Попадают ли сайты на wordpress под закон 242 о хранении персональных данных?

Question

[SouLFiX]

Мы задумались о переезде на зарубежный хостинг и возник такой вот вопрос. На большинстве наших wordpress сайтах есть формы обратной связи, которые работают через php mail() функцию и обрабатываются сервером. Однако сами данные с этих форм в базе данных не содержаться, насколько я знаю, пока не будут установлены соответствующие плагины (например, flamingo). Все данные хранятся только на яндекс почте, куда приходят заявки.
Попадают ли наши сайты под закон 242, и при каких условиях они под него попадут. Я в целом всё правильно понял?

Comments

[Дядька Серёжа]

Если вы из формы обратной связи уберете все поля фио, телефон, то по факту вы будете обрабатывать только текст комментария и имя почты - все ок

Answer 1

[other_letter]

Забейте.
Доказывать что вы не верблюд бессмысленно, потому как либо вы - Неуловимый Джо либо хрен докажите мировому судье Улюлюйского Суда Тахтамышского района хоть что-то.

Нет, если всё так ,как Вы пишете - не подпадают. Чтобы подчеркнуть это - просто в той же форме меленько напишите "мы не храним Ваши данные ни в каком виде". В этом есть такая же меленькая доля лукавства, но не пофиг ли?

Comments

[other_letter]

nexthop, меня, как Вы выразились, не зациклило.
Я действительно продумал что именно написать.
Если написать "не обрабатываем" - будет неправда. А так - всё в порядке.

[other_letter]

nexthop, и? Я не спорю, что закон исполнять надо.
Я клоню к тому, что данный случай не подпадает под его действие и надо всего лишь успокоить человека.

Обратную связь заполняет пользователь. Что он туда напишет - его дело. У сайта нет никакого способа однозначно установить, что тот, кто заполнял - действительно Вася Пупкин. В форме обратной связи - я так думаю - можно написать Магатерминатор Громозекович и собственно что?

[Владимир Муковоз]

nexthop, почитайте сначала что такое персональные данные.

[Владимир Муковоз]

nexthop, а у Вас есть опыт?

[Владимир Муковоз]

nexthop, и что такое персональные данные? Я думаю Вы тогда должны знать.

[other_letter]

nexthop, я занимаюсь оной и сейчас. Нет, я не могу обосновать что лучше в качестве алгоритма шифрования. Нет, я не скажу навскидку требования к железу нового Крипто-Про.

Как и всюду в работе с Законом в РФ важнее как закон воспринимают те или иные чиновники, это верно. Даже если не запрещено ездить на автомобиле зелёного цвета - вполне достаточно, выпустить рекомендацию ГИБДД и районным судам, что этого делать нельзя. И всё.

Персональные данные — это любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия ...

Так вот на основании "ПДн" в составе "Алёнка Сосалкина, телефончик [phone]" установить конкретное физическое лицо - нельзя. Что бы не говорили продавцы различного ПО, железок, консультаций и прочего.

Давая объявление в газету от Вас не требуют подписать Соглашение. Как и для печати визиток.

Просто подумайте. Как вы можете убедиться, что заветную галочку поставил не тот же, кто ввёл имя и номер в вашей форме? Как вы можете убедиться в соответствии? Как вы можете установить, что "телефончик" действительно принадлежит "Алёнке"?

Ответственность за обработку ПДн может возникнуть только при передаче оных. Недостаточно мельком увидеть чьё-то свидетельство о рождении и заразиться вирусом Оператор. Если некто написал хотя бы в этой формочке комментирования чьи-то паспортные данные и Ваш браузер их прочитал-сохранил в кеше - показал Вам, - это не накладывает на Вас ответственность.

Просто попробуйте научиться отличать соблюдение Закона от вспоможении кому-то в бизнесе.

[Владимир Муковоз]

nexthop, я не проверяю Вас, что Вы. Просто Вы писали предыдущие комментарии так, словно Вы понятия не имеете о значении этого термина. Ну либо у Вас есть какие-то особые данные, которых нет у меня. Поэтому я и спрашиваю. Вдруг я чего-то не понимаю.

