Персональные данные на сайте: что сделать до запуска формы заявки

Материал носит справочный характер и описывает общую рамку требований. Он не заменяет консультацию юриста: состав документов и основания обработки зависят от вашей деятельности, договоров и регионов работы. Перед запуском формы проверьте актуальную редакцию нормативных требований и получите консультацию специалиста.

Какие данные относятся к персональным

Персональными считаются данные, по которым человека можно определить прямо или косвенно. Практически это означает почти всё, что попадает в форму заявки:

Фамилия, имя, отчество.
Номер телефона и адрес электронной почты.
Адрес доставки, город, регион.
Сведения о заказе или личной ситуации, если они позволяют вас опознать.
Данные, полученные автоматически: IP-адрес, идентификаторы устройств, cookie, записи аналитики.

Отдельный случай, о котором стоит помнить: если сотрудник или клиент публикует фотографию, голос или видео, где человека можно узнать, эти данные тоже относятся к персональным.

Отдельно обращают внимание на сведения повышенной чувствительности — например, данные о здоровье, религиозных убеждениях, политических взглядах. Для них требования строже, и собирать такие данные в обычной форме заявки не нужно.

Практическое следствие: телефон не «просто контакт». Как только вы его собрали и храните, вы обрабатываете персональные данные, и на вас появляется весь набор обязанностей.

Кто оператор и что на нём лежит

Оператор — это тот, кто организует обработку данных и решает, зачем они нужны. В подавляющем большинстве случаев это сам владелец сайта или компания, от имени которой работает форма. Исполнитель, который технически принимает заявки, передаёт их оператору, но не становится им автоматически.

Обязанности оператора выглядят так:

Сообщить посетителю, что данные собираются, зачем и кто оператор. Форма в футере сайта работает, пока в этой связи есть.
Определить основание обработки и зафиксировать его в документах: договор, согласие, законодательное требование — что применимо в вашем случае.
Собрать документы, которые описывают обработку, и дать к ним доступ до, а не после отправки формы.
Обеспечить меры защиты: доступ, шифрование, ограничение круга лиц.
Реагировать на обращения субъектов: где хранятся данные, как их удалить или исправить, как отозвать согласие, если оно было основой.

Отдельно: если сайт работает за деньги рекламы, это не меняет роли. Рекламодатель в объявлении и оператор на сайте — разные стороны со своими обязанностями.

Как определить оператора, если ролей несколько

Типичная путаница возникает на трёх схемах: сайт сделан подрядчиком, реклама ведётся агентством, заявки падают в чужую CRM. В каждой из них легко решить, что оператором является тот, кто последний стоял в цепочке.

Ориентир простой: оператор — тот, кто определяет цели обработки и распоряжается результатом. Если цели и база у вас, оператор — вы, а подрядчики выступают исполнителями. Это не снимает с них ответственности за те меры, которые они обеспечивают на своей стороне, но делает распределение явным.

Зафиксируйте распределение письменно, даже если все условия обсуждались в переписке. Именно на этом чаще всего останавливаются проверки: договор есть, а распределения ролей в нём нет.

Что должно быть в политике конфиденциальности

Политика — основной документ, к которому отсылает сайт. Её пишут один раз, а потом забывают, пока не придут вопросы, и тогда выясняется, что в тексте нет половины нужного.

Проверьте, что в документе есть:

Раздел	Что должно быть указано
Кто оператор	Наименование или ФИО, контакты для вопросов
Состав данных	Какие именно поля собираются и какие автоматически
Цели обработки	Зачем каждая категория данных: заявка, договор, рассылка, аналитика
Правовое основание	На чём основана обработка для каждой цели
Сроки хранения	Сколько хранится заявка, договор, резервная копия
Получатели и операторы	Почта, CRM, облако, подрядчик, мессенджер
Передача за рубеж	Указано ли, куда передаются данные и на каком основании
Права субъекта	Как запросить доступ, исправление или удаление данных
Форма согласия	Как именно согласие даётся и фиксируется

Проверка текста на юридическую состоятельность — работа специалиста, но сама структура проверяется просто: проходите по документу как посетитель и смотрите, можно ли понять, что собирается, зачем и что делать, если человек передумал.

Как оформить согласие и что зафиксировать

Если основание обработки — согласие, требования к его оформлению следующие:

Согласие даётся свободно, отдельным действием, без навязывания. Согласие на обработку и согласие на маркетинговую рассылку — разные вещи, их стоит разделять.
Текст согласия доводится до посетителя до отправки формы, а не после.
Формулировки конкретные: какие данные, какая цель, какой срок, кто оператор. Общее «соглашаюсь на обработку персональных данных» без перечисления плохо работает и плохо выглядит при проверке.
Согласие может быть отозвано, и способ отзыва должен быть указан.

