Что нужно сделать сайту, что бы соответствовать закону о персональных данных?

По закону - нужно.

Политику конфиденциальности.

Если есть формы обратной связи - чекбокс обязателен. Про всплывашки не в курсе, у нас нигде нет, РКН не беспокоил пока ещё (возможно из-за наличия чекбокса).

Вместо текста чекбокса (или вместе с текстом чекбокса) может потребоваться полноценный текст "Согласия".

Да, оператором персональных данных может быть физическое лицо, так что выше верно ответили. Вот только никто не хочет вписывать свои персональные данные в текст "Политики". Даже некоторые ИП "стесняются" 😊

Т.е. подаваться, как оператор персданных?

Вообще практика странная. Если мыло содержит имя фамилию, то персданные - если нет, то нет. В одном решении суда написано, что если пользователь написал в форме персданные, хотя полей для этого нет, то уже оператор персданных владелец ресурса. Так любой может прислать имя, к примеру, и уже форма становится местом сбора персданных. Глупо очень. На улице к тебе подойдёт мужик, скажет, что его зовут Василий Петрович и всё, беги регайся как оператор персданных))

Да только сказать и написать можно что угодно, вот если данные подтвержденные, например водительским удостоверением или паспортом, то тут да, не поспоришь - это ПД. А так это отбалдыданные 😅 называется, тоже самое касается почты и тем более ip (в наше то время 🥸). А еще все это на фоне вездесущих камер, которые фиксируют поведение, голос, лицо и прочие моменты и это все реальная биометрия. Так что когда каждая камера будет спрашивать разрешение на фиксацию, вот тогда можно о чем то разговаривать.

Да. Без вариантов.

Оно для того и сделано, чтобы любого схватить за мягкое место и прижать к стене можно было.

Они там совсем обнаглели!

В нашем кейсе, сами же сделали нам подставу с использованием своего сотрудника (даже не скрывают этого!) ввели персданные куда не надо, а выставили что мы обработали персданные и по заявлению "жертвы" инициировали проверку.

Теперь грозит штраф. Но теоретически могут и предписание приостановить работу.  Есть подозрение что им конкуренты занесли, чтобы бизнес наш угробить. Это предположение, если что, не утверждение и не обвинение, но мы собираем доказательства.

Обидно даже не это, а то что мы не только потратили шестизначную сумму на консультантов, на разработку политик, но и технические метоприятия серьезные провели, одно только шифрование сертифицированное чего стоит, чего конкуренты и близко не сделали, ограничившись бумажками, а они только посмотрели бумажки, очень формально, и вот результат.

Будем судиться, дело принципа. С этими нехорошими людьми надо бороться, а то в край обнаглели, новую кормушку себе нашли не хуже чем в 90-х.

Так а в чем претензия, если -

В реестре не зарегистрировались, что ли?

1. Ссылка на политику обработки ПД на каждой странице (в подвале)

2. Страница Согласия на обработку ПД

3. Формы отправки заявок должны иметь:
- Чек-бокс с не проставленной по умолчанию галочкой. 
- Текст рядом с чек-боксом: Я согласен на обработку персональных данных на условиях и для целей, определенных в Политике использования персональных данных * (или что-то в этом роде), где согласен - это ссылка на страницу с согласием, а Политике использования персональных данных – это ссылка на страницу с политикой.

В полученной заявке с формы обязательно должна быть зафиксирована фраза типа: "Согласие на обработку персональных данных получено: Да" Ну например заявка может выглядеть как-то так:
Имя: Петя
Номер телефона: +1111111111
Комментарий:
Приложенный файл:
Страница, с которой отправлена заявка:
Согласие на обработку персональных данных получено: Да

4. Всплывающее уведомление об использовании cookies. Пример смотрите где угодно, например https://www.ozon.ru/

Ну и на сайте РКН уведомить их, что вы используете ПД.

Как-то так

Жалобы конкурентов - новый инструмент давления:

Странно заявление, учитывая, что не все сайты используют куки).

> Ссылки на формы согласия

Ссылки на формы, где присутствует упомянутый чекбокс "соглашаюсь с обработкой ПД"? Я правильно понял? 

> Согласие на обработку персональных данных

Это должен быть отдельный документ? Чем отличается от  политики обработки персональных данных?

> До начала обработки

А если УЖЕ обрабатываю ПД? Мне штраф выпишут? Грубо говоря уже есть сайт с ПД, я подаю уведомление, они смотрят, что сайт наполнен материалом с ПД. Что  тогда?