[other_letter]

nexthop, это статья для накачки трафиком.
Что именно тут Вы приводите как экспертное мнение?

[Владимир Муковоз]

nexthop, мне не нужно компетентное мнение, я гуглить умею, я спросил Вас конкретно.

[Владимир Муковоз]

nexthop, так и не желаете ответить на казалось бы простой вопрос.

[Владимир Муковоз]

nexthop, нет, мне сюда трактовку того что написано в этом законе. Определение я читал. Как Вы его трактуете, а не как он на самом деле трактуется.

[other_letter]

nexthop, Вы серьёзно?

Максим Лагутин
Директор сервиса Б-152.
Директор сервиса Б-152. В 2006 году закончил факультет «Информационные системы» Российского Государственного Университета Туризма и Сервиса (РГУТиС) по специальности «Организация и технология защиты информации». Сразу после получения высшего образования начал получать бизнес образование на RMA по специальности «Менеджмент в сфере интернет-технологий».

С 2008 году открыл бизнес в сфере ИТ-аутсорсинга, который существует и по сей день. В 2010 году вместе с партнерами основал компанию Б152, основным активом которой стал SAAS-сервис Б-152, который помогает выполнить бизнесу требования закона 152-ФЗ «О персональных данных». На данный момент сервис привлек инвестиции бизнес-акселератора TexDrive и является резидентом Бизнес-инкубатором НИУ ВШЭ. По состоянию на конец января 2012 года сервисом пользуются более 600 компаний.

Человек заказал статью где написал то, что выгодно именно ему.
Посмотрите сайт этого эксперта - банальный лендинг, предлагающий услуги по написанию типового соглашения. Выпускник инкубатора, магистр нанотехнологий.

Ещё раз. Попробуйте научиться отличать соблюдение Закона и чей-то бизнес.

[Владимир Муковоз]

nexthop, создание публичной оферты и трактовка закона вот уровень твоего специалиста, который держится можно сказать десятилетиями. Надо же как он вольготно осел, никакого развития, я в 2006 только на первый курс поступил и я в жизни сделал столько значимых шагов на мой взгляд за это время. А он для 600 компаний сделал публичную оферту. Вот же ты лол.

[other_letter]

nexthop, человек закончил факультет университета Туризма в городе Сочи. С тех пор занимался только бизнесом. Почему я должен ему верить больше, чем себе?

Есть. И специальность в профильном вузе, и практика, и недавняя должность в одном из госучреждений. Сертификаты, аттестаты, лицухи получал самостоятельно. УЦ, Регламенты, положения - аналогично.

И знаете, что происходит в крупной компании, которая подаёт заявку на аттестацию? Туда налетают тонны таких вот экспертов, которые начинают талдычить, что надо сертифицировать и видеонаблюдение - там же - ОЙЕЙ - лица прохожих, а ещё то и это. И сдаётся мне, что там та же фишка, что у похоронных контор.

[other_letter]

nexthop, а тут делаем так:
1. Честно говорим проверяльщику, что он неправ. Потому что...
2. Настаиваем на своём. Эскалируем, если надо.
3.
N. Profit.
Это всё долго, муторно, но результативно.
Пришедший к Вам ХЗ кто в качестве проверяльщика наверняка притащит с собой такого вот чувачка-коммерса. И на словах, не давая никаких бумаг, скажет, что эти все формы обратной связи обязательно надо защитить чем-то вроде SAAS-продукта...

И будет этот эксперт надувать щёки про 600 компаний-клиентов. Что на конференции он не ходит и в журналах не публикуется потому как очень занят.

И сделаем вам приписку в форме обратной связи:

И туда приложит "Согласие", где должна быть подпись (чья?), которое и само хрен знает как и где хранится (впрочем, указан же адрес вплоть до квартиры). Цель - получение консультации (хотя к чему тогда его же слова, что в таком случае Соглашения не надо?).

И поставит на сайт криптошифрование. Ключ, все дела... Сертификат выдан Let's Encrypt, Адрес:
Сан-Франциско, США.

А вы будете и дальше писать на форумах как страшно жить. А бизнесмен получит с вас деньгу и сводит проверяльщика в кабак. Потом придёт другой проверяльщик с другим консультантом...

