P3P в действии

P3P предназначена для достижения "информированного согласия посредством пользовательского выбора", при котором пользователь разрешает или запрещает дальнейшее использование его личных данных. Это устанавливает доверие со стороны пользователя тем веб-сайтам, на которых личные данные используются и разглашаются согласно предпочтениям пользователя. Более того, это решение может быть вынесено посредством привлечения программного агента, выступающего от имени пользователя намеренно или по умолчанию. Протокол P3P предназначен для поддержки взаимодействий в самых различных контекстах, включая следующее.

Предоставление внутренних данных (последовательность перехода или набор страниц, посещенных на веб-сайте).
Предоставление внешних данных (ответы пользователей, вводимые в веб-формы).
Предоставление внешних данных из установленного веб-профиля (набор терминов, отражающих интересы человека и обычно используемых при поиске информации о предпочитаемых товарах и контактной информации).

Если руководство компании решило, что сайт организации должен быть P3P-совместимым, ему необходимо разработать версию политики секретности, соответствующую P3P, что означает добавление большого числа информации и определений, требуемых P3P. Необходимо распределить по категориям все собираемые данные и классифицировать все элементы cookie, используемые сайтом. Необходимо упомянуть обо всех фиксируемых данных, о том, что с ними происходит, кто имеет к ним доступ, в течение какого времени они хранятся. Эту информацию нужно отправить генератору P3P, который создаст машинную версию политики. Если сайт является сложным, и на нем используются сторонние службы, это займет несколько рабочих дней с учетом происходящих в организации бизнес-процессов. Тем не менее, в результате будет создан важный документ, используемый в дальнейшем для поддержки сайта. Ниже приведен перечень данных, необходимых P3P.

Организация, осуществляющая сбор информации.
Тип собираемой информации.
Использование информации.
Будет ли информация разглашаться другим организациям.
Будут ли пользователи иметь доступ к персональным данным и изменять способ их использования.
Каким образом будут разрешаться спорные ситуации в организации.
Каким образом будет храниться собранная информация.
В каких местах организация опубликует детальную информацию о своих политиках секретности.

К счастью, для создания машинной версии файла политики P3P используется программа P3P Policy Generator (Генератор политики P3P). Генератор запрашивает всю необходимую информацию, и политика полностью и корректным образом представляется в формате XML. В настоящее время доступно несколько таких генераторов, ссылки на которые расположены по адресу http://eprivacygroup.com/sources. В зависимости от текущей спецификации P3P на W3C-P3P-сайте генератору политики потребуется следующая информация.

Сущность. Кем вы являетесь, и как пользователь может связаться с вами.
Разглашение. В каком месте сайта расположена ваша политика, понятная для пользователя.
Гарантии. Какая третья сторона или закон отвечает за правдивость действий администрации сайта.
Сбор данных и его цель. Какие данные собираются, и каким образом они используются.

Любые данные описываются в P3P при помощи следующих четырех категорий.

Категория данных. Определены четырнадцать категорий данных и категория "другие".
Предназначение. Присваивается до шести определенных целей.
Получатели. Присваивается до шести возможных параметров получателей.
Хранение. Пять параметров, определяющих срок хранения информации, начиная с отсутствия хранения и заканчивая неопределенным сроком хранения.

После того как генератору P3P предоставлена вся необходимая информация, сгенерированный файл сохраняется под именем policy1.xml. Если существует несколько политик P3P, они нумеруются policy2.xml, policy3.xml и т.д. Генератор создает файл поддержки политики с именем p3p.xml, содержащий все включения, исключения и другие особые задачи, которые будут использоваться браузерами для работы с политиками P3P. В процессе регистрации могут включаться и исключаться целые страницы и папки.

Файл (файлы) политики P3P и файл поддержки политики отгружаются в корневой каталог сервера. Для подтверждения соответствия сайта P3P и выявления связанных с этим ошибок используйте сайт http://www.w3.org/P3P/validator.html. После подтверждения соответствия зарегистрируйте сайт как отвечающий требованиям P3P.