Онлайн-консультант для общения с посетителями чье соглашение необходимо?

Question

[Виктор Л]

1 июля 2017 года вступили в силу изменения в законе о персональных данных, вот если я на сайте использую Онлайн-консультант (допустим Чатра) для общения с посетителями "Согласие на обработку персональных данных" я должен разместить на сайте от имени кого? Своей фирмы или дать ссылку на согласие на сайте Онлайн-консультанта (Чатра)

Comments

[Виктор Л]

Кстати а вот яндекс метрика там IP светится это тоже персональные данные мне и на нее писать Согласие на обработку персональных данных?

[h8nor]

Там правда живые люди?

[Виктор Л]

Дѣаволъ: не знаю палкой не тыкал

Answer 1

[Михаил Шведков]

1. Сайт Ваш - данные собираете Вы.
2. Данные с Вашего сайта уходят на сторону той же чатры - вы уже оператор персональных данных + передаете данные на третью сторону, значит, во-первых, нужна регистрация в РКН как оператора, а во-вторых - разрешение от пользователя на передачу его данных той же условной чатре.
3. "Проблема провайдера чата" - нихрена не работает.

Итог: сайт Ваш - проблемы Ваши.

Comments

[Виктор Л]

Ок, хорошо я убираю все формы и Онлайн-консультант, что мне тогда нужно?

[Михаил Шведков]

Зависит от сайта. Если есть регистрация (аккаунты пользователей) - вы оператор ПДП, если есть форма комментирования - вы оператор ПДП, если есть виджет соцсетей (комменты от вк/фб, например), вы - оператор пдп. Со всеми вытекающими ☺. Для детального киньте линк на сайт, посмотрю

[Виктор Л]

Михаил Шведков: Так а вот про виджеты соц. сетей я почему то думал что это выход. Ведь человек же регистрируется на сайте и входит с помощью (логин пас с сайта) и подписывает соглашение там, фактически все происходит на сайте соц сети ? у меня просто виджет я не храню его куки как то про виджет вообще все не укладывается в голове

[Виктор Л]

Михаил Шведков: (Дублирую)
Ну если из вводных то так:
1) Имеется сайт каталог с перечнем товаров
- без личного кабинета
- без магазина и формы заказа
- без формы обратной связи
2) Есть только онлайн консультант "Чатры" и вся политика построена, что мы онлайн мы доступны 24 часа спрашивайте отвечаем, сидят менеджеры которые ловят лиды и работают ...
3) Вот нужно соответствовать 152 ФЗ

Физически я ни чего не храню я использую инструмент "Чатру"
("вроде как если я пользуюсь газовым ключом я же не являюсь газовщиком?")

Мне не сложно разместить кучу ссылок и на документы просто я к тому что зачем мне вешать на себя ермо если я по факту не являюсь оператором ПД?

[Александр Х]

Виктор: технически - не являетесь, юридически - являетесь. Вас какая точка зрения интересует? )

[Михаил Шведков]

Прошу прощения, немного отвлекся от тостера☺ Сама суть кроется в '2) Есть только онлайн консультант "Чатры" и вся политика построена, что мы онлайн мы доступны 24 часа спрашивайте отвечаем, сидят менеджеры которые ловят лиды и работают ...'

Немного вольного перевода на язык 152 ФЗ: "Есть только ИС, доступная по адресу моего сайта, которая получает ПДП, передает их на сторону 3 лица для обработки и хранения + сидят сотрудники МОЕЙ компании и осуществляют обработку ПДП на своих АРМ".

По сути это значит, что вы являетесь оператором ПДП, т.к. собираете, храните и обрабатываете ПДП (хотя и по договору с чатрой вы арендуете мощности серверов как раз-таки для нужд хранения и обработки пдп). В связи с этим готовьтесь к тому, что при детальной проверке спросят не только за разрешение пользователя, но и за стандарты информационной системы, с помощью которой вы осуществляете сбор и хранение ПДП, т.е. вы отвечаете не только за безопасность соединения, но и за выбор чатик-провайдера, который должен быть сертифицирован для работы с ПДП.

