152-ФЗ и персональные данные на сайте
Что обязан сделать владелец сайта с формой обратной связи: уведомить Роскомнадзор, опубликовать политику, собрать согласие и обеспечить хранение данных в России.
Коротко
Если на сайте есть форма, где человек оставляет имя, телефон или почту, вы — оператор персональных данных по 152-ФЗ. Обязанностей четыре: уведомить Роскомнадзор, опубликовать политику обработки, получить согласие и хранить данные россиян на серверах в России.
Материал описывает практическую сторону и не заменяет консультацию юриста: детали зависят от того, какие данные и зачем вы собираете.
Что считается персональными данными
Имя, телефон, электронная почта, адрес, дата рождения — всё, что относится к определённому человеку. Отдельная форма может выглядеть безобидно, но вместе с другими данными она делает человека определимым, поэтому «мы собираем только имя и телефон» от обязанностей не освобождает.
Четыре обязанности
1. Уведомление в Роскомнадзор
Оператор уведомляет РКН о намерении обрабатывать персональные данные — до начала обработки. Подаётся через сайт ведомства, госпошлины нет. Этот пункт пропускают чаще всего: политику на сайт выложили, а уведомление не подали.
2. Политика обработки данных
Отдельная страница в открытом доступе, ссылка на неё — с каждой страницы сайта. Что собираете, зачем, сколько храните, кому передаёте, как отозвать согласие и как с вами связаться.
3. Согласие субъекта
Не предустановленная галочка, а осознанное действие. Отдельно от согласия на обработку берётся согласие на рассылку — одно не покрывает другое.
Согласие нужно не только показать, но и зафиксировать: дата, время, с какой формы, с какой редакцией политики согласился человек.
4. Хранение в России
Базы данных, где обрабатываются персональные данные граждан России, должны находиться на территории России. На практике это влияет на выбор хостинга и облачных сервисов — уточняйте местоположение серверов до того, как проект уедет в продакшен.
Что делать при утечке
Об инциденте с персональными данными оператор уведомляет Роскомнадзор — первое уведомление в течение суток с момента обнаружения, затем в течение трёх дней результаты внутреннего расследования. Порядок стоит продумать заранее: кто обнаруживает, кто принимает решение, кто подаёт.
Технические меры
- Защищённое соединение — без него данные из форм передаются открыто.
- Ограничение доступа: у кого из сотрудников есть доступ к заявкам и зачем.
- Резервные копии защищены так же, как основная база.
- Удаление данных, когда цель обработки достигнута. У нас, например, обращения с сайта хранятся 12 месяцев.
- Аккуратность с передачей третьим лицам: CRM, рассылки, аналитика — тоже обработчики, и их надо перечислить в политике.
Что чаще всего упускают
Данные живут не только в базе сайта. Они попадают в почту менеджеров, в CRM, в мессенджеры, в таблицы. Политика должна описывать реальный маршрут данных, а не только форму на сайте — иначе документ не соответствует тому, что происходит.
Нужно привести сайт в порядок?
Поможем с технической стороной: фиксация согласий, хранение, доступы, удаление по сроку и корректная загрузка аналитики. Как это устроено у нас — можно посмотреть в нашей политике на сайте.
Читайте дальше
Доработать старый сайт или сделать новый
Как решить, что дешевле: пять вопросов, ответы на которые показывают, стоит ли вкладываться в существующий сайт или пора собирать заново.
2 минуты чтенияКак выстроить работу с удалённым подрядчиком
Что заменяет личные встречи: ритм связи, точки контроля, инструменты и правила, которые делают удалённую работу предсказуемой.
1 минута чтенияКак ставить задачи разработчикам
Шаблон задачи, которую поймут с первого раза: что описать, чего не описывать и почему «сделайте красиво» стоит дороже всего.
2 минуты чтения