Персональные данные на сайте: сбор и обработка по правилам

Когда я спрашиваю владельца сайта, какие персональные данные он собирает, чаще всего слышу: «Только имя и телефон из формы заявки». Затем мы открываем техническую часть проекта и видим CRM, аналитику, онлайн-чат, почтовые уведомления, рекламные пиксели и резервные копии.

Бизнес видит входную дверь, но не замечает открытые окна. Форма может содержать всего два поля, однако обработка персональных данных на сайте начинается не кнопкой «Отправить» и не заканчивается письмом менеджеру.

Сайт — это маршрут движения информации. Пользователь оставляет сведения, сервер их принимает, система сохраняет, сотрудник использует, а подключённые сервисы иногда получают доступ автоматически. Чтобы соблюдать 152-ФЗ, необходимо понимать весь маршрут, а не ограничиваться политикой конфиденциальности в подвале.

Какие персональные данные собирает сайт

Персональными считаются сведения, относящиеся к прямо или косвенно определённому человеку. Это не только паспорт, ФИО и адрес. Если информация позволяет выделить пользователя, связаться с ним или связать его действия с конкретной заявкой, её необходимо учитывать.

Обычный коммерческий сайт может получать:

• имя, телефон и адрес электронной почты;
• город, адрес или отделение доставки;
• содержание заявки и комментарии;
• историю заказов и обращений;
• IP-адрес, данные браузера и устройства;
• идентификаторы cookie и действия на страницах;
• контакты из мессенджеров;
• данные личного кабинета;
• фотографии и отзывы.

Не каждый технический параметр автоматически признаётся персональными данными в любой ситуации. Значение имеет контекст и совокупность сведений. Но если сайт, аналитика или CRM позволяют отличить одного посетителя от другого и связать действия с заявкой, такой процесс нельзя игнорировать.

Форма на сайте — только начало обработки

Посетитель вводит имя и телефон в форму «Получить консультацию». После отправки информация может записаться в базу сайта, уйти на почту, создать карточку в CRM, попасть в чат менеджеров и сохраниться в резервной копии.

Для пользователя это одно действие. Для оператора — несколько операций и мест хранения. Поэтому фраза «мы только принимаем заявки» обычно описывает лишь верхушку айсберга.

Что включает обработка персональных данных на сайте

Обработка — это практически любое действие с информацией: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, блокирование, удаление и уничтожение.

Менеджер открыл письмо — данные используются. CRM создала карточку — сведения записываются и систематизируются. Сайт сделал резервную копию — продолжается хранение. Подрядчик получил доступ к административной панели — возникает вопрос о законности доступа и условиях поручения обработки.

Если в политике сказано, что контакты нужны только для обратного звонка, а фактически они попадают ещё и в рекламную рассылку, сайт работает не так, как обещает пользователю.

Кто является оператором персональных данных

Оператор — тот, кто определяет цели обработки, состав сведений и действия с ними. Для коммерческого сайта это обычно ИП, ООО, организация или самозанятый, от имени которого оказываются услуги или продаются товары.

Хостинг, CRM, разработчик и агентство могут участвовать в обработке, но подрядчики не снимают ответственность с владельца бизнеса. CRM — это инструмент: цель и порядок её использования определяет оператор.

Цели обработки персональных данных на сайте

Цель отвечает на вопрос: зачем компании нужны сведения человека? Она должна быть конкретной, заранее определённой и законной. Формулировки «для деятельности компании» или «для улучшения сервиса» слишком широки, если из них невозможно понять реальный смысл обработки.

На сайте могут использоваться следующие цели:

• ответ на обращение;
• подготовка расчёта или предложения;
• оформление и доставка заказа;
• регистрация личного кабинета;
• заключение и исполнение договора;
• обработка претензий;
• направление сообщений и рекламы;
• анализ посещаемости сайта.

Для каждой цели определяют категории пользователей, перечень данных, операции, получателей и сроки. Пока такой карты нет, информация начинает путешествовать по компании без понятных правил.

Почему нельзя собирать данные «на всякий случай»

Объём данных должен соответствовать цели. Если для обратного звонка достаточно имени и телефона, дата рождения, домашний адрес и паспорт будут избыточными.

На аудитах я встречаю формы, похожие на анкету для допуска к государственной тайне, хотя посетитель всего лишь хочет узнать стоимость ремонта. Полезный вопрос к каждому полю: «Что именно мы не сможем сделать без этой информации?» Если ответа нет, поле лучше убрать.

Основания обработки персональных данных для сайта

Согласие — важное, но не единственное основание обработки. Данные могут быть необходимы для заключения или исполнения договора, выполнения обязанности по закону либо обрабатываться на другом предусмотренном законом основании.

Контакты клиента могут потребоваться для подготовки договора по его инициативе. Сведения покупателя нужны для исполнения заказа. Часть информации хранится из-за требований бухгалтерского и налогового законодательства. Рекламная рассылка — отдельная цель, которую нельзя незаметно прикрепить к заявке на консультацию.

Основание выбирают не для сайта целиком, а для каждого процесса. Один человек может оформить заказ, подписаться на новости и обратиться в поддержку. Это разные цели, и юридическая логика может отличаться.

Как оформить согласие пользователя

Если обработка строится на согласии, оно должно быть конкретным, информированным, сознательным и однозначным. Оператор обязан уметь подтвердить факт его получения.

На сайте обычно используют отдельный чекбокс, который человек отмечает самостоятельно. Но галочка — не бумажный оберег. Рядом нужна понятная формулировка, ссылка должна вести на актуальный документ, а система — сохранять доказательства действия.

