Российские компании могут нарушить правила обработки персональных данных, даже если не собирают паспортные сведения и ФИО клиентов. К персональным данным могут относиться IP-адрес, сведения об устройстве и действия пользователя на сайте, если по ним можно определить конкретного человека, рассказала «Газете.Ru» юрист, генеральный директор компании «Юридические технологии» Полина Омельчук.
«Одна из распространенных ошибок — расхождение опубликованной политики с реальной работой сайта. В документе должны быть перечислены фактически собираемые сведения, цели и основания их обработки, а также сроки хранения. Еще один риск связан с согласием на рекламу. Оно должно быть добровольным и не может автоматически становиться обязательным условием регистрации, если рассылка не нужна для оказания основной услуги. Заранее заполненный чекбокс также не считается надежным подтверждением осознанного выбора пользователя. Отдельного внимания требуют сервисы веб-аналитики. Они могут собирать IP-адреса и другие технические сведения. При использовании иностранных решений дополнительно возникает вопрос о трансграничной передаче данных», — отметила Омельчук.
По ее словам, российским интернет-ресурсам также необходимо учитывать требования к авторизации пользователей и рекомендательным технологиям: если сайт анализирует интересы человека и формирует для него персональную подборку товаров или материалов, владельцу следует сообщить об использовании таких алгоритмов и опубликовать правила их работы. За повторное нарушение требований к рекомендациям штраф для компании может достигать 1–1,4 млн рублей, предупредила юрист.
Она добавила, что новые риски создает использование нейросетей — загружая в ИИ-сервис договор, переписку или скан документа, сотрудник может передать сторонней организации имена, телефоны, адреса и паспортные сведения клиентов. Перед отправкой документов в нейросеть Омельчук призвала обезличивать данные: заменить ФИО, контакты, адреса и реквизиты условными обозначениями. Это позволит сохранить смысл запроса, не раскрывая информацию о клиентах и сотрудниках, заключила юрист.
Ранее стало известно, что делать, если случайно отправил в нейросеть рабочие документы.