Как работать с персональными данными пользователей, которые нужны для авторизации в системе комментариев?
Если ваш сайт работает для российских посетителей, то, согласно ФЗ «О персональных данных», при работе с комментариями других пользователей вы должны соблюдать три основных условия:
- Получать согласие на обработку персональных данных (ПД) каждого пользователя. Для этого в форме с комментарием должен быть чекбокс — согласие на обработку.
- Все базы данных (включая логи) сайта должны храниться на территории РФ.
- На сайте должна быть размещена политика обработки персональных данных.
Как сторонние сервисы комментариев выполняют требования ФЗ? А никак — эта задача возлагается на владельца сайта. Именно он является оператором персональных данных.
Зарубежные сервисы (Disqus, IntenseDebate) хранят свои базы данных за пределами Российской Федерации. Отечественные (Cackle) — имеют серверы в России. При использовании плагинов, таких как wpDiscuz, все данные остаются на вашем сервере.
Также на сайте должна быть опубликована политика конфиденциальности. В этом документе должен быть раздел о том, как именно вы обрабатываете ПД в комментариях. Подсказка: пишите, что вы не имеете прямого доступа к ПД, а только отображаете фрагмент другого сайта. В политике сделайте акцент на то, что вы не обрабатываете, не анализируете и не храните ПД. Прямо в секции комментариев (или в конце страницы, сразу после контента) вы можете добавить одну строку: «Cайт evil.ru не обрабатывает ваши комментарии», а ниже — дать ссылку на политику конфиденциальности.
Политика конфиденциальности обязательно должна быть опубликована на сайте: судя по российским судебным прецедентам, даже IP-адреса из логов сервера могут признать объектом персональных данных. Значит и электронную почту (которую посетитель оставляет при отправке комментария), в теории, также могут признать объектом ПД.