Согласие и основание — не одно и то же

Согласие — только один из способов обосновать обработку. В зависимости от ситуации основанием может быть договор, в котором человек уже дал нужные данные, или требование, установленное законом. Выбор основания влияет на всю конструкцию: от того, нужна ли отдельная галочка, до того, как долго хранить заявку после отказа.

Ошибка, которая встречается чаще других, — собрать согласием то, что основанием быть не может. Если согласие оформлено некорректно, основание рассылки и обработки заявки рассыпается вместе с ним.

Перед выбором способа получите консультацию: разница между подходами невелика в тексте, но существенна в последствиях.

Что фиксируется как доказательство

Текст согласия — с версией и датой.
Техническая запись того, что было отправлено: дату, время, текст цели, версию.
Лог подтверждения: идентификатор заявки, отметка о согласии, способ получения (форма, чекбокс, переход по ссылке).
Хранение этих записей в течение срока, который вы сами указали в документах.

Если согласие не набиралось как отдельное действие, нельзя достроить его задним числом изменением текста. Правовой механизм, подходящий вам, стоит определить с юристом, и только потом приводить форму в порядок.

Куда уходят заявки и какие меры нужны

Техническая часть проще, чем кажется, и почти всё в ней сводится к дисциплине доступа.

Минимум данных. Поля, которые вы не используете, собирать не нужно. Уберите из формы всё, что не влияет на ответ.
Почта в общий ящик. Заявки должны приходить в отдельный доступ, а не в личную почту сотрудника, который уволится.
Права на базу. Минимум: у каждого есть своя учётная запись, общий доступ — только там, где он действительно нужен, пароли не хранятся в открытом виде.
Шифрование канала. Отправка заявки с сайта должна идти по защищённому соединению — это базовое требование и следствие включённого HTTPS.
Журнал доступа. Кто и когда открывал базу заявок. Это помогает и при проверке, и при внутреннем разборе инцидентов.
Резервные копии с тем же уровнем защиты. Копия на рабочем ноутбуке обходит всю остальную работу.
Порядок увольнения. При уходе сотрудтеля доступы закрываются в тот же день.

Отдельно про мессендджеры: если заявки падают в Telegram-бот или группу, убедитесь, что в чате нет людей, которым не нужно их видеть. Удобство доступа часто стоит дороже, чем сама форма.

Передача данных зарубежным сервисам

Практически любой сайт передаёт данные за рубеж: почтовый провайдер, CRM, аналитика, платёжная система, CDN, шрифты с внешних CDN. Формально это трансграничная передача, и требования к ней зависят от того, где именно находятся ваши базы с персональными данными граждан России.

Что требуется по смыслу требований (проверьте актуальную редакцию и конкретные формулировки у специалиста):

Уведомление о передаче и о том, куда именно уходят данные.
Правовое основание передачи.
Обязательства принимающей стороны по защите данных.
Ответ оператора на требования граждан вашей страны о локализации.

Что можно сделать на практике:

Определить список всех сервисов, которые получают данные. Обычно это делается один раз простым списком, и сразу становится видно, сколько их на самом деле.
Убрать то, что не используется. Лишний счётчик или сторонний шрифт с внешнего CDN — это лишний получатель данных.
Выбирать сервисы, которые дают договорные условия по обработке данных и позволяют закрыть договор на конкретное лицо.
Согласовать передачу с теми, кто ведёт сайт и рекламу, чтобы не было разночтений о том, кто оператор.

Отдельный вопрос — локализация баз данных граждан РФ. Требование звучит так: базы с персональными данными граждан России должны находиться на территории России. На практике это значит, что при выборе хостинга и CRM нужно смотреть, где физически размещаются данные, а не только на каком языке написан интерфейс. Зарубежный сервис с российскими пользователями требует отдельного внимания и проверки соответствия.

Чек-лист из 10 пунктов перед запуском формы

Определён оператор — тот, кто отвечает за обработку данных, а не только за сайт.
В форме нет полей, которые вы не используете.
Рядом с формой есть ссылка на документы и понятный текст о том, что собираются данные и зачем.
Проведена правовая основа обработки для каждой цели: заявка, договор, рассылка, аналитика.
Согласие, если оно нужно, даётся отдельным действием, а не спрятано в общую галочку.
Текст согласия версионируется, а факт получения технически фиксируется.
Заявки приходят в отдельный доступ, а не в личную почту сотрудника.
Права на базу настроены по минимуму, ведётся журнал доступа.
Составлен список сервисов-получателей, проверено место размещения баз.
Указан порядок действий для человека: где хранятся его данные, как их исправить или удалить, как отозвать согласие.

Пункты 4, 5 и 9 — те, где ошибки обходятся дороже всего остального. Остальное можно проверить самостоятельно за один вечер.

Полезные страницы: разработка сайтов с учётом обработки данных, чат-боты и интеграции с CRM, сопровождение и поддержка, задать вопрос.