В журнале согласий целесообразно фиксировать:

• дату и время отправки формы;
• адрес страницы и название формы;
• версию текста согласия;
• состав переданных сведений;
• технический идентификатор записи.

Сам журнал также содержит персональные данные и требует защиты. Его задача — позволить ответить: кто, когда и с каким текстом согласился.

Сроки обработки и хранения персональных данных

Универсального срока «хранить все заявки три года» нет. Он зависит от цели, основания обработки, договора, требований законодательства и внутренних правил оператора.

Для каждого процесса определяют:

1. когда начинается обработка;
2. какое событие означает достижение цели;
3. есть ли основание хранить сведения дальше;
4. когда и каким способом данные удаляются;
5. как учитываются резервные копии.

Обращение за консультацией не должно бессрочно лежать в CRM только потому, что менеджеру жалко удалять контакты. Данные подписчика могут использоваться до отписки или отзыва согласия, если нет другого основания. Документы по исполненному заказу иногда хранятся дольше, когда этого требует закон.

Что делать с резервными копиями

Удалить карточку из CRM и удалить данные из всей инфраструктуры — не одно и то же. Копии могут оставаться в почте, выгрузках сотрудников, архивах сайта и бэкапах.

Порядок удаления должен учитывать, как часто копии перезаписываются, кто имеет к ним доступ и через какой срок информация исчезает окончательно. Нельзя обещать мгновенное уничтожение, если технически система этого не обеспечивает.

Как оформить обработку персональных данных через сайт

Документы должны описывать реальные процессы. Владельцу сайта необходимо проверить:

• политику в отношении обработки персональных данных;
• согласия для используемых форм;
• отдельное согласие на рекламные сообщения;
• политику использования cookie;
• локальные документы оператора;
• договоры с подрядчиками;
• порядок обращений и удаления данных;
• сведения, направленные в Роскомнадзор.

Политика должна быть доступна там, где происходит сбор данных, и соответствовать работе сайта. Если в ней написано, что заявки приходят только на почту, а проект давно использует CRM и чат, документ устарел.

Политика, не связанная с настройками, похожа на инструкцию от другого оборудования: текст выглядит солидно, но нужную кнопку по нему не найти.

Локализация, передача и защита данных

При сборе данных граждан России через интернет необходимо учитывать требования к базам данных на территории Российской Федерации. Проверять нужно не только хостинг: заявки могут уходить в CRM, почту, чат, сервис рассылок или аналитику.

Для проекта полезно составить карту:

1. что вводит пользователь;
2. на какой сервер поступает информация;
3. где сохраняется первичная база;
4. какие сервисы получают копию;
5. кто имеет доступ;
6. когда данные удаляются.

Кроме документов, необходимы меры защиты: HTTPS, обновление CMS и модулей, разграничение доступов, двухфакторная аутентификация, защита резервных копий и удаление учётных записей бывших сотрудников.

Можно установить дорогую защиту на сервере, но пересылать заявки в общий ящик, пароль от которого знают бывший маркетолог и три подрядчика. Юридический документ такую дверь не закроет.

Нужно ли уведомлять Роскомнадзор

По общему правилу оператор до начала обработки уведомляет Роскомнадзор, если его ситуация не относится к предусмотренным законом исключениям. Сайт с формами, аналитикой и клиентской базой — повод проверить эту обязанность, а не считать, что она касается только крупных организаций.

В уведомлении отражаются цели, категории субъектов и данных, способы обработки, меры защиты и место нахождения базы. Когда процессы меняются, нужно проверять актуальность ранее поданных сведений.

Политика, согласия, уведомление и техническая схема должны описывать одну реальность. Если в каждом документе живёт своя версия сайта, это уже юридический сериал с разными сценаристами.

Типичные ошибки при сборе данных через сайт

• учитываются только поля формы, но не аналитика, cookie и CRM;
• цели сформулированы слишком широко;
• заявка, договор и реклама объединены одним чекбоксом;
• старые контакты хранятся без понятного срока;
• политика скачана с чужого сайта;
• факт согласия невозможно подтвердить;
• у бывших сотрудников и подрядчиков остаются доступы.

Как проверить обработку персональных данных на сайте

Аудит начинается не с переписывания политики, а с инвентаризации:

1. найдите все формы, чаты, подписки и точки сбора cookie;
2. составьте перечень CRM, почты, аналитики и рекламных систем;
3. определите цель и основание каждого процесса;
4. уберите избыточные поля;
5. установите сроки хранения и порядок удаления;
6. проверьте местонахождение баз и получателей;
7. настройте фиксацию согласий;
8. синхронизируйте политику, формы и уведомление;
9. закройте лишние доступы.

Если самостоятельно составить такую карту сложно, можно провести аудит сайта на соответствие 152-ФЗ. В LeveLSite мы проверяем не только документы, но и фактический путь данных: от браузера пользователя до CRM, почты и сторонних сервисов.

Мнение IT-юриста LeveLSite

Большинство нарушений возникает не потому, что бизнес сознательно игнорирует закон. Владельцы просто не видят систему: видят форму, но не интеграцию; письмо, но не резервную копию; CRM, но не доступ подрядчика.

Персональные данные на сайте — не отдельная страница с юридическим текстом. Это процесс, который начинается с первого действия пользователя и заканчивается после удаления последней обоснованно хранящейся копии.

Первый шаг к порядку — не скачать шаблон, а ответить на пять вопросов: что мы собираем, зачем, на каком основании, кому передаём и когда удаляем.

Хорошо настроенный сайт не превращает 152-ФЗ в препятствие для продаж. Он помогает компании понимать собственные процессы и уверенно отвечать на вопросы пользователей и регулятора. Юридическая зрелость начинается не с папки документов, а с порядка в данных.