Как обеспечить юридическую безопасность при запуске личного кабинета клиента?

Команда разработки Ареал и юридическая компания ASB Consulting Group рассказывают, какие юридические документы необходимо подготовить перед запуском личного кабинета (ЛК), и какие вопросы проработать внутри компании.

В блоге Ареал часто говорят о роли личных кабинетов для клиентов, привлечении пользователей и модернизации интерфейсов. Но, когда живые клиенты начинают использовать систему, кроме работающих функций, компания должна обеспечить грамотное юридическое оформление: подготовить и опубликовать документы, отредактировать шаблон договора, провести анализ внутренних процессов и так далее.

Набор документов и внутренних работ зависит от функций личного кабинета. Чем они шире, тем объемнее юридическое обеспечение. Поэтому сначала мы рассмотрим набор документов для личного кабинета со стартовыми функциями, которые, как правило, если в любом ЛК. А затем рассмотрим, какими пунктами необходимо расширить стартовые документы, и, какие дополнительные артефакты подготовить, для наиболее популярных функций “на развитие”.

По нашему опыту, на старте личный кабинет доступен клиентам, которые уже заключили договор с вашей компанией на бумаге, через ЭДО и т.п., но не через функционал Личного кабинета. Администратор системы регистрирует пользователей, после чего они авторизуются самостоятельно. Пользователь может:

Инструменты веб-аналитики, например, Яндекс.Метрика, не установлены.

В законе под персональными данными (ПД) понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту ПД, в нашем случае — пользователю личного кабинета). К ПД относятся: ФИО, адрес электронной почты, номер телефона, паспортные данные, сведения об образовании, о заработке, ссылки на профили в социальных сетях, геолокация, фотографии, cookie-файлы, IP-адрес, номера счетов и карт, цифровые идентификаторы и т.п.

Политика конфиденциальности

Политика конфиденциальности включает информацию об обработке персональных данных пользователей конкретного онлайн-ресурса.

Документ должен отражать фактические процессы обработки ПД, иначе юридического смысла в нем нет. Он никак не защищает интересы владельца личного кабинета, напротив, способен нарушить действующее законодательство. Например, если содержит не актуальные цели обработки ПД. При этом политика конфиденциальности не должна содержать чрезмерный перечень ПД. Поэтому лучше не прописывать данные, которые понадобится собирать для работы системы в перспективе. Политика конфиденциальности должна расширяться постепенно, а пользователи получать уведомления о ее изменении.

Для разработки политики конфиденциальности необходимо:

Вся вышеуказанная информация фиксируется в политике конфиденциальности. К структуре документа предъявляются особые требования: перечень субъектов ПД, категории и перечень обрабатываемых ПД, способы, сроки обработки и хранения ПД должны быть прописаны для каждой цели (п.2 ч.1 ст. 18.1 Федерального закона №152-ФЗ «О персональных данных»). То есть в нашем случае для одной цели — предоставление функционала.

Политику конфиденциальности можно назвать «урезанной» версией политики об обработке персональных данных. Для разработки второй нужно провести комплексный аудит всех процессов, существующих у оператора ПД. В документе отражаются положения по обработке персональных данных работников, соискателей, контрагентов, пользователей и т.д. — всех субъектов персональных данных. Подготовка политики об обработке персональных данных — это большой и сложный процесс, который касается не только работы личного кабинета, но и компании в целом. Поэтому, в рамках статьи мы подробнее разобрали краткую, но не менее содержательную версию этого документа – политику конфиденциальности. Отдельно отметим, что политика конфиденциальности не заменяет собой политику об обработке персональных данных.

Политика конфиденциальности или политика об обработке персональных данных, при наличии таковой, должны быть опубликованы в личном кабинете в общем доступе. За неисполнение этой обязанности предусмотрена административная ответственность, например, для юридических лиц до 60 000 рублей (ч.3 ст. 13.11 КоАП РФ). Как правило, ссылка на документ размещается в подвале личного кабинета для доступа на каждой странице.

Сбор файлов cookie

Cookies — небольшие файлы, которые записывают информацию о посещении и действиях на сайте, хранятся на устройствах пользователя. Если при авторизации логин, пароль «подтягиваются» автоматически — сайт узнал пользователя по cookies. Они также используются для хранения индивидуальных настроек, сбора статистики, отслеживания активности.

Помимо упоминания cookies в политике конфиденциальности, необходимо уведомлять всех пользователей об использовании cookies при первом посещении личного кабинета. На практике такое уведомление реализуется при помощи всплывающего cookie-баннера. В нем содержится информация об используемых cookies, целях их использования, отсылка к настройкам браузера, при помощи которых можно запретить сайтам собирать cookies, и предупреждение, что в случае запрета на сбор cookies сайт может работать некорректно. Также можно прописать в футере сайта, что вы используете cookies для целей, отраженных в политике конфиденциальности. Для России такого баннера или упоминания будет достаточно, в европейской практике предусмотрены более жесткие требования.

Правовые основания обработки ПД

Обработка персональных данных пользователей должна осуществляться правомерно. Недостаточно рассказать, что компания будет делать с данными, необходимо правовое основание. Таковыми могут выступать договор, согласие, о котором подробнее расскажем далее. За отсутствие правового основания предусмотрен штраф для юридических лиц до 100 000 рублей (ч.1 ст. 13.11 КоАП РФ).

