«У нас обычный сайт, никаких данных мы не собираем». Эту фразу владельцы бизнеса говорят часто, и почти так же часто она оказывается неверной. Достаточно одной формы «Заказать звонок», счетчика Яндекс Метрики или виджета чата, и сайт уже участвует в обработке персональных данных. А значит, у его владельца появляются обязанности оператора.
Разберем, по каким признакам это понять и что делать дальше.
Что такое персональные данные и обработка
Статья 3 Закона № 152-ФЗ определяет персональные данные очень широко: любая информация, которая прямо или косвенно относится к определенному или определяемому человеку. Имя, телефон, email, адрес, номер заказа, фото, а в некоторых ситуациях и технические идентификаторы.
Обработка тоже понимается широко. Это любое действие с данными: сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление и уничтожение. Если человек ввел телефон в форму, а вы его получили, сохранили и перезвонили, это три действия обработки подряд.
Для сайта вывод простой. Если данные пользователя попадают к вам на почту, в CRM, мессенджер или таблицу, сайт участвует в обработке.
Признак первый: на сайте есть формы
Самый очевидный признак. Через формы пользователь сам передает сведения о себе:
- обратная связь и заявка на консультацию;
- «Заказать звонок»;
- регистрация в личном кабинете;
- оформление заказа;
- подписка на рассылку;
- запись на услугу;
- анкета, квиз, онлайн-калькулятор с полем для контакта;
- комментарии, отзывы, вопрос специалисту.
Если пользователь оставляет имя, телефон, email, город, адрес или комментарий, сайт почти наверняка обрабатывает персональные данные.
Даже одного номера телефона хватает. По нему можно связаться с конкретным человеком, а в связке с заявкой он однозначно его определяет. Аргумент «мы просим только телефон, без имени» не работает. Подробнее о формах в статье когда форма заявки становится обработкой персональных данных.
Признак второй: сайт принимает заказы или оплату
Интернет-магазины, сайты услуг и онлайн-сервисы работают с данными почти всегда. При заказе собирают имя, телефон, email, адрес доставки, состав и историю заказов, комментарии, сведения об оплате и доставке.
Данные карты обычно обрабатывает платежный сервис, а не сам сайт. Но владелец сайта все равно должен понимать, что именно уходит платежной системе и службе доставки, кому и на каком основании.
Признак третий: cookie, аналитика и идентификаторы
Персональные данные не обязательно вводит сам пользователь. Сайт собирает многое автоматически:
- IP-адрес;
- cookie-файлы;
- client ID в системах аналитики;
- сведения о браузере и устройстве;
- логи сервера;
- историю действий на страницах;
- источник перехода.
Сами по себе эти сведения не всегда персональные. Но если они позволяют прямо или косвенно связать действия на сайте с конкретным человеком, их стоит считать частью обработки. Типичная ситуация: client ID из Метрики связывается с заявкой, в которой есть телефон. С этого момента идентификатор указывает на конкретного человека. Вебвизор, который записывает действия посетителя на странице, включая ввод в формы, тоже требует внимания.
На практике безопаснее исходить из того, что данные счетчиков могут быть персональными, особенно когда они связываются с заявкой или профилем. Сайт с Метрикой, но без политики и без информации о cookie, вопросы у проверяющих вызывает почти гарантированно. Подробно об этом в статье о cookie и согласии.
Признак четвертый: данные уходят сторонним сервисам
Сайт редко хранит данные только у себя. После отправки формы информация автоматически попадает в другие места:
- CRM-систему;
- сервис email-рассылок;
- платежный сервис и службу доставки;
- онлайн-чат и виджет обратного звонка;
- коллтрекинг;
- рекламные кабинеты и пиксели;
- Telegram-бот или другой мессенджер;
- облачную таблицу;
- подрядчика, который обрабатывает заявки.
Каждый такой получатель должен быть учтен в документах сайта, а с теми, кто обрабатывает данные по вашему поручению, нужен договор с условиями поручения. Отдельно проверьте, где сервис хранит данные. Если серверы за рубежом, возникают вопросы локализации и трансграничной передачи.
Признак пятый: на сайте есть чат, отзывы или личный кабинет
Онлайн-консультант сохраняет переписку, имя и часто телефон. Отзывы публикуют имя и иногда фото автора. Личный кабинет хранит профиль, историю заказов и настройки. Все это обработка, причем публикация отзыва с именем ближе к распространению данных, для которого действуют особые правила.
Когда сайт может не обрабатывать персональные данные
Теоретически такой сайт возможен: ни форм, ни заказов, ни регистрации, ни комментариев, ни рассылок, ни аналитики, ни рекламных пикселей, ни чата. Только текст и контакты компании.
На практике это редкость. Даже простая визитка обычно подключает счетчик, карту, видео с внешнего хостинга, шрифты или виджеты, которые передают данные посетителя третьим лицам. Поэтому позиция «у нас ничего нет» требует проверки, а не веры на слово разработчику.
Что из этого следует
Если сайт обрабатывает персональные данные, владелец сайта становится оператором. Для сайта это обычно означает:
- опубликовать на сайте политику обработки персональных данных, ее нужно разместить на страницах, где собираются данные;
- подать уведомление в Роскомнадзор или проверить, что действующее уведомление описывает сайт;
- определить основание для каждой формы и получать согласие там, где оно действительно нужно;
- отдельно получать согласие на рекламную рассылку;
- информировать о cookie и решить вопрос с согласием на аналитику;
- проверить, что данные россиян записываются и хранятся в базах на территории России;
- оформить отношения с CRM, хостингом и другими сервисами.
Полный список с пояснениями есть в статье какие требования нужно выполнить сайту, который обрабатывает персональные данные.
Чек-лист для владельца сайта
Пройдитесь по сайту с этим списком:
- Есть ли формы заявки, заказа, обратной связи или подписки.
- Какие данные пользователь вводит в каждую форму.
- Куда попадают данные после отправки: почта, CRM, мессенджер, таблица.
- Подключены ли рассылки, онлайн-чат, платежный сервис.
- Используются ли cookie, веб-аналитика, рекламные пиксели, вебвизор.
- Есть ли на сайте политика обработки данных и ссылка на нее рядом с формами.
- Где находятся серверы хостинга и подключенных сервисов.
- Есть ли ваша компания в реестре операторов Роскомнадзора.
Если хотя бы на первые пять вопросов вы ответили «да», сайт обрабатывает персональные данные. Следующий шаг: собрать все найденное в карту и сверить с документами.
Частые вопросы
У нас на сайте только номер телефона компании, без форм. Это обработка?
Нет, если нет форм, аналитики и других сервисов, которые собирают данные посетителей. Ваш собственный телефон обработкой данных посетителей не считается. Но проверьте, какие счетчики и виджеты подключены.
Сайт сделала веб-студия. Кто оператор, мы или она?
Оператор тот, кто решает, зачем собираются данные. Заявки нужны вашему бизнесу, значит, оператор вы. Студия или хостинг обычно обрабатывают данные по вашему поручению.
Заявки приходят только мне на почту, без CRM. Это обработка?
Да. Получение и хранение письма с контактами уже обработка, и обязанности оператора от этого не уменьшаются.
Сайт на Тильде или другом конструкторе. Что-то меняется?
Конструктор обычно сам принимает данные форм, часто хранит заявки и передает их дальше, поэтому он ваш подрядчик. Проверьте его условия обработки данных и место хранения. Обязанности оператора остаются за вами.