В каких случаях на сайте нужны пользовательское соглашение, политика конфиденциальности, согласие на обработку персональных данных, дисклеймеры и предупреждения.
16 июля 2023
Политика конфиденциальности, оферта и дисклеймеры: юридические требования к сайтам в 2023 году
Политика конфиденциальности, оферта и дисклеймеры: юридические требования к сайтам в 2023 году
По закону сайты, где продаются товары или услуги, должны выполнять определенные требования. Нарушение этих требований грозит не только имиджевыми, но и финансовыми потерями. Например, за отправку рекламной рассылки без согласия клиента могут взыскать до 500 тысяч рублей штрафа.
В этой статье мы вместе с head of legal Mindbox Ульяной Жарковой расскажем об обязательном списке документов для каждого сайта, а также о том, как их подготовить.
В этой статье мы вместе с head of legal Mindbox Ульяной Жарковой расскажем об обязательном списке документов для каждого сайта, а также о том, как их подготовить.
Какие документы должны быть на сайте обязательно
В России есть несколько основных юридических требований к сайтам, которые что-то продают, оказывают услуги и собирают данные о пользователях.
Развернутая информация о товаре или услуге.
Эта информация включает в себя потребительские свойства, цену, гарантийный срок, правила использования товара, сроки службы или годности, а также другую обязательную информацию.
Ее можно разместить на виртуальной витрине товаров, в договоре публичной оферты или в другом удобном для покупателя месте. Некоторые бизнесы делают также разделы FAQ или «Информация об оплате и доставке».
Бренд одежды 12 Storeez подробно описывает товары в онлайн-витрине: цену, внешний вид, цвет,
место производства, краткое описание каждого изделия, а также состав и способы ухода
Всю юридически важную информацию о доставке, возврате и способах оплаты 12 Storeez
размещает в разделе «Вопросы и ответы»
Оферта
Этот документ определяет все существенные условия заключения будущего договора с клиентами: правила покупки товара или заказа услуги, способы доставки и возврата, причины для расторжения договора, а также способы разрешения конфликтных ситуаций.
Контактные данные владельца ресурса и продавца (исполнителя услуги)
Речь идет о полном названии компании, ОГРН, адресе и режиме работы компании. Также можно указать email и номер телефона.
Контактная информация бренда одежды Tom Tailor находится в разделе «Связаться с нами»
Политика обработки персональных данных или конфиденциальности
В политике конфиденциальности четко описывают принципы и порядок обработки персональных данных, а также меры по обеспечению их безопасности. Она помогает пользователям понять, что происходит с их персональными данными и как компания их защищает.
Согласие на обработку персональных данных и маркетинговые коммуникации
Согласие на обработку персональных данных нужно получить, чтобы компания на законном основании могла что-либо делать с персональными данными пользователя: например, отправлять ему рекламные email-рассылки, собирать и анализировать cookie-файлы.
Если формы согласия на обработку информации на сайте нет, контролирующие органы могут привлечь бизнес к административной ответственности и выписать штраф. Это может произойти в двух случаях: если кто-то из пользователей пожалуется на компанию или если Роскомнадзор самостоятельно найдет нарушение в ходе стандартной проверки.
То же касается и рекламы. Если вы планируете делать email-рассылки, отправлять SMS или push-уведомления с рекламой ваших услуг или товаров, у клиента нужно взять отдельное согласие на рекламу. В противном случае он может пожаловаться в управление ФАС и, если вы не покажете согласие клиента, вас оштрафуют.
Согласия на обработку персональных данных и отправку рекламы всегда можно отозвать — если пользователь отправил вам такой запрос, удалите его из базы данных.
Форма согласия на обработку персональных данных в интернет-магазине ЦУМ
В 2023 году за отсутствие какого-либо из обязательных документов могут назначить такие штрафы:
— от 5 до 10 тысяч рублей за отсутствие достоверной информации о товаре или услуге;
— от 30 до 40 тысяч рублей за отсутствие информации о продавце, изготовителе товара или исполнителе услуги;
— от 30 до 60 тысяч рублей за отсутствие политики конфиденциальности;
— от 60 до 100 тысяч рублей за обработку персональных данных без согласия пользователя за первое нарушение и от 100 до 300 тысяч — за повторное;
— от 100 до 500 тысяч рублей за отправку рекламной рассылки без согласия.
Почему пользовательское соглашение необязательно
Есть мнение, что в список необходимых документов входит пользовательское соглашение. Под ним обычно имеют в виду документ, который состоит из элементов политики конфиденциальности, договора оферты и неких правил пользования интернет-ресурсом. Но в российском законодательстве нет никаких требований к наличию пользовательского соглашения. Соответственно, оно необязательно.
Если на сайте есть пользовательское соглашение, но нет необходимых по закону документов, компанию все равно могут оштрафовать.
Скорее всего, практику с пользовательским соглашением позаимствовали из США. Там это называется terms of use. Буквально это означает «правила использования сайта».