1. Согласие на обработку ПД

Для владельцев ЛК согласие является наиболее оптимальным основанием для обработки персональных данных. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, содержать в себе перечень собираемых ПД, цели, способы и сроки обработки. Чаще всего согласие собирают с помощью чек-бокса рядом с каждой формой, где пользователь оставляет данные, например, форма обратной связи. Закон предписывает собирать с пользователей активное согласие, поэтому чек-бокс не может быть отмечен по умолчанию. Перед проставлением галочки в чек-боксе у пользователя должна быть возможность ознакомиться с самим текстом согласия и политикой конфиденциальности или политикой об обработке персональных данных.

Рекомендуется хранить логи с датой, когда пользователь поставил галочку в чек-боксе. В случае возникновения спора такие логи могут выступить доказательством правомерной обработки персональных данных владельцем личного кабинета.

Если уведомления, которые система присылает пользователю, не содержит рекламы, то отдельное соглашение для рассылки не требуется. Об уведомлениях можно упомянуть в согласии на обработку ПД.

Регулирование работы в Личном кабинете

1. Договор и/или дополнительное соглашение

Для легализации использования личного кабинета в качестве способа информационного взаимодействия сторон необходимо внести соответствующие правки в типовой договор. Если договор уже подписан, то заключить дополнительное соглашение.

В договоре/соглашении следует прописать:

Наличие договора или дополнительного соглашения, в которых прописаны положения о работе с персональными данными, не отменяет необходимость отразить эту информацию в политике конфиденциальности.

2. Пользовательское соглашение

Владелец личного кабинета самостоятельно определяет, какие вопросы использования системы он стремится закрыть данным документом. На практике в пользовательском соглашении чаще всего отражаютусловия использования ЛК: порядок регистрации, доступный функционал, запрет на осуществление определенных действий (парсинг, взлом и т.п.), ответственность пользователей (штрафы, блокировка), ограничения ответственности владельца сайта (принцип «as is») и т.п. Пользовательское соглашение объясняет, что можно делать в ЛК, что нельзя и что за это будет.

Документ, по большей части, создается в интересах владельца системы с целью урегулировать неопределенности в отношениях с пользователями и очертить рамки дозволенного и непозволительного поведения.

Разместить ссылку на пользовательское соглашение можно в подвале сайта или в разделе «Юридическая информация».

3. Контактные данные, реквизиты

Владелец обязан разместить в личном кабинете информацию о своем наименовании, месте нахождения, адресе, адресе электронной почты (п.2 ст.10 Федерального закона №149-ФЗ «Об информации, информационных технологиях и о защите информации»).

Сведения должны быть достоверными, позволяющими идентифицировать владельца личного кабинета, и доступными любому пользователю, даже незарегистрированному. Реквизиты и иную информацию можно опубликовать в разделе «О компании»/«Контакты» или в подвале сайта.

При появлении новых функций в личном кабинете некоторые документы из стартового списка нужно дополнить, а иногда и подготовить новые.

Ниже для наиболее популярных функций мы написали, как расширить имеющиеся документы, и, какие новые нужно написать.

Например, Яндекс.Метрика

Политика конфиденциальности

Политика конфиденциальности

К ПД, обрабатываемым для достижения цели “предоставление функционала”, добавляются те, которые пользователь может загрузить в профиль самостоятельно. Например, фотография.

Договор и/или дополнительное соглашение

Подчеркивается юридическая значимость получения и исполнения заявок, размещенных в ЛК.

Пользовательское соглашение

Отражается алгоритм онлайн подачи заявки и её дальнейшего выполнения.

Политика конфиденциальности

Согласие на получение рекламной рассылки

Для правомерной работы подписки на рекламные рассылки и уведомлений о новостях компании с пользователя необходимо брать отдельное активное согласие. Важно — нельзя объединять чек-бокс согласия на рекламную рассылку с чек-боксом согласия на обработку персональных данных или включать пункт о согласии на рассылку в пользовательское соглашение. Это является нарушением прав потребителей и законодательства о рекламе (для юридических лиц штраф до 500 000 рублей – ч.1 ст.14.3 КоАП РФ). Для согласия на рекламную рассылку нужен отдельный чек-бокс.

У пользователя должна быть возможность в любой момент отказаться от получения рассылки. Это может быть реализовано через функционал профиля пользователя или путем прямого обращения пользователя к владельцу за отзывом согласия.

Дополнительную защиту от отправки нежелательной рассылки обеспечивает технология double opt-in. Двухступенчатая подписка помогает избежать сбора неактивных, ненастоящих, ошибочных адресов и дает возможность доказать, что пользователь действительно дал согласие на рассылку.

Политика конфиденциальности

К целям обработки ПД, осуществляемой посредством ЛК, добавляется — заключение и исполнение договора. Соответственно для цели прописываются перечень субъектов ПД, категории и перечень обрабатываемых ПД, способы, сроки обработки и хранения ПД.

Пользовательское соглашение

Отображается алгоритм онлайн заключения договора и его дальнейшего выполнения.

Оферта

На практике договоры онлайн заключаются посредством click-wrap-соглашения — щелчка мышью по клавише «я согласен», при условии, что клиент может ознакомиться с текстом договора через оферту.

В оферте прописывается:

Личный кабинет выступает средством автоматизации заключения договора и информационного обмена между сторонами.

Договор и/или дополнительное соглашение

Пользователи с правами “Суперпользователя” могут управлять учетными записями коллег. Для формализации роли в договоре или дополнительном соглашении прописывается порядок создания учетной записи и предоставления доступа к личному кабинету для пользователей с особым статусом и правомочиями — «суперпользователи».

Пользовательское соглашение

Отображается алгоритмом работы суперпользователя и возможности роли.

Перед запуском личного кабинета с любой функциональностью должны быть проработаны основные документы:

В некоторых случаях необходимы дополнительные документы: