Какие данные считаются персональными и кто за них отвечает

Персональные данные — это любая информация, относящаяся к человеку, которого по ней можно определить. Не только паспорт: имя с телефоном, почта, адрес доставки и даже набор технических признаков, по которому человека узнают среди других. Тот, кто решает, зачем и как их собирать, называется оператором.

Что собирает обычный сайт

Форма заявки: имя, телефон, почта, комментарий — это персональные данные, без вариантов. Корзина магазина добавляет адрес доставки. Личный кабинет — историю заказов.

Отдельная история — технические данные: IP-адрес, идентификаторы cookie, сведения об устройстве. Сами по себе они обезличены, но в связке с остальным позволяют узнать конкретного человека, и регулятор рассматривает их как персональные данные, если такая связка возможна.

Кто здесь оператор

Оператор — тот, кто решает, зачем собираются данные. Если форма на вашем сайте, оператор вы: неважно, на каком конструкторе собран сайт и чей сервис принимает заявки.

Сервисы, через которые данные проходят, — конструктор сайта, приёмник заявок, CRM, рассылка — обрабатывают их по вашему поручению. Ответственность перед человеком всё равно на вас, поэтому важно понимать, куда именно уходят заявки и что там с ними происходит.

Минимум, который должен быть на сайте

• Политика обработки персональных данных — отдельная страница, доступная с любой страницы сайта. В ней: кто оператор, какие данные и зачем собираются, сколько хранятся, кому передаются, как их удалить.
• Согласие на обработку — отдельная галочка у формы, не проставленная заранее. Текст согласия человек должен иметь возможность прочитать до отправки.
• Запись факта согласия — что человек согласился, когда и с какой версией документа. Без этого доказать наличие согласия невозможно.
• Уведомление регулятора — оператор обязан уведомить Роскомнадзор о намерении обрабатывать данные. Это бесплатно и делается через их сайт.

Частые заблуждения

«У меня маленький сайт, это не про меня» — закон не делает скидку на размер. Форма с телефоном есть — обязанности есть.

«Данные в облаке за границей, значит, российский закон ни при чём» — наоборот: сбор данных россиян должен происходить в базах на территории России, а трансграничная передача требует отдельных условий.

«Достаточно приписки мелким шрифтом» — согласие должно быть осознанным действием. Предзаполненная галочка или строчка «нажимая кнопку, вы соглашаетесь» — слабая позиция при проверке.

Частые вопросы