Логика закона здесь упирается не в техническую сторону (типа "чатик чатры - проблемы чатры"), а в странную, типа "сайт ваш - проблемы ваши". Не суть важно, кто и где хранит данные. Если они собираются у вас - значит, собираются вами. Дальше - внутренняя кухня компании, которая требует своего регламента и кипы макулатуры

[Виктор Л]

Ясно, ну как бы руководство и так сказало убрать все (формы, чаты ) - пусть звонят .... Очередная палка в развитие интернета а не ФЗ

Answer 2

[other_letter]

Больше бумаги - чище задница (с)
Давайте ссылку и туда и туда.
Ибо претензии в случае чего будут всё равно к Вам.

Comments

[Виктор Л]

но фактически ихний сервис это инструмент и мы его просто используем а данные хранятся у них?

[other_letter]

Виктор: Это Вы будете в объяснительной писать. Я советую так, как проще и меньше претензий. Вам же несложно?

[Виктор Л]

да мне то не сложно я просто хочу понять как правильно, просто все делаем, что бы было не сложно, понятно и люди обленились в край, лишний раз кнопку ни кто не нажмет, все хотят "ОК google" и чтобы само! Только как же "Машина должна работать, а человек — думать"

[other_letter]

Виктор: Правильно - оформить кучу Инструкций, положений, войти в реестр, нанять или назначить отвестственного ИБшника, вести журнал учёта, получить сертификаты, заключить соглашение с третьей стороной о совместной работе с ПДн...

...я могу ещё продолжать

[Виктор Л]

other_letter: "Горшочек - не вари :)" ну смысл понятен (без бумажки ты ни что)

[other_letter]

Виктор: Вы уже поняли, что сделали не так? Вы задали вопрос без достаточного количества вводных.

[Виктор Л]

other_letter: Ну если из вводных то так:
1) Имеется сайт каталог с перечнем товаров
- без личного кабинета
- без магазина и формы заказа
- без формы обратной связи
2) Есть только онлайн консультант "Чатры" и вся политика построена, что мы онлайн мы доступны 24 часа спрашивайте отвечаем, сидят менеджеры которые ловят лиды и работают ...
3) Вот нужно соответствовать 152 ФЗ

Физически я ни чего не храню я использую инструмент "Чатру"
("вроде как если я пользуюсь газовым ключом я же не являюсь газовщиком?")

Мне не сложно разместить кучу ссылок и на документы просто я к тому что зачем мне вешать на себя ермо если я по факту не являюсь оператором ПД?

[other_letter]

Виктор: единственное важное тут - п.3
Самое простое - найти конторку, которая сваяет готовый комплект документов за небольшие деньги и забить.
А что у вас из данных-то? Фамилия и Имя, наверное. Что ещё?

[Виктор Л]

other_letter: если менеджеров нет то там преформа и имя телефон email

[other_letter]

Виктор: я не понимаю фразу "если менеджеров нет".
Имя + телефон + email не являются ПДн, которые требуется защищать. По этому набору обычный гражданин не может установить личность. Если телефон где-то на другом сайте сопровождается полным ФИО - это уже не Ваша проблема.

Напишите эту фразу помудрёней и спите себе спокойно.

[Александр Х]

емнип, ФИО+тел - уже ПДн, не?

[other_letter]

Александр Х: да.
А имя + тел + мыло - нет.
Однако, даже с набором ФИО + телефон не так однозначно: они также нечётко определяют личность и требуется "что-то ещё".

Тест очень простой. Может ли обычный гражданин однозначно вычислить личность по набору данных. Иванов Иван и Равшан Дакылбеков - не личность, требуется что-то ещё. Например, паспортные данные или хотя бы дата рождения.

Поэтому ФИО+тел формально подходят под категорию "ФИО + что-то ещё", чёткой квалификации нет - потому как законного открытого доступа к привязке номера телефона к ФИО в РФ нет.

Answer 3

[BBmike]

кто будет оператором обработки персональных данных, тот принимает все обязанности

Comments

[Виктор Л]

ну мы используем инструмент (Чатра) на сайте данные грузятся и хранятся у них .... и

[BBmike]

Разберитесь.
Если Система обрабатывает ПД, а потом вы получаете эти ПД, то и ваша контора и система являетесь операторами ПД и субъект ПД вообще должен давать разрешение на передачу его данных в ваш адрес.