Персональные данные на сайте: что требует закон и как не получить штраф

Как только на сайте появляется форма с именем, телефоном или почтой, вы начинаете собирать персональные данные, и на бизнес распространяется закон о персональных данных (152-ФЗ) — независимо от размера компании. Минимум для такого сайта: опубликованная политика обработки данных, согласие у каждой формы, уведомление в Роскомнадзор и хранение данных на серверах в России. Ниже разберём каждый пункт, а также cookie, типичные ошибки и порядок действий. Статья не заменяет юридическую консультацию: закон меняется часто, поэтому тексты документов сверяйте с актуальной редакцией или с юристом.

Что считается персональными данными

Это любая информация, по которой можно прямо или косвенно определить человека: имя, телефон, email, адрес. Даже один телефонный номер в форме заявки — уже персональные данные. Сюда же относятся cookie и данные аналитики, если по ним можно идентифицировать посетителя.

Тот, кто собирает такие данные и решает, зачем они нужны, по закону называется оператором. Оператором становится и крупная компания, и индивидуальный предприниматель с одностраничным сайтом. Большинство нарушений происходят не со зла, а по незнанию: «у нас же просто форма заявки». Ответственность при этом вполне реальная.

Где сайт собирает персональные данные

Прежде чем писать документы, составьте список мест, где сайт получает данные о людях. Обычно их больше, чем кажется.

Что должно быть на сайте по 152-ФЗ

Политика обработки персональных данных

Это отдельная страница, где описано, какие данные и зачем вы собираете. Закон требует, чтобы она была в открытом доступе, поэтому ссылку ставят в подвале сайта и рядом с каждой формой. В политике указывают:

• кто оператор: название компании или ИП, реквизиты, контакты для обращений;
• какие данные собираются и для каких целей — обработка заявки, доставка заказа, рассылка;
• на каком основании: согласие, договор с покупателем;
• кому данные передаются: хостингу, CRM, сервису рассылок, службе доставки, сервисам аналитики;
• сколько данные хранятся и что происходит с ними потом;
• как человек может отозвать согласие и потребовать удалить свои данные.

Главное требование к политике — она должна описывать то, что происходит на самом деле. Шаблон из интернета с чужим названием компании и сервисами, которыми вы не пользуетесь, формально есть, но при проверке только добавит вопросов.

Согласие на обработку

Согласие должно быть конкретным, информированным и сознательным: человек понимает, кому, какие данные и зачем он передаёт. На сайте это выглядит как галочка у формы со ссылкой на текст согласия и на политику. Без отмеченной галочки отправка не должна проходить.

Галочка «согласен на обработку персональных данных» должна быть не проставлена заранее, а отмечаться пользователем самостоятельно. Преждевременно отмеченная галочка считается нарушением.

Текст согласия лучше оформлять отдельным документом, а не прятать абзацем внутри пользовательского соглашения или оферты: требования к самостоятельности согласия в последние годы ужесточались. И ещё одна деталь, о которой забывают: доказывать, что согласие было получено, должен оператор. Поэтому сайт сохраняет дату и время отправки формы, отметку о галочке и версию текста, с которой человек согласился.

Согласие на обработку данных и согласие на рекламную рассылку — разные вещи. Если вы собираетесь присылать акции и новости, для этого нужна отдельная галочка, тоже не отмеченная заранее. О том, как строить рассылки, чтобы не попадать в спам, читайте в статье про email-рассылки для интернет-магазина.

Уведомление Роскомнадзора

Оператор обязан уведомить Роскомнадзор о том, что обрабатывает персональные данные, — до начала обработки. Раньше из этого правила было много исключений, сейчас их почти не осталось, поэтому безопаснее исходить из того, что уведомление нужно любому сайту с формами. Оно подаётся один раз в электронном виде через портал персональных данных Роскомнадзора, после чего компания появляется в реестре операторов. Если что-то существенное меняется — цели обработки, место хранения данных, — сведения в реестре нужно обновить.

Где хранить данные: серверы в России

Закон требует, чтобы персональные данные россиян записывались и хранились на серверах в России. Если сайт лежит на зарубежном хостинге, а заявки падают в иностранный сервис, это уже зона риска. Российский хостинг и российские сервисы форм снимают этот вопрос.

Проверять нужно не только сам сайт, но и всё, куда данные попадают дальше: CRM, сервис рассылок, конструктор форм и квизов, облачные таблицы, почту, на которую приходят заявки. Частая картина — сайт на российском хостинге, а форма собрана в зарубежном конструкторе, и первая запись данных происходит за границей. Передача данных за рубеж возможна, но это отдельная процедура со своим уведомлением Роскомнадзора, и её лучше проходить с юристом.

Подробнее о выборе площадки — в статье хостинг в России или за рубежом. А если заявки с сайта уходят в CRM, посмотрите, как устроена интеграция сайта с CRM и где при этом оказываются данные.

