur à l'étranger est un simple lien de transfert. Lorsque vous le désactivez, toutes les commandes reçues seront exécutées. Essayez de vous limiter à cela. Roskomnadzor n'a pratiquement pas le droit d'exiger quelque chose de plus.

Tout ce que j'écris n'est en aucun cas la vérité ultime. J'indique seulement la position à laquelle vous devez vous conformer lorsque vous traitez avec Roskomnadzor et dans de mauvaises circonstances devant un tribunal.

Lors de la définition d'une politique de traitement des données personnelles, lisez l'intégralité de l'article 13.11. de CAO. Tout ce qui n'est pas mentionné dans cet article, oubliez immédiatement. Ne pas bien et bien.

La «Politique sur le traitement des données personnelles» publiée sur le site doit être minimale et contenir quelque chose comme ceci: «Le traitement des données personnelles est effectué pour exécuter le contrat d'offre, ainsi que pour conclure le contrat à l'initiative de la personne concernée. L'opérateur met en œuvre les mesures nécessaires pour protéger les données personnelles. " En fait - il s'agit d'un résumé du paragraphe 5, paragraphe 1, de l'article 6 152-FZ et du paragraphe 3 de l'article 13.11 Code administratif. N'oubliez pas de mettre un lien vers le fichier avec un tel contenu au moins depuis la page principale du site sous le nom "Politique de confidentialité".

Avec cette politique, vous éliminez immédiatement la nécessité d'enregistrer les opérateurs de données personnelles dans le registre, vous n'avez pas à vous demander comment rédiger des documents pour les services de courrier et de messagerie. Vous n'avez pas besoin d'obtenir le consentement de l'utilisateur pour le traitement des données personnelles.

Dans un délai d'un mois après l'exécution de la commande, toutes les données personnelles du client doivent être supprimées ou anonymisées.

La question se pose immédiatement de savoir quoi faire avec les non-acheteurs qui n'ont pas payé les frais de port. Vous avez le droit de stocker leurs données personnelles jusqu'à ce qu'ils aient fermé leur dette. Conformément à la loi, le client est tenu de compenser les frais de livraison de produits de qualité non achetés même si la livraison sur le site est conditionnellement «gratuite». Il est préférable de l'enregistrer dans l'offre. Bien que cette disposition de la loi fédérale soit valable indépendamment des souhaits du vendeur ou de l'acheteur, pour le traitement des données personnelles avec un tel enregistrement, les prétentions de quelqu'un que le contrat est toujours en cours d'exécution sont immédiatement éliminées.

De toute évidence, les vendeurs normaux n'envoient pas de rappels à ces clients, il y a plus d'hémorroïdes que d'argent réel ne peut être reçu, mais au moment où le non-acheteur a passé une nouvelle commande, ils lui rappellent immédiatement que vous devez d'abord rembourser la dette de la commande précédente. Et laissez les concurrents souffrir avec lui maintenant.

Ne collectez pas de contacts pour spammer les «utilisateurs» avec du spam. C'est un péché en soi et il est juridiquement très difficile de le faire. Je comprends que les commerçants me jetteront des œufs pourris, mais si vous voulez dormir paisiblement, vous n’avez pas besoin de le faire.

Si vous ne pouvez pas tolérer les ventes par le biais d'abonnements, empruntez des documents sur le site Web Eldorado. Lors de la préparation de l'article, j'ai ouvert une liste de boutiques en ligne pour donner des exemples. Et il a été surpris quand il s'est avéré qu'à Eldorado, ils étaient capables de tout arranger magnifiquement.

Mais la plupart des autres magasins demandent simplement l'attention des inspecteurs.

Les principales erreurs:

1. Il n'y a aucune référence à la politique de traitement des données personnelles (Clause 3 de l'article 13.11. Du Code des infractions administratives de 5 à 30 mille roubles pour les entrepreneurs individuels et les personnes morales).
2. Ils donnent à l'utilisateur le droit de consentir au traitement des données personnelles, et un lien est donné à la politique de traitement des données personnelles. En fait, la politique ne peut pas être considérée comme un consentement. Ce sont des documents différents.
3. Ils offrent un consentement unique pour tout ce qu'ils souhaitent traiter indéfiniment les données personnelles, puis une énorme liste d'objectifs se poursuit.

Je m'attarderai sur ce dernier. Les spécialistes du marketing "intelligents" estiment que lors de la vente d'un produit, l'utilisateur doit donner son consentement au traitement des données personnelles, ce qui indique, entre autres, la possibilité de nouveaux contacts avec le client pour une durée illimitée à l'initiative du magasin. Et dans leurs rêves, c'est légal.

En fait, nous lisons attentivement 152-FZ:

1. Le sujet des données personnelles prend une décision sur la fourniture de ses données personnelles et consent à leur traitement librement, par sa volonté et dans son intérêt. Le consentement au traitement des données personnelles doit être spécifique, informé et conscient.

Cela peut entraîner une situation: la personne concernée a acheté la marchandise en mettant un terme au consentement au traitement des données personnelles. De nombreux magasins ne vous permettent tout simplement pas de passer une commande sans cette griffe. Ayant reçu la prochaine newsletter, dont il n'a pas besoin pour rien, une déclaration est écrite à Roskomnadzor selon laquelle il n'a pas donné son consentement au traitement des données personnelles à des fins publicitaires. Dans son intérêt, il a accepté le traitement des données personnelles afin de recevoir la marchandise, tous les autres objectifs lui ont été imposés.

En conséquence, le consentement écrit n'est pas conforme aux exigences de la loi et le traitement des données personnelles nécessitant un consentement est effectivement effectué sans sa réception légale. Roskomnadzor est obligé d'ouvrir une procédure administrative en vertu de la clause 2 de l'article 13.11 du Code des infractions administratives (de 10 à 75 000 roubles pour les entrepreneurs individuels et les personnes morales).

Pour ceux qui n'ont pas rencontré la machine d'État, je peux dire tout de suite que la première rencontre sans le soutien d'un bon avocat ne sera pas en votre faveur. Si les commentaires montrent de l'intérêt pour l'analyse du râteau que j'ai attaqué, alors dans la deuxième partie, je peux vous dire comment, avec l'aide du représentant de Roskomnadzor, je n'ai pas pu prouver en justice que l'adresse de ma résidence est mes données personnelles!

PS: Je recommande fortement à tous de lire les lois relatives à la protection des données personnelles et d'introduire au moins quelque chose qui ne nécessite pas d'investissements. Par exemple, en supprimant les données personnelles à temps, vous pouvez vous protéger contre les employés qui ont décidé de devenir vos concurrents les vacances du Nouvel An, en saisissant la base de ceux qui étaient vos clients.