Думаю, что в России для малого и среднего бизнеса с интернет-магазином такой документ не имеет смысла. Он либо дублирует обязательные документы (политику обработки персональных данных, оферту), либо абсурден по содержанию — нельзя заставить человека пользоваться сайтом только по четко прописанным правилам. Сайт — это витрина товаров и платежный шлюз, где человек просто выбирает, что ему нужно, и покупает это.
Обязательные требования к продаже товаров в интернете не получится обойти через использование хитрых «правил использования сайта» — такой подход не устроит суд. И едва ли он верен при формировании лояльной клиентской базы.
Оферта
Публичная оферта — это предложение о заключении сделки, которое адресовано всем. Документ содержит все существенные условия договора со стороны продавца или лица, оказывающего услуги.
Договор-оферта в России нужен каждому сайту, который что-то продает и оказывает услуги. Его признают юридически значимым документом, который регулирует отношения между продавцом и покупателем, исполнителем и заказчиком. Этот документ можно использовать в суде для защиты своих прав и подтверждения факта заключения сделки.
Содержание оферты зависит от сферы бизнеса, правил работы конкретной компании и цели сайта. Ритейл-площадки обычно уточняют детали оформления заказа, оплаты товара, а также способов и сроков его доставки. Те, кто оказывает услуги, подробно описывают суть услуги и случаи, когда услуги считаются оказанными. Полный текст договора должен быть доступен на сайте.
Вот основные пункты в оферте Mindbox:
- предмет и основные условия;
- услуги;
- оплата и стоимость;
- сдача-приемка и сверка;
- гарантии и заверения;
- документы и уведомления;
- неустойки и компенсации;
- обстоятельства непреодолимой силы;
- споры и разногласия;
- срок и действие.
Оферта Mindbox размещена в разделе «О компании» вместе с другими важными документами. Оферта доступна с любой страницы и находится в подвале сайта
Общепринятая практика — размещение оферты на видном месте в подвале или меню сайта, где она будет доступна в один или два клика.
Если компания выкладывает новую версию оферты на сайт, нужно сохранить прежний вариант по ссылке как архив. Это позволяет пользователю в любой момент сравнить условия покупки продукта и понять, что в них изменилось.
Бизнесу важно зафиксировать согласие пользователя с офертой, оно будет равнозначно подписанию договора двумя сторонами. Для этого нужно уведомить клиента об оферте в момент совершения активного действия и зафиксировать положительный ответ. Например, в момент оформления корзины и подтверждения заказа, его оплаты или регистрации в личном кабинете можно попросить поставить галочку в чекбоксе с условиями оферты. Либо ввести код, полученный в SMS.
Бренд одежды Rendez-Vous собирает ознакомления с публичной офертой в момент регистрации посетителя на сайте
Политика обработки персональных данных или конфиденциальности
В политике определяются общие принципы и порядок обработки персональных данных, а также меры по обеспечению их безопасности. Этот документ должен находиться в открытом доступе. Лучше всего его разместить так, чтобы он был доступен в один-два клика с любой страницы сайта.
Политика конфиденциальности сети строительных магазинов «Петрович» доступна с каждой страницы каталога товаров в подвале сайта
Персональные данные — это любая информация, которая позволяет идентифицировать человека: фамилия, имя, отчество, номер телефона, email, паспортные данные, дата рождения, адрес, cookie-файлы и т. д. Собирать согласия на обработку персональных данных нужно всем компаниям, которые работают напрямую с клиентами-физлицами и используют персональные данные для рекламных коммуникаций.
Универсального шаблона для оформления политики конфиденциальности для всех видов ритейл-бизнеса не существует. В каждой отдельной сфере могут быть свои требования и специфика, которые влияют на содержание и структуру этого документа. Но есть общий список рекомендаций Роскомнадзора, который можно использовать как основу для создания политики конфиденциальности.
Вот основные положения из рекомендаций к политике конфиденциальности в 2023 году. Она должна содержать:
- название компании, контактные данные;
- перечень обрабатываемых персональных данных (фамилия, имя, отчество, email и т. п.);
- категории людей (клиенты, работники, третьи лица), чьи данные будут обрабатываться;
- основания для сбора и обработки данных (например, согласие на сбор и обработку);
- цель обработки — зачем компании данные, кому они передаются, а также распространяются ли за пределами РФ;
- срок хранения информации;
- меры по защите данных, а также права пользователей.
Здесь же важно указать, куда можно обратиться с жалобами и вопросами, например для отзыва согласия на обработку данных. Обычно оставляют email службы поддержки либо юридического отдела.
Согласие на обработку персональных данных и маркетинговые коммуникации
Чтобы понять, нужно ли брать согласие у клиента на получение и обработку данных, достаточно ответить на два вопроса:
- Оставил ли вам покупатель информацию, по которой вы можете его идентифицировать даже косвенно? Если да, значит, вы обрабатываете персональные данные.