Cookie и счётчики аналитики

Cookie — небольшие файлы, которые сайт сохраняет в браузере посетителя, чтобы узнавать его при следующем визите. Роскомнадзор исходит из того, что cookie и похожие идентификаторы относятся к персональным данным, когда позволяют выделить конкретного пользователя. Счётчики аналитики работают именно так, поэтому сайту с Метрикой нужны две вещи:

• cookie-баннер — плашка при первом визите с сообщением, что сайт использует cookie и сервисы аналитики, ссылкой на политику и кнопкой согласия;
• раздел в политике, где перечислены используемые сервисы и объяснено, зачем они нужны.

С зарубежными счётчиками сложнее: они передают данные на серверы за пределами России, а это возвращает к вопросу о хранении. Поэтому для сайта с российской аудиторией спокойнее использовать российские сервисы. Как поставить счётчик и настроить цели, рассказываем в инструкции по настройке Яндекс Метрики.

Как защитить собранные данные

Документы — половина дела. Вторая половина — не допустить, чтобы заявки и база клиентов оказались в чужих руках.

• Сайт работает по HTTPS, чтобы данные из форм не передавались в открытом виде.
• Доступ к админке, CRM и почте с заявками есть только у тех, кому он нужен для работы, у каждого — своя учётная запись.
• Выгрузки с контактами клиентов не пересылаются в мессенджерах и не лежат в общих папках.
• Данные, которые больше не нужны, удаляются: хранить их «на всякий случай» нельзя.
• Движок сайта и плагины обновляются: устаревшие версии с известными уязвимостями — частая причина взломов и утечек. Базовые меры мы описали в статье как защитить сайт от взлома.

Если утечка всё же произошла, оператор обязан сообщить о ней в Роскомнадзор в очень короткий срок — счёт идёт на часы. Поэтому заранее стоит понимать, кто в компании отвечает за данные и у кого есть доступы к сайту.

Чем грозит нарушение

• Штрафы за отсутствие политики и согласия, за хранение данных за рубежом, за неподанное уведомление.
• Суммы выросли и для повторных нарушений становятся ощутимыми для малого бизнеса. Отдельная и самая серьёзная ответственность предусмотрена за утечки.
• Жалоба конкурента или клиента — частый повод для проверки.
• Потеря доверия: историю об утёкшей базе клиентов покупатели помнят долго.

Точные суммы мы намеренно не приводим: они менялись несколько раз за последние годы. Актуальные значения смотрите в действующей редакции Кодекса об административных правонарушениях или уточняйте у юриста.

Частые ошибки

• Галочка согласия уже отмечена или её нет вовсе, а вместо неё мелкая надпись «нажимая кнопку, вы соглашаетесь».
• Политика скопирована с чужого сайта — с другим названием компании и без упоминания реальных сервисов.
• Согласие есть на главной форме, но нет на остальных: во всплывающем окне, в квизе, в форме подписки, в чате.
• Одна галочка на всё — и на обработку данных, и на рекламную рассылку.
• Уведомление в Роскомнадзор не подано или подано давно и не обновлялось после смены хостинга и подрядчиков.
• Заявки уходят в зарубежные сервисы: формы, таблицы, почту.
• Нет cookie-баннера, хотя на сайте стоят счётчики и рекламные пиксели.
• Собирают лишнее. Чем меньше полей в форме, тем меньше данных нужно защищать — и тем больше заявок. О втором эффекте — в статье про формы на лендинге.

Что сделать в первую очередь

1. Составьте список всех форм и сервисов, через которые сайт получает данные о людях.
2. Проверьте, где физически хранятся заявки и данные: хостинг, CRM, рассылки, таблицы.
3. Добавьте страницу политики конфиденциальности, описывающую ваш реальный набор данных и сервисов.
4. Поставьте у всех форм галочку согласия со ссылкой на политику и текст согласия. Галочка не отмечена заранее.
5. Добавьте отдельное согласие на рассылку там, где собираете адреса для писем.
6. Установите cookie-баннер.
7. Подайте уведомление в Роскомнадзор, если ещё не подавали, или обновите сведения.
8. Покажите итоговые тексты юристу — особенно если работаете с чувствительными данными, например о здоровье.

Чек-лист: сайт и персональные данные

• Политика обработки персональных данных опубликована, ссылка есть в подвале и у каждой формы.
• В политике указаны ваши реквизиты и реальные сервисы, которым передаются данные.
• У каждой формы есть неотмеченная галочка согласия, без неё форма не отправляется.
• Согласие на рекламную рассылку оформлено отдельной галочкой.
• Сайт сохраняет дату и факт согласия.
• Данные хранятся на серверах в России, зарубежные сервисы в цепочке не участвуют.
• На сайте есть cookie-баннер.
• Уведомление в Роскомнадзор подано, сведения актуальны.
• Доступы к админке и CRM есть только у нужных сотрудников.

Коротко

Сайт с любой формой собирает персональные данные. По 152-ФЗ ему нужны политика обработки данных, согласие у каждой формы, уведомление в Роскомнадзор, хранение данных в России и cookie-баннер, если работают счётчики. Большинство нарушений — не злой умысел, а забытая галочка или скопированный шаблон, и исправить их дешевле, чем разбираться с последствиями.

Поможем с технической частью: настроим согласия у форм и cookie-баннер, разместим политику и перенесём сайт и заявки на российский хостинг, если нужно. Оценить работы можно в калькуляторе, а юридические формулировки рекомендуем согласовать с юристом.