Политика обработки данных
Политика должна прямо описывать, что состав заказа позволяет судить о здоровье, и как ограничен доступ к истории заказов.
Заказ конкретного лекарства говорит о человеке больше, чем анкета: по составу корзины можно судить о диагнозе. Поэтому у аптечного сайта режим обработки строже, чем у обычного магазина.
Связка «имя, телефон и перечень заказанных препаратов» позволяет сделать вывод о состоянии здоровья покупателя. Это выводит обработку за рамки обычной розницы: политика должна описывать такой состав данных прямо, а доступ к истории заказов внутри компании - быть ограничен.
Второй слой требований - отраслевой. Дистанционная продажа лекарств ограничена, рецептурные препараты имеют отдельный режим, а сведения о лицензии на фармацевтическую деятельность относятся к обязательной информации на сайте.
Всё перечисленное - персональные данные. Как только сайт их собирает, у владельца появляются обязанности оператора: политика на сайте, согласие в форме, уведомление в Роскомнадзор.
Проценты - доля сайтов, где проверка нашла это нарушение, по выборке в 3 000 проверок. Всего в отчёте 78 пунктов, ниже восемь самых частых для этой сферы.
Политика должна прямо описывать, что состав заказа позволяет судить о здоровье, и как ограничен доступ к истории заказов.
Форма бронирования, подписка на снижение цены, обратный звонок - у каждой свой чекбокс и ссылка на политику.
Наименование, ИНН, адрес и сведения о лицензии на фармацевтическую деятельность.
Заказ лекарств по незащищённому соединению - невыполнение требования о технических мерах защиты.
Определяем по IP, где физически стоит сервер: первичный сбор и запись данных россиян должны идти в России.
Цена в рублях и полная, с указанием, что входит в стоимость доставки.
Пиксели ретаргетинга, которые получают информацию о просмотренных препаратах.
Реклама лекарственных средств имеет отдельные требования, а рекламные блоки на сайте - общую обязанность маркировки.
| Нарушение | Норма | Санкция |
|---|---|---|
| Обработка персональных данных без согласия | КоАП, ст. 13.11 ч. 2 | для юрлиц 300 000-700 000 ₽ |
| Нет политики обработки данных на сайте | КоАП, ст. 13.11 ч. 3 | для юрлиц 30 000-60 000 ₽ |
| Данные россиян хранятся за рубежом | КоАП, ст. 13.11 ч. 8 | для юрлиц 1 000 000-6 000 000 ₽ |
| Не подано уведомление в Роскомнадзор | КоАП, ст. 13.11 ч. 10 | для юрлиц от 100 000 ₽ (до 30.05.2025 этот состав шёл по ст. 19.7 и стоил 3-5 тыс.) |
Суммы указаны по действующей редакции КоАП РФ. Точная квалификация зависит от обстоятельств: числа субъектов, повторности и того, какие данные затронуты.
В части персональных данных да: бронирование уже собирает имя, телефон и перечень препаратов. Отраслевые ограничения на дистанционную продажу к брони не применяются, но информация о продавце и лицензии нужна.
Прямо в перечне специальных категорий он не назван, но по составу заказа можно сделать вывод о состоянии здоровья. Практика исходит из того, что такие данные требуют повышенной осторожности, и в политике их состав лучше описать честно.
Да, и отдельное: это рекламное сообщение, а на его получение по закону о рекламе требуется предварительное согласие.
Экспресс-проверка бесплатная. Детали и PDF-отчёт - в платных тарифах.
Проверка отвечает на все эти вопросы применительно к конкретному сайту: показывает, что из перечисленного выполнено, а что нет.