Оператор персональных данных — это не только банк и не только крупная компания. Им становится каждый, кто собирает сведения о людях: организация, индивидуальный предприниматель и самозанятый. Достаточно формы обратной связи с полем «телефон» или подписки на рассылку.

Требования при этом одинаковые для всех, а проверки давно перестали быть выборочными: Роскомнадзор сканирует сайты автоматически и фиксирует нарушения без выезда и без жалобы от посетителя.

Что считается персональными данными на сайте#

  • Имя, телефон, почта, адрес — всё, что человек вводит в форму.
  • Данные из личного кабинета и истории заказов.
  • Записи разговоров, если на сайте стоит обратный звонок.
  • Идентификаторы посетителя из систем аналитики и рекламных пикселей — их тоже относят к сведениям о человеке.

Отдельная категория — файлы cookie. Технические, без которых сайт не работает, ставить можно. Аналитические и рекламные — только после того, как посетитель согласился.

Что должно быть у формы#

Смысл требований сводится к одному: человек до отправки данных видит условия обработки и соглашается с ними осознанно. На практике проверяющие смотрят на четыре вещи.

  1. 01Отдельный чекбокс рядом с кнопкой. Не предустановленный: галочку ставит посетитель, а не вёрстка за него.
  2. 02Ссылка на политику обработки данных и на согласие. Ссылка открывается сразу, без скачивания файла и без перехода в закрытый раздел.
  3. 03Понятная формулировка. Кто собирает данные, зачем и на какой срок. Согласие на рассылку выделяется отдельно от согласия на обработку заявки.
  4. 04Кнопка не отправляет форму, пока галочка не поставлена. Это самая частая техническая ошибка: чекбокс есть, а форма уходит и без него.

Уведомление Роскомнадзора#

Кроме документов на сайте нужно подать уведомление об обработке персональных данных. Оно подаётся один раз, госпошлины нет, и требуется даже тем, кто обрабатывает данные одного человека.

  • Подать можно электронно — через портал персональных данных Роскомнадзора или Госуслуги. Бумажный вариант отправляют в территориальное управление по месту регистрации.
  • Сведения об операторе вносят в реестр в течение тридцати календарных дней.
  • Если данные изменились — например, поменялся адрес или добавились новые цели обработки, — сообщить нужно не позднее пятнадцатого числа следующего месяца.

За отсутствие уведомления предусмотрен отдельный штраф — от тысяч рублей для физических лиц до сотен тысяч для компаний. Точные размеры смотрите в КоАП: суммы правят регулярно, и пересказ в статье устаревает быстрее, чем закон.

Где хранятся данные#

По общему правилу сбор и первичное хранение данных россиян происходят на серверах в России. Это касается не только хостинга сайта, но и сервисов, куда уходят заявки: почтовых рассылок, чатов, таблиц, CRM.

Практический вывод: держите сайт на российском хостинге, а заявки отправляйте в системы, у которых серверы в России. Если форма пересылает данные в зарубежный сервис, это отдельное нарушение, даже когда всё остальное сделано правильно.

Сколько стоит невнимательность#

Штрафы за нарушения выросли и продолжают расти. За обработку без согласия и за отсутствие уведомления отвечают отдельно, а за утечку данных для компаний предусмотрены оборотные штрафы — они считаются в процентах от годовой выручки. Порядок расчёта и актуальные размеры стоит уточнять у юриста: цена ошибки здесь несопоставима со стоимостью консультации.

Роскомнадзор находит нарушения сканером, а не проверкой. Форма без чекбокса — это несколько строк кода и полдня работы, но именно она чаще всего попадает в протокол.

Чек-лист#

  1. 01Уведомление в Роскомнадзор подано, компания в реестре операторов.
  2. 02На сайте опубликованы политика обработки и текст согласия, ссылки открываются с телефона.
  3. 03У каждой формы есть непредустановленный чекбокс, без него отправка не проходит.
  4. 04Согласие на рекламную рассылку отделено от согласия на обработку заявки.
  5. 05Баннер cookie не ставит аналитические скрипты до согласия.
  6. 06Хостинг и сервисы приёма заявок — с серверами в России.

Мы приводим формы и документы в порядок в рамках разработки, а на сопровождении проверяем это при каждом обновлении сайта. Если сомневаетесь в своих формах, напишите — посмотрим и скажем, что поправить.