Форма заявки уже собирает персональные данные: какие документы нужны сайту по 152-ФЗ

Короткий ответ: если сайт собирает сведения, относящиеся к определённому или определяемому человеку, оператору нужно определить правовое основание и цель обработки, опубликовать политику, корректно оформить формы, обеспечить безопасность данных и проверить обязанность уведомить Роскомнадзор. Один текст «нажимая кнопку, вы соглашаетесь» не заменяет всю систему.

Имя, номер телефона и email в форме заявки обычно являются персональными данными, когда позволяют прямо или косвенно определить человека. Применимые обязанности зависят от состава данных, цели, способа обработки, получателей и роли каждой подключённой системы.

Документ 1. Политика обработки персональных данных

Часть 2 статьи 18.1 Федерального закона № 152-ФЗ обязывает оператора, который собирает персональные данные через интернет, опубликовать документ, определяющий его политику, и обеспечить доступ к нему на страницах, где происходит сбор.

Политика должна соответствовать реальным процессам: какие данные собираются, для каких целей, на каком основании, какие действия выполняются, кому могут передаваться сведения, сколько они хранятся, как субъект реализует свои права и как данные уничтожаются.

Официальный текст закона размещён на портале правовой информации, а рекомендации по структуре политики — на сайте Роскомнадзора.

Документ 2. Согласие на обработку данных — когда оно является основанием

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. В форме указывают оператора, цель, перечень данных, действия с ними, срок и порядок отзыва — в объёме, требуемом для конкретной ситуации.

Не всякая обработка основывается только на согласии: закон предусматривает и другие основания. Поэтому нельзя автоматически копировать один чекбокс во все формы. Сначала определяется цель и правовое основание, затем оформляется интерфейс.

Чекбокс не следует отмечать заранее. Пользователь должен совершить явное действие, а система — сохранить подтверждение и версию текста, с которой он согласился.

Документ 3. Отдельное согласие на рекламу

Заявка на консультацию и подписка на рекламные сообщения — разные цели. Согласие на получение рекламы по сетям электросвязи оценивают отдельно с учётом статьи 18 Федерального закона «О рекламе». Отказ от рассылки должен исполняться, а доказательство предварительного согласия — сохраняться.

Документ 4. Условия для подрядчиков и сервисов

Данные из формы могут поступать в CRM, почтовый сервис, телефонию, облачное хранилище, систему аналитики или чат-бот. Нужно составить карту получателей и определить их роль.

Если обработка поручается другому лицу, в договоре или отдельном поручении закрепляют перечень данных, операции, цели, конфиденциальность, требования к защите и обязанности по подтверждению мер. Сам факт подключения популярного сервиса не снимает ответственность с оператора.

Документ 5. Внутренние локальные акты

Публичная политика описывает работу для посетителя, но внутри организации нужны правила доступа и обработки. Состав документов зависит от процессов и может включать перечни данных и информационных систем, назначение ответственного, модель доступа, порядок реагирования на обращения и инциденты, сроки хранения и уничтожения.

Уведомление Роскомнадзора

По статье 22 Закона № 152-ФЗ оператор до начала обработки должен уведомить Роскомнадзор, кроме предусмотренных законом случаев. Исключения необходимо проверять применительно к конкретному процессу, а не предполагать по размеру бизнеса.

Роскомнадзор отдельно указывает обязанность уведомления в разделе «Для операторов». Там же доступны сведения для подготовки и направления уведомления.

Локализация баз данных

При сборе персональных данных граждан Российской Федерации через интернет часть 5 статьи 18 Закона № 152-ФЗ устанавливает требование использовать базы данных, находящиеся на территории России, для записи, систематизации, накопления, хранения, уточнения и извлечения таких данных, за предусмотренными законом исключениями.

Поэтому проверяют не только хостинг сайта, но и CRM, формы, аналитику, резервные копии и маршруты интеграций.

Что проверить в интерфейсе сайта

• рядом с каждой формой есть понятная ссылка на политику;
• цель формы соответствует запрашиваемым полям;
• обязательных полей не больше необходимого;
• чекбокс согласия не установлен заранее;
• рекламная подписка отделена от основной заявки;
• фиксируются дата, действие пользователя и версия согласия;
• описаны cookies и подключённые инструменты аналитики в применимом объёме;
• защищено соединение и ограничены права доступа;
• данные не появляются в открытых адресах страниц и журналах без необходимости;
• работает порядок отзыва согласия и обращения субъекта.

Частые ошибки

• политика скачана с чужого сайта и не совпадает с процессами;
• один чекбокс объединяет заявку, передачу партнёрам и рекламу;
• в документе не названы реально используемые CRM и категории получателей;
• форма собирает лишние сведения «на будущее»;
• уведомление Роскомнадзора не подавалось или содержит устаревшие сведения;
• после замены сервиса документы и карта данных не обновлены.

Частые вопросы

Нужна ли политика простому лендингу?

Если на его страницах собираются персональные данные, требование части 2 статьи 18.1 применяется независимо от количества страниц сайта.

Достаточно ли ссылки на политику в подвале?

Закон требует обеспечить доступ к политике на страницах, где собираются данные. Практически ссылку размещают и рядом с формой, чтобы пользователь видел её до отправки.

Нужно ли уведомлять Роскомнадзор?

Общее правило статьи 22 — уведомить до начала обработки. Возможность применения исключения нужно проверять по конкретным операциям и актуальной редакции закона.

Чем поможет «Интеллект Консалтинг»

Мы проверяем формы и маршруты данных, готовим политику, согласия, договорные условия и комплект локальных документов, помогаем определить содержание уведомления. Подробнее — «Юридические услуги». Для проверки конкретного сайта оставьте заявку.

Главный вывод

Соответствие 152-ФЗ начинается не с шаблона политики, а с карты данных: что сайт получает, зачем, куда передаёт, сколько хранит и кто имеет доступ. Документы должны описывать именно эту систему.

Материал носит информационный характер. Применимые документы и основания определяются по фактической обработке и актуальной редакции законодательства.