152-ФЗ для сайта: чек-лист, чтобы не получить штраф

Закон 152-ФЗ «О персональных данных» касается не только банков и маркетплейсов. Форма заявки, корзина с адресом доставки, Яндекс Метрика, даже поле «ваш email для ответа» делают вас оператором персональных данных. Роскомнадзор проверяет сайты дистанционно, а штрафы для организаций за последние два года выросли и достигают сотен тысяч рублей. Ниже то, что нужно сделать на обычном сайте, без юридического тумана.

Чек-лист из 8 пунктов

1. Политика обработки персональных данных

Отдельная страница на сайте, ссылка на неё видна с любой страницы, обычно в подвале. В политике должно быть, кто оператор (ваше ИП или ООО с ИНН), какие данные собираете, зачем, как долго храните, кому передаёте и как человек может отозвать согласие. Скачанный из интернета шаблон с чужими реквизитами не считается: это первое, что проверяют.

2. Согласие в каждой форме

Под формой заявки, регистрации, заказа стоит чекбокс «Согласен на обработку персональных данных» со ссылкой на политику. Галочка не должна быть проставлена заранее, а форма не должна отправляться без неё. Отдельное согласие нужно на рассылки: «хочу получать письма» это другой чекбокс, не тот же самый.

3. Уведомление в Роскомнадзор

Оператор персональных данных обязан подать уведомление о начале обработки и попасть в реестр операторов. Исключений, которыми раньше пользовался малый бизнес, почти не осталось, поэтому по умолчанию считайте, что подавать нужно. Уведомление подаётся через Госуслуги или сайт РКН, это бесплатно, но в нём нужно правильно описать цели, категории данных и меры защиты, и эти описания должны совпадать с политикой.

4. Cookie-баннер и метрики

Яндекс Метрика, пиксели рекламных сетей и cookie-файлы тоже собирают данные о посетителях. На сайте должно быть уведомление о cookie с возможностью согласиться и ссылкой на политику, а в самой политике упомянуты сервисы аналитики, которым передаются данные.

5. Хранение данных в России

Базы с данными россиян должны находиться на серверах в РФ. На практике это значит: хостинг у российского провайдера, CRM и сервис рассылок с серверами в России, а не зарубежный конструктор форм. Если сайт у вас по подписке у нас, этот пункт закрыт: хостинг в России и за него отвечаем мы.

6. Договоры с теми, кому передаёте данные

Хостинг, CRM, служба доставки, сервис рассылок, эквайринг получают данные ваших клиентов. С каждым нужен договор или оферта с условиями об обработке персональных данных. У крупных сервисов это уже есть в их документах, но проверить и сослаться на них в политике нужно.

7. Внутренние документы

Приказ о назначении ответственного за обработку данных, перечень обрабатываемых данных, порядок доступа сотрудников. Для ИП с одним человеком это несколько страниц, но при проверке их спрашивают. Тут же ответы на запросы граждан: человек имеет право узнать, какие данные о нём есть, и попросить их удалить, и на это нужно реагировать в установленный срок.

8. Защита формы от утечек

Сайт на https, формы отправляются по защищённому соединению, заявки не лежат в открытом файле на хостинге, доступ к админке по паролю. Утечка данных клиентов это отдельная и самая дорогая категория штрафов, а ещё обязанность уведомить об инциденте Роскомнадзор.

Что чаще всего забывают

• Согласие на рассылку путают с согласием на обработку. Это два разных чекбокса.
• Политику копируют с чужого сайта вместе с чужим ИНН.
• Уведомление в РКН считают необязательным «для маленьких».
• Зарубежные сервисы форм и рассылок, которые хранят данные не в России.
• Старые заявки хранятся годами без цели. Срок хранения должен быть назван в политике и соблюдаться.

Сколько это стоит и что мы делаем

Юридическая проверка сайта у нас стоит от 10 000 ₽. В неё входит: политика под ваши реквизиты и реальные процессы, правильные согласия во всех формах, cookie-баннер, текст уведомления в Роскомнадзор и внутренние документы. Если сайт делаем мы, эти пункты закладываем сразу, чтобы потом не переделывать. В калькуляторе на главной юридическая проверка отмечается одной галочкой.

Коротко

• Форма с телефоном на сайте делает вас оператором персональных данных.
• Минимум: своя политика, согласие в каждой форме, уведомление в Роскомнадзор, cookie-баннер, хостинг в России.
• Согласие на рассылку отдельно от согласия на обработку.
• Проверьте сайт по чек-листу сейчас: это десять минут, а исправление после проверки РКН обходится дороже.