Персональные данные — это любая информация о человеке, которого по ней можно определить: имя с телефоном, почта, адрес доставки, набор технических признаков, по которому человека узнают среди других. Тот, кто решает, зачем и как их собирать, называется оператором.
Что собирает обычный сайт
Форма заявки собирает персональные данные: имя, телефон, почту, комментарий. Корзина магазина добавляет адрес доставки, личный кабинет — историю заказов.
Технические данные — это IP-адрес, идентификаторы cookie, сведения об устройстве. Сами по себе они обезличены, но в связке с остальным позволяют узнать конкретного человека. Регулятор считает их персональными данными, если такая связка возможна.
Кто оператор
Оператор — тот, кто решает, зачем собираются данные. Если форма стоит на вашем сайте, оператор вы. Конструктор сайта и сервис приёма заявок этого не меняют.
Сервисы, через которые данные проходят, обрабатывают их по вашему поручению: приёмник заявок, CRM, рассылка. Ответственность перед человеком остаётся на вас, поэтому стоит знать, куда уходят заявки и что с ними происходит дальше.
Минимум на сайте
- Политика обработки персональных данных — отдельная страница, доступная с любой страницы сайта. В ней: кто оператор, какие данные собираются и зачем. Дальше: сколько хранятся, кому передаются и как их удалить.
- Согласие на обработку — отдельная галочка у формы, не проставленная заранее. Текст согласия должен открываться до отправки формы.
- Запись факта согласия — что человек согласился, когда и с какой версией документа. Без этой записи согласие нечем подтвердить.
- Уведомление регулятора — оператор обязан уведомить Роскомнадзор о намерении обрабатывать данные. Уведомление бесплатное, подаётся через сайт Роскомнадзора.
Частые заблуждения
«У меня маленький сайт, это не про меня». Закон не делает скидку на размер: есть форма с телефоном — есть обязанности оператора.
«Данные в облаке за границей, значит, российский закон ни при чём». Сбор данных россиян должен идти в базах на территории России, а трансграничная передача требует отдельных условий.
«Достаточно приписки мелким шрифтом». Согласие должно быть осознанным действием. Предзаполненная галочка и строчка «нажимая кнопку, вы соглашаетесь» при проверке защищают слабо.