Права субъекта персональных данных должны быть описаны

Что требуется

Заметно

пользователь должен понимать, как запросить доступ, уточнение, блокирование или удаление своих данных. Применимость: сайтам с опубликованной политикой обработки персональных данных. Нарушение для CPLY фиксируется только по публичным признакам: политика не описывает права субъекта, порядок обращения или контакт для запроса.

Кому применимо

сайтам с опубликованной политикой обработки персональных данных.

Когда мы это проверяем: политика обработки персональных данных найдена и доступна для анализа текста.

На чём основано

Рекомендации Роскомнадзора от 31.07.2017, раздел о запросах субъектов и правах субъекта

Рекомендации РКН отдельно ориентируют оператора описывать актуализацию, исправление, удаление и ответы на запросы субъекта; это должно быть видно в тексте политики.

Официальный источник → · Текст статьи →

Что считается нарушением

политика не описывает права субъекта, порядок обращения или контакт для запроса.

Не считается нарушением: нет.

Примеры: политика есть, но не содержит email или адрес для обращений субъекта — нарушение.

Чем грозит

Неполное следование рекомендациям РКН само по себе не является отдельным штрафным составом, но снижает понятность политики и может указывать на неполное раскрытие обязанностей оператора.

При FAIL карточка показывает конкретный публичный пробел: права субъекта или канал обращения не найдены. Риск подтверждается только при применимости требования и наличии доказательств crawler-а.

Как мы это проверяем

crawler ищет в политике блоки о правах субъекта и каналы обращения к оператору.

Какие доказательства собираем: crawler ищет в политике блоки о правах субъекта и каналы обращения к оператору. Минимальный набор фактов: documents.privacy_policy.text, documents.privacy_policy.sections.*, contacts.email.*. Карточка finding должна ссылаться на URL/скриншот/текстовый фрагмент, из которого сделан вывод.

Как исправить

Довести сайт до состояния PASS: права субъекта и порядок обращения описаны. Минимальные факты для повторной проверки: documents.privacy_policy.text, documents.privacy_policy.sections.*, contacts.email.*; finding-токены: privacy_policy.subject_rights.missing, privacy_policy.request_channel.missing.

Статусы проверки

Зелёная карточка

права субъекта и порядок обращения описаны.

Жёлтая карточка

права перечислены, но порядок обращения неполный.

Красная карточка

права субъекта или канал обращения не найдены.

Проверка неприменима

политика не требуется, потому что сайт не собирает персональные данные.

Какие проверки закрывают требование

privacy_policy.subject_rights.missing
проверка готовится
privacy_policy.request_channel.missing
проверка готовится