Зачастую возникает некоторая путаница с документами, относительно обработки персональных данных. Например, в учреждении (школе, детском саду) при поступлении обучающегося, родители (законные представители) обычно подписывают согласие на обработку персональных данных как несовершеннолетнего, так и своих. И как правило, в учреждении разрабатывается и принимается «Положение об обработке персональных данных», в котором прописаны принципы обращения с ПД (персональными данными) обучающихся, их родителей, сотрудников учреждения… Здесь в целом всё понятно.
Однако на сайтах, помимо этого, существует также раздел «Политика конфиденциальности», и нередко руководители размещают здесь то самое положение, либо какие-то выдержки из этого документа.
Между тем, это два разных документа. «Политика конфиденциальности» на сайте определяет то, как обрабатываются ПД любого посетителя сайта, в то время как «Положение...» касается процессов, происходящих в учреждении с клиентами этих учреждений.
Какие же ПД получает учреждение о пользователях на сайте? Это интересный вопрос, так как некоторое время назад, все формы обратной связи на сайтах Госвеб были убраны (в пользу обращений через сервис «Госуслуги»), никаких информационных рассылок такие сайты не осуществляют и конечно ФИО и номера телефонов пользователи на сайтах не оставляют…
Тем не менее, на сайтах Госвеб присутствуют счётчики сервиса «Yandex Metrika» и данные, собираемые (и автоматизированно обрабатываемые) этим сервисом, Роскомнадзор также относит к персональным.
Возможно учреждению эти данные не нужны. Возможно учреждение никак не использует эти данные (или даже не подозревает об их существовании). Возможно учреждение предпочло бы в принципе отключить данный сервис у себя на сайте.
Всё так, но...
Технической возможности отключить данный сервис на сайте со стороны учреждения, в данный момент нет.
Незнание или неиспользование данных сервиса никак не освобождает от ответственности.
За всё что размещено на сайте организации, ответственность несёт эта организация (вернее, руководители организации).
Выходит, учреждение обязано разработать отдельный документ о политике обработки данных, которые оно не использует? На текущий момент, выходит так.
Следим за дальнейшим развитием ситуации, в случае каких-либо изменений, данный материал будет дополняться.