Вступят в силу изменения в КоАП. Сам закон о персональных данных (ПД) не меняется — ужесточается ответственность за нарушения. Штрафы вырастут в среднем в 10 раз. Самые злостные нарушители могут собрать комбо до 300 тысяч р.

Да. Любая фирма, которая собирает и ведет клиентскую базу, попадает под действие закона. Неважно, как именно вы собираете базу: через сайт, по телефону, письменную анкету или пр. А еще вы являетесь оператором персональных данных. И должны написать об этом в Роскомназдор. Исключение — журналисты, кадровики с данными сотрудников и те, кто с каждым клиентом заключает письменное соглашение.

Роскомназдор может прийти к вам по 2 поводам: плановая и внеплановая проверка. В конце года Роскомназдор публикует на своем сайте план и список юрлиц, которых будет проверять в будущем году. Дополнительно за 3 дня до проверки Роскомназдор отправит уведомление. Если вас в списке нет, это еще не значит, что можно расслабиться на год. Если кто-то из вашей клиентской базы пожалуется Роскомназдору на то, что беспричинно получает от вас рекламу, письма или смски, вас ожидает внеплановая проверка — без предупреждения.

Всё, что позволяет персонализировать человека. ФИО, дата и место рождения, адрес, социальное и имущественное положение, образование, профессия, должность, доходы, биометрические данные. Это по закону. Судебная практика добавляет к ПД сведения о смерти, номер мобильного телефона, фотографии. Электронная почта типа kotik34@mail.ru не является ПД. Но вкупе с любыми другими ПД — это ПД.

На сайте нужно опубликовать пользовательское соглашение — документ, в котором прописана цель сбора данных, процессы сбора, обработки, хранения и передачи ПД. В соглашении должно быть написано, как клиент может изменить или удалить данные о себе из вашей базы. Ссылка на соглашение должна быть под каждой формой, которая собирает ПД. Есть 2 тонких момента.
Тонкий момент №1. После того, как клиент вошел в личный кабинет на сайте, ссылку под формами можно уже не показывать: достаточно 1 раз получить согласие клиента.
Тонкий момент №2. Под формой может быть
а) просто надпись "Нажимая на кнопку, вы соглашаетесь с нашей политикой обработки персональных данных",
б) может быть фраза с чек-боксом и заранее поставленной в него галочкой,
в) может быть фраза с пустым чек-боксом, куда клиент должен сам поставить галочку.
Все 3 варианта приемлемы. Но если вы думаете, как адвокат, и всегда стремитесь к минимальному риску, вариант в) — лучший. Если будет суд, в первых двух вариантах придется доказывать, что клиент видел и понимал надпись, в третьем случае доказывать не нужно, потому что клиент совершил осознанное действие — поставил галочку.

Придется написать ряд локальных нормативных актов: положение об обработке ПД, приказ о назначении ответственного лица. Все, кто собирает и обрабатывает ПД, должны быть ознакомлены с положением под роспись. Все документы нужно хранить в отдельном кабинете с ограниченным доступом, в сейфе. Это не шутка: уже были штрафы просто за то, что документы лежали на столе.

Можно. Но если будет проверка или суд, вас накажут. В соглашении должны быть правильно описаны процессы именно в вашей компании, и не факт, что в украденном тексте все будет совпадать. Даже если вы скопировали текст, проверьте его и дополните описаниями своих бизнес-процессов.

С партнерами (например, с иностранными сервисами рассылок) нужно обменяться договорами. Электронные копии годятся. Если вы работаете с иностранными клиентами, т.е. собираете персональные данные белорусов и перуанцев, все документы (пользовательское соглашение, локальные акты) должны соответствовать закону о ПД в Беларуси и Перу. В этом случае за ориентир берется самое строгое законодательство, и все документы пишутся под него. В противном случае перуанец может пожаловать в Перукомнадзор, тот пожалуется в Роскомназдор, и у вас будет внеплановая проверка.

Нет. Куки и ремаркетинг относятся к американскому законодательству. Предупреждение о том, что сайт использует куки, нужно, если вы работаете с американской аудиторией.

Нет. Скриншоты могут пригодиться только в суде. Скриншот подтверждает, что в день, когда он был сделан, например, 12 марта 2015 года, на сайте была голубая галочка. Такой скриншот пригодится только в том случае, если дело касается именно 12 марта 2015 и голубой галочки. Поэтому нотариально заверенные скриншоты вряд ли вам нужны.