Интервью с Ольгой Демиан, экспертом по защите персональных данных. Тема разговора – какие нормы законодательства необходимо учесть бизнесменам, если они принимают решение открыть интернет-магазин

Ольга, добрый день. Представим, что я открываю электронный магазин с функцией платежей. Нужно ли мне для этого проходить какую-то сертификацию с точки защиты персональных данных

Вообще-то, в контексте реформы стандартов защиты персональных данных, такое обязательство было предложено отменить. Оно должно было быть заменено обязательством проводить оценку рисков для защиты данных перед обработкой. В частности, определение и описание мер предосторожности и механизмов, обеспечивающих защиту персональных данных. Понятно, что они должны были бы соответствовать действующему законодательству.

Однако реформа еще не закончена. Поэтому до сих пор требуется авторизация операций обработки персональных данных перед обработкой персональных данных.

Какой орган производит эту сертификацию?

Решения по авторизации принимает Национальный центр защиты персональных данных.

Это решение об авторизации включает регистрационный номер в Реестре операторов персональных данных, который обязательно должен быть опубликован на сайте электронного магазина. Такое требование установлено в Законе об электронной коммерции.

Что я должен сделать, чтобы получить сертификацию?

Вы должны сообщить Национальному центру целый ряд данных. Цель обработки. Где будет размещено согласие на обработку данных. Как пользователи узнают о своих правах. Лица, ответственные за обработку персональных данных. Общее описание мер, принятых для обеспечения безопасности обработки персональных данных. И целый ряд других позиций информации.

К этой информации должен быть приложен ряд документов, таких как политика безопасности и другие документы, подтверждающие, что вы предприняли минимальные шаги, чтобы эту безопасность обеспечить.

Какие сроки сертификации, и какая ее стоимость?

Центр может назначить решение о предварительной проверке (и обычно – назначает). Тогда процедура сертификации может занять 45 дней. Затем, в течение 7 дней с даты завершения предварительной проверки Центр должен вынести решение об авторизации или об отказе в авторизации операций по обработке.

Все необходимые процедуры Центр осуществляет бесплатно.

Если мой магазин работает без сертификации, какие последствия мне грозят?

Обработка персональных данных без уведомления и / или разрешения контролирующего органа в области защиты персональных данных запрещена. В случае установления факта нарушения  налагается штраф в размере от 6000 до 15000 леев. Штраф применяется к юридическому лицу с лишением права осуществлять определенную деятельность от 3 месяцев до одного года.

Вроде все основное я спросил? Или что-то пропустил?

Я бы сейчас добавило только одно. Подробное перечисление условий, которые должны быть опубликованы на странице вашего интернет-магазина. Это:

- Ваш регистрационный номер в качестве оператора персональных данных, выданный Национальным центром защиты персональных данных

- категории информации, получаемой от потребителя, цель их сбора и способ обработки персональных данных

- права потребителя, в частности право вмешиваться и возражать

- случаи, когда персональные данные могут быть переданы третьим лицам

- контактные данные для запросов потребителей о персональных данных, касающихся их самих

- механизмы и способ мониторинга онлайн-активности потребителя (cookies) в маркетинговых целях, порядок получения согласия на такую ​​практику

- право отказаться от сбора персональных данных поставщиком услуг

- как отозвать согласие на обработку данных

- общая информация о технических и организационных мерах по обеспечению безопасности персональных данных потребителя.

Вот теперь, в принципе, минимальный набор информации для владельцев онлайн магазинов мы сообщили. Надеюсь, эта информация будет для них полезной.

Pavel ZINGAN