Что необходимо сделать, чтобы ваш сайт соответствовал Закону РК "О персональных данных и их защите"

Примечание: дополнительную информацию по персональным данным вы можете прочитать перейдя по ссылкам следующих статей:

• «Защита Персональных данных в работе интернет магазина (интернет-сервиса)»;
• «Персональные данные пользователя: их отражение в Пользовательском соглашении и способы их поступления в интернет магазин (сервис)».

Приведем примерные действия, которые необходимо выполнить интернет магазину (сервису) в целях конфигурации сайта под действие Закона и защиты интернет бизнес от возможных претензий со стороны контролирующих органов:

Ин­вен­та­ри­за­ция и на­лад­ка IT-cис­тем

Если при разработке интернет сайта вами, либо разработчиком сайта, не были учтены особенности Закона и были применены стан­дар­тные IT-ре­ше­ния для ин­тер­нет ма­га­зи­нов (сервисов), - то в этом случае необходимо вы­яс­нить ар­хи­тек­ту­ру сай­та и воз­мож­нос­ти его пе­ре­дел­ки, выявить те системы которые обрабатывают персональные данные. Так, например, могут быть внедрены, при их отсутствии, Правила пользования сайтом, Пользовательское соглашение, формы заказов с шаблонами для персональных данных пользователей, дополнительные системы безопасности персональных данных и др. Все эти действия должны быть выполнены в рамках общей политики вашей компании в отношении пользователей вашего сайта, т.е. должна быть четко выстроена своеобразная система отношений с пользователями (подробнее об этом читайте в нашей статье на сайте: «От посетителя до клиента. Как закрыть юридические риски магазина в отношениях с пользователями на просторах интернета»).

При этом для снижения затрат на обеспечение безопасности крайне желательным представляется разделение web-сервера, сервера приложений и сервера баз данных на самостоятельные сегменты с использованием сертифицированных межсетевых экранов, и экранирование всей структуры сайта. Необходимо тщательно проанализировать категории обрабатываемых в каждом сегменте персональных данных (составить перечни), условия функционирования и имеющиеся в наличии средства защиты информации. Целесообразно провести оценку возможности снижения классов подсистем за счет обезличивания персональных данных, принятия различного рода организационных мер и даже исключения части данных из обработки.

Необходимо также правильно настроить параметры индексации страниц поисковыми системами: инструкции файла robots.txt, в котором записываются специальные инструкции для поисковых роботов, должны запрещать к индексации страницы на сайте, содержащие сведения о персональных данных пользователей.

Сос­тав­ле­ние нор­ма­тив­ных до­ку­мен­тов

Не­об­хо­ди­мо сос­та­вить ряд локальных (внутренних) нор­ма­тив­ных ак­тов, оп­ре­де­ля­ющих лиц, от­ветс­твен­ных за ор­га­ни­за­цию об­ра­бот­ки пер­со­наль­ных дан­ных, а также перечень лиц, непосредственно работающих с персональными данными, либо имеющих к ним доступ и лиц, оп­ре­де­ля­ющих по­ли­ти­ку ком­па­нии в от­но­ше­нии об­ра­бот­ки пер­со­наль­ных дан­ных пользователей;

Фор­ма сог­ла­сия на предоставление и обработку персональных данных

Не­об­хо­ди­мо внедрить форму согласия, про­пи­сать Пользовательское соглашение (пуб­лич­ную офер­ту), в которых отразить саму процедуру по сбо­ру и об­ра­бот­ке пер­со­наль­ных дан­ных пользователей. Необходимо подробно опи­сать, ка­кие дан­ные, и с ка­кой целью пре­дос­тав­ля­ет поль­зо­ва­тель, бу­дут ли они пе­ре­да­вать­ся треть­им ли­цам. Если вы в дальнейшем планируете хранить данные пользователя (а хранить их можно только на территории РК), то крат­ко опи­ши­те, цель хранения и период хра­нения дан­ных, а так­же опишите процедуру удаления персональных данных пользователя по его инициативе; пропишите ответственность пользователя за правомерность и достоверность предоставляемых данных. Также необходимо разработать документ, под­твер­жда­ющий ока­за­ние ус­лу­ги (дос­тав­ку то­ва­ра) и, как вариант, фор­му под­твер­жде­ния сог­ла­сия на об­ра­бот­ку персональных данных, ко­то­рые клиент бу­дет под­пи­сы­вать при по­лу­че­нии то­ва­ра у курь­ера;

Вы­явление всех воз­мож­ных предполагаемых уг­ро­з с целью обезопасить персональные данные пользователей

Не­об­хо­ди­мо заранее спрогнозировать воз­мож­ные уг­ро­зы сох­ран­нос­ти персональных дан­ных пользователей (как внеш­ние угрозы – хакерские DDoS  атаки, ата­ки на web-при­ло­же­ние; так и внут­рен­ние – кража данных персоналом компании). Важ­но раз­ра­бо­тать и про­пи­сать все воз­мож­ные мо­де­ли уг­роз ин­фор­ма­ци­он­ным сис­те­мам пер­со­наль­ных дан­ных, пос­ле че­го спро­ек­ти­ро­вать и пос­тро­ить на­деж­ную под­сис­те­му бе­зо­пас­нос­ти.

Совет: пользователю сайта может быть присвоен уникальный номер, при этом сами персональные данные могут храниться на оффлайновом носителе, доступ к которому обеспечивается сотрудникам, работающим с такими данными на основании подписанного ими положения о персональных данных

Подытоживая сказанное отметим, что выполнив указанные выше действия, т.е. раз­ра­ботав и вве­дя в до­ку­мен­то­обо­рот ком­па­нии не­об­хо­ди­мые до­ку­мен­ты и при­няв ме­ры по обес­пе­че­нию бе­зо­пас­нос­ти персональных данных кли­ен­тов, вы тем самым проде­монс­три­ру­ете стрем­ле­ние сво­ей ком­па­нии к соб­лю­де­нию Закона РК "О персональных данных и их защите", что в свою очередь поможет вам при воз­мож­ной про­вер­ке вашей компании проверяющими государственными органами.

Уважаемые пользователи! Информация в статье соответствует нормам законодательства Республики Казахстан, действовавшим на момент (дату) публикации.