Содержание политики — что должно быть написано
Политика конфиденциальности — не юридическая литература, а исполнение установленного законом перечня сведений. Согласно статье 24, при сборе данных непосредственно у субъекта ответственное лицо обязано до сбора или при его начале предоставить как минимум следующее: сведения о личности и контактные данные ответственного лица, его представителя или уполномоченного на обработку лица; цели и правовое основание обработки; обязательность предоставления данных и последствия отказа; значимые законные интересы; сведения о должностном лице по защите данных, если оно есть; получателя или категории получателей; планируемую передачу в другое государство; срок хранения или критерии его определения; и права субъекта.
Этот перечень — именно тот каркас, на котором пишется хорошая политика: каждый пункт должен быть подогнан под реальную практику бизнеса и сформулирован простым, понятным языком — закон особо подчёркивает простой язык и тогда, когда субъект несовершеннолетний. Вместе с тем информация может предоставляться устно или письменно — включая электронную форму — кроме случая, когда субъект требует письменного получения; а если форму субъект сам не выбирает, информация предоставляется в той же форме, в какой была запрошена.
Когда данные получены из другого источника
Если данные собираются не непосредственно у субъекта, то согласно статье 25 ответственное лицо обязано предоставить информацию статьи 24 и сообщить, какие данные обрабатываются и каков источник их получения — в том числе, получены ли они из общедоступного источника. Эта информация предоставляется в разумный срок либо — если данные используются для связи с субъектом — при первом контакте, а при планируемом раскрытии — до раскрытия, но не позднее 10 рабочих дней с момента получения данных.
У обязанности есть исключения: предоставление информации не требуется, если субъект уже ею владеет, если сбор установлен законом или если предоставление невозможно, требует непропорциональных усилий и повредит законной цели — в этих случаях ответственное лицо обязано принять надлежащие меры, включая публичное размещение общей информации.