Роскомнадзор добился блокировки сайта за использование Google Analytics при обработке персональных данных
В конце ноября 2018 года политиком Алексеем Навальным был запущен сайт «Умное голосование», на котором был представлен способ калькуляции голосов избирателей, демонстрирующий возможность их объединения в пользу одного из кандидатов (предложенного в качестве наиболее сильного, исходя из результатов предыдущих выборов в регионах и социологических опросов) против его оппонента из политической партии «Единая Россия». Однако уже вскоре Роскомнадзором было подано исковое заявление о несоответствии данного сайта закону о персональных данных, которое 19 декабря было полностью удовлетворено Таганским районным судом.
Согласно материалам дела, сайт осуществлял сбор персонифицированной информации о пользователях, с чем сами пользователи соглашались путем проставления «галочки» в всплывающем уведомлении. При этом, согласно заявленным исковым требованиям, подобное согласие не сопровождалось предоставлением какой-либо информации об операторе, целях обработки, сроках хранения, а также перечне обрабатываемых персональных данных, что является нарушением части 1 статьи 9 Федерального закона «О персональных данных».
Ведомством также было выявлено нарушение части 2 статьи 18.1 Федерального закона «О персональных данных», выразившееся в несоответствии положений Политики об обработке и защите персональных данных действительным сведениям, а именно несоответствии данных об операторе, его юридическом адресе, а также об администраторе сайта.
Кроме того, согласно представленным данным, серверы, содержащие персональные данные пользователей сайта «Умное голосование» (https://2019.vote/), находятся в компании Cloudflare, Inc., расположенной на территории США. В связи с этим суд установил, что были нарушены требования о локализации персональных данных, то есть об осуществлении сбора и хранения персональных данных граждан Российской Федерации с использованием отечественных баз данных (серверов) (часть 5 статьи 18 Федерального закона «О персональных данных»).
Наибольший интерес в данном деле представляет выявленное Роскомнадзором «нарушение ФЗ№152», связанное с использованием на сайте сервисов Google Analytics и «Яндекс.Метрика», осуществляющих обработку данных пользователей в целях мониторинга активности аудитории сайта. При этом Решение не содержит подробного описания названного «нарушения»:
Представитель истца отмечает и то, что ответчик и третьи лица используют сервисы Гугл Аналитикс и Яндекс Метрика, предназначенные для оценки посещаемости веб-сайтов и анализа поведения пользователей, их серверы также расположены на территории США, использование сервисов является действиями по сбору и обработке персональных данных, в Политике конфиденциальности интернет-ресурса https://2019.vote/ об использовании сервисов при обработке персональных данных, сведений не содержится, что также является нарушением ФЗ № 152.
Прежде всего Ведомство отмечает, что используемые ответчиком серверы Google Analytics и «Яндекс.Метрика» находятся в США. Согласно Политике Google Analytics, их серверы расположены в разных регионах, не включая Россию. При этом Политика «Яндекс.Метрики» говорит о расположении своих серверов в ЕС и России, что вообще не соответствует доводам истца.
Несмотря на неточность данных, представленных Роскомнадзором в отношении расположения серверов метрической программы «Яндекс.Метрика», сам факт того, что суд признал использование подобных сервисов нарушением требования о локализации персональных данных является весьма неоднозначным.
В связи с появлением подобной судебной практики, в случае использования метрических программ, серверы которых расположены за пределами Российской Федерации (например сервис Google Analytics), есть прямой риск признания подобного использования нарушением законодательства в области персональных данных.
Кроме того, истец также ссылался на то, что использование таких сервисов является действиями по сбору и обработке персональных данных, однако в Политике об обработке и защите персональных данных отсутствуют какие-либо сведения об использовании сайтом Google Analytics и «Яндекс.Метрика», что, по сути, является нарушением часть 2 статьи 18.1 Федерального закона «О персональных данных».
Примечательно, что метрические программы используются практически на каждом интернет-ресурсе, в частности, сервис «Яндекс.Метрика» используется на сайтах Государственной Думы и Единой России без уведомления об этом пользователей, получения их согласия на обработку персональных данных, а также в отсутствие документа, регламентирующего политику конфиденциальности.