- Есть ли у вас юридическое основание для обработки данных без согласия? Например, договор с клиентом — можете ли вы исполнить оферту, не имея персональных данных? Например, доставить курьером товар домой, если у вас нет адреса и телефона получателя. Если без этих данных нельзя выполнить договор, отдельное согласие запрашивать не нужно. И наоборот, когда вы собираетесь отправлять рекламные рассылки, согласие на обработку персональных данных для маркетинга брать необходимо.
В России нет четкого регламента, как нужно собирать согласие клиента на обработку персональных данных и на рекламу: в письменном (бумажном) или электронном виде. Здесь компания принимает решение самостоятельно. Исключение: бизнес, который работает с особенно важными, чувствительными данными, например с данными о здоровье или национальной принадлежности — в этом случае согласие можно получить только в письменной форме. Заполнения электронной формы на сайте будет недостаточно.
Главное — уведомить пользователя о намерении собирать персональные данные непосредственно перед тем, когда начинается сбор. То есть в момент, когда появляется форма для введения номера телефона, адреса электронной почты или окно для регистрации, нужно попросить человека обозначить свое согласие на обработку данных и прикрепить ссылку на политику конфиденциальности.
Вот популярные способы для сбора согласий на обработку и хранение персональных данных на сайте:
1. Чекбокс с галочкой согласия в общей форме заявки
Клиент ставит галочку в чекбоксе формы для сбора данных напротив ссылки на согласие и правила обработки персональных данных на сайте. Отправленная заявка с проставленной галочкой сохраняется (логируется). При необходимости ее можно использовать в качестве доказательства того, что клиент дал согласие на сбор своих данных.
Сайт Holodilnik.ru: пример правильного использования
чекбокса с галочкой согласия
2. Двойное подтверждение — double opt-in
В этом случае клиент сначала оставляет свой email или телефон в форме на сайте, а затем подтверждает согласие, кликнув на ссылку в письме или ответив на SMS.
Вариант оформления double opt-in в email-рассылке
Вариант оформления double opt-in в SMS
3. Устное согласие
Согласие можно собирать даже в устной форме, если потом можно доказать факт разговора. Например, в колл-центре это может быть запись звонка или какой-то другой способ фиксации.
Мы рекомендуем хранить согласия на сбор и обработку персональных данных в течение всего срока их действия. Обычно это период, в течение которого планируется обработка данных, плюс срок, необходимый на случай судебных разбирательств.
Не брать у клиента отдельное согласие можно тогда, когда сайт запрашивает информацию только для оплаты товара, оформления доставки и исполнения условий договора. При этом бизнес не планирует использовать эти данные в других целях — например, отправлять информацию о скидках и распродажах. Тогда сам договор будет законным основанием для обработки данных.
Cookie-файлы
Файлы cookie — это файлы, которые создаются во время посещения сайта и сохраняются на устройстве пользователя. Они собирают информацию о действиях человека на конкретной странице. Например, с их помощью сайт запоминает данные о посещениях, а также о введенном логине и пароле. Cookie могут сохранять уникальные идентификаторы, которые нужны владельцам сайтов, чтобы различать браузеры, приложения или устройства и сегментировать пользователей.
Уведомление о сборе cookie-файлов — это форма получения согласия пользователя на сбор специфичных данных о тех действиях, которые он совершил на сайте за время сеанса. В уведомление о сборе cookie-файлов нужно включить ссылку на политику конфиденциальности либо политику cookies, если правила работы с cookies выделены в отдельный документ.
С cookie-файлами обычно поступают так: когда человек заходит на сайт, всплывает баннер с предупреждением о сборе данных и просьбой одобрить это действие.
В идеальном мире, если человек не дал согласия, то бизнес не имеет права собирать данные. Даже если человек нажал «согласен», баннер должен остаться активным. Это нужно, чтобы пользователь мог в любой момент отозвать согласие так же легко, как он его дал. Но, к сожалению, многие так не делают и продолжают собирать данные без согласия пользователя, а кнопка с согласием на сбор cookie-файлов исчезает, как только пользователь на нее нажал.
Проверить, собираются персональные данные на сайте или нет, можно технически — вручную либо с помощью специальных cookie-сканеров.
Burger King просит оставить согласие на обработку cookie-файлов, как только пользователь оказывается на сайте.
При этом уведомление не мешает пользоваться сайтом дальше
Есть плохая практика, когда окно согласия на обработку cookie-файлов блокирует доступ к сайту до тех пор, пока клиент не согласится с условиями. Впоследствии такой способ может быть расценен как принудительное согласие. Поэтому ресурс должен давать возможность использовать сайт, даже если человек не хочет делиться любыми данными
Дисклеймеры и предупреждения
Для особо регулируемых отраслей бизнеса существуют дополнительные требования в отношении рекламы и контента, а также обязательных дисклеймеров. Не все товары разрешено рекламировать или продавать на сайте. Это касается медицинского, банковского и финансового бизнеса, продажи алкоголя, табака и других сфер. Такие требования нужно соблюдать особенно тщательно, так как эти сферы находятся в зоне особого внимания регулятора и потребителей.
Эти требования специфичны для каждой отрасли, поэтому их следует изучать отдельно.
