Сбор данных пользователей на сайте: где заканчивается законность

Если на вашем сайте есть форма заявки, регистрация или просто подписка на рассылку — вы уже оператор персональных данных со всеми обязанностями по 152-ФЗ. Ответственность несёте вы, а не разработчик сайта и не сервис рассылок.

Что считается персональными данными

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому человеку. На практике для онлайн-проекта это:

• имя, email, телефон из форм заявки и регистрации;
• аккаунт пользователя: логин, аватар, история действий;
• идентификаторы cookie и рекламные ID при связке с пользователем;
• IP-адрес и данные устройства — когда их можно связать с человеком;
• данные заказов, переписка в поддержке, файлы, которые загружает пользователь.

«Мы собираем только почту» — не аргумент: одного email достаточно, чтобы возникли все обязанности оператора.

Три базовые обязанности оператора

1. Уведомить Роскомнадзор об обработке — до её начала. Есть исключения (например, обработка данных только работников), но для проекта с пользователями уведомление почти всегда обязательно.
2. Опубликовать политику обработки — документ о том, какие данные, зачем и как обрабатываете. Должна быть в открытом доступе на сайте.
3. Получить согласие там, где оно нужно — отдельный акт с реквизитами, а не галочка «прочитал правила». Подробнее — в статье о согласии на обработку ПД.

Где проекты ошибаются

• Предустановленная галочка. Согласие должно быть активным действием пользователя. Галочка «по умолчанию» согласием не считается.
• Сбор «на будущее». Запрос телефона там, где хватит email, — нарушение принципа минимизации: собирать можно только данные, нужные для заявленной цели.
• Передача подрядчикам. Аналитика, CRM, сервис рассылок — это передача ПД третьим лицам: нужны договоры поручения обработки и упоминание в политике.
• «Продолжая, вы соглашаетесь». Для cookie с идентификацией пользователя требуется баннер с реальным выбором — принять или отклонить.

С чего начать наведение порядка

1. Опишите, что реально собираете: формы, регистрация, аналитика, чаты.
2. Уберите лишние поля — собирайте только то, что нужно для услуги.
3. Подайте уведомление в РКН, если ещё не подавали.
4. Опубликуйте политику и приведите формы согласий в порядок.
5. Пропишите передачи: кому отдаёте данные и на каких условиях.

Это базовый минимум, который закрывает самые частые претензии. Дальше — договоры с подрядчиками и порядок отзыва согласия.

Подрабинок Максим Юрист для онлайн-проектов, цифровых продуктов и технологических сервисов

Читайте также