Подводя итог, Решение Таганского районного суда города Москвы закрепило возможность блокировки интернет-сайтов, обрабатывающих данные российских граждан в связи с использованием метрических программ. В связи с такой тенденцией, администраторам доменных имен следует более настороженно отнестись к использованию подобных сервисов, а в случае их применения в целях мониторинга активности аудитории сайта, необходимо явным и конкретным образом указывать на сайте соответствующую информацию.
Роскомнадзор рассказал о типовых ошибках при обработке персональных данных в интернете
Специалист Роскомнадзора Анна Кононенко в рамках вебинара ведомства рассказала об основных ошибках, которые допускают операторы персональных данных при обработке персональных данных в интернете.
Анна Кононенко напоминает, что оператор персональных данных должен разработать так называемую политику конфиденциальности – документ, в котором определена политика оператора касательно обработки персональных данных. В частности, должны быть указаны цели обработки, категории и перечень обрабатываемых данных, категории субъектов, способы и сроки их обработки и хранения, порядок уничтожения, а также какие меры принимает оператор, чтобы выполнить обязанности, указанные в законе «О персональных данных». В случае если оператор передает данные третьим лица или осуществляет трансграничную передачу данных, это также необходимо указать.
В политике конфиденциальности должны быть указаны правовые основания обработки персональных данных. Самыми распространенными основаниями являются согласие на обработку персональных данных либо пользовательское соглашение/оферта.
Оператор должен сообщить об использовании метрических программ, например, «Яндекс. Метрика» и Google Analytics, – проинформировать об этом пользователей и получить согласие на обработку персональных данных, собираемых с помощью этих программ.
В политике конфиденциальности должны быть указаны способы связи с оператором, например, почтовый или электронный адрес.
Анна Кононенко также обозначила типовые ошибки при составлении и размещении политики конфиденциальности. Иногда бывает, что оператор вообще не размещает этот документ на своем сайте либо размещает его не на всех страницах. Кроме того, может быть размещена ссылка либо на политику конфиденциальности другой компании, либо на документ, вообще не имеющий отношения к политике конфиденциальности.
Документ можеть быть размещен должным образом, но в нем могут отсутствовать обязательные сведения, предусмотренные соответствующей статье, либо указанные сведения могут не соответствовать фактической деятельности оператора. Кроме того, в политике конфиденциальности могут быть просто дублированы положения закона, тогда как оператор должен указывать, как конкретно он обрабатывает данные на своем сайте.
Полностью вебинар можно посмотреть в официальной группе Роскомнадзора «ВКонтакте».
Роскомнадзор также продолжает проводить профилактические визиты к операторам персональных данных, во время которых сотрудники ведомства дают разъяснения и рекомендации по организации обработки персональных данных, однако не выносят предписания по их итогам. От проведения профилактического визита можно отказаться.
Сведения собираемые посредством метрических программ что это
Большинство органов власти использует российские метрические инструменты для определения посещаемости сайтов
Роскомнадзор провел анализ учета посещаемости сайтов органов исполнительной власти РФ.
Роскомнадзор направил запросы в адрес федеральных, региональных и муниципальных органов власти. Соответствующие запросы также были направлены в адрес компаний, являющихся разработчиками сервисов по учету посещаемости сайтов.
Обобщение сведений, полученных от 245 федеральных, региональных и муниципальных органов власти, дает следующие результаты (с учетом использования рядом исследуемых сайтов сразу нескольких метрических инструментов):
Статистика посещаемости сайтов формируется на основании пользовательских соглашений, анализ которых не выявил несоответствий требованиям законодательства.
Определение пределов и объема доступа к собираемой с помощью счетчиков информации устанавливается владельцами сайтов, использующими указанные сервисы.
Сведения об использовании метрических программ
Этот сайт использует сервис веб-аналитики Яндекс Метрика, предоставляемый компанией ООО «ЯНДЕКС».
Сервис Яндекс Метрика использует технологию «cookie» — небольшие текстовые файлы, размещаемые на компьютере пользователей с целью анализа их пользовательской активности.
Вы можете отказаться от использования cookies, выбрав соответствующие настройки в браузере.
Также интернет-сайтом могут использоваться сведения о местоположении; тип и версия ОС; тип и версия браузера; тип устройства и разрешение его экрана; источник откуда перешел на сайт пользователь; с какого сайта или по какой рекламе; язык ОС и браузера; какие страницы открывает и на какие кнопки нажимает пользователь; ip-адрес).