И так до бесконечности, если не сможете отличить соблюдение Закона от помощи в чужом бизнесе.

[Владимир Муковоз]

nexthop,

Ты тоже в хрустальном шаре компетентность людей оцениваешь или может быть для тебя компетентность измеряется в количестве оферт/компаний?

я оцениваю людей по тому как они отвечают на вопрос, ты же просто постоянно увиливаешь. Выглядишь очень смешно.

[Владимир Муковоз]

nexthop,

в этой статье отражены некоторые моменты,с которыми пришлось столкнуться при сдаче проверок. Я же говорю,можно считать и трактовать как угодно,важно как трактует регулятор. Даже если он в корне не прав ;).

Ну хоть чему-то научился за 10 лет, бедный парень.

[Владимир Муковоз]

other_letter, чётко изложил)

[other_letter]

nexthop, в курсе. Да и Гугл у меня есть, чего скрывать.

Я сейчас задам сложный вопрос, постарайтесь ответить на него одним предложением и без вопроса, ладно?
Кто именно приходил к вам с проверкой?

[Владимир Муковоз]

nexthop, если ты до сих пор не понял, меня забавляет то что строя тут из себя главного и предъявляя притензии, ты сам этого ничего не имеешь. Так что исходя из твоей же логики просто прекрати вводить людей в заблуждение.

Answer 2

[АртемЪ]

С юридической точки зрения - если у вас данные не хранятся, и вы можете это доказать проблем нет.
С практической точки зрения - никто не будет повально проверять все сайты на соответствие этому и реально расследовать что там и как. Поэтому в большинстве случаев достаточно формальной отписки на сайте, как уже подсказал other_letter:

Проверкам могут быть подвержены крупные и значимые ресурсы, ради которых этот закон и был принят. Ну или если вы где-то конкретно накосячите, и конкретно вас будут изучать под микроскопом, тогда это тоже может оказаться важным.

Comments

[АртемЪ]

nexthop, Ну имеется ввиду, что ПД не попадают на зарубежные сервера. Например форма сразу скидывать их на нужное хранилище расположенное в России.

[АртемЪ]

nexthop, Это так. но есть тонкости - в современном веб приличная часть обработки идет на стороне пользователя - скрипты работают в браузере, т.е обработка идет у пользователя, хранение - тут надо смотреть куда сохраняем информацию содержащую ПД.

Вот если вы сохраняете ее к себе на сервер, и обрабатываете там - это уже попадает под закон.

[АртемЪ]

nexthop, Ну смотрите тут например речь идет о заявках - обрабатываем в браузере клиента, если есть ПД которые нужно хранить - отправляем в хранилище в России, а на сервер отправляем ссылку.

В общем если немного поработать с интерфейсом ввода во многих случаях можно держать основную инфраструктуру где угодно, и не попадать под ПД.

[АртемЪ]

nexthop, Вот тут как раз тонкий момент - обработка ПД не запрещена, просто ставится условие о том чтобы она производилась на территории России.

Если подходить совсем уж фанатично по самому факту оперерования, то получается что человек или организация оперирующая ПД вообще не может иметь никаких серверов за рубежом.
А это далеко не так.

[Владимир Муковоз]

АртемЪ, цитата из википедии.

Ещё один случай, когда для обработки персональных данных не требуется согласие субъекта: исполнение договора, одной из сторон которого является субъект персональных данных. Для примера подойдет любой договор компании с физическим лицом на оказание услуг. Массу полезной информации по этой теме можно найти в специализированной прессе. Оператор также должен обеспечивать необходимые организационные и технические меры для пресечения попытки незаконного доступа к персональным данным.

[АртемЪ]

Владимир Муковоз, Честно говоря не понял к чему эта цитата.

Answer 3

[Sanes]

Почитайте сначала закон о персональных данных. Там 4 типа. Определитесь, какие данные вы храните. Если обезличенные, то пофигу вообще.

Answer 4

[Пума Тайланд]

Ваши данные не являются персональными

Comments

[SouLFiX]

Это почему? В формах мы требуем имя, телефон, либо почту. Или этого недостаточно для этого определения?

[Пума Тайланд]

SouLFiX, не достаточно