Форма заявки и персональные данные: что требует закон

Как только на сайте появляется форма с полем «телефон», вы становитесь оператором персональных данных. Не в переносном смысле — в том самом, который описан в законе 152-ФЗ.

Звучит страшнее, чем есть. Для небольшого сайта с формой заявки набор действий короткий и делается один раз. Разберём, что именно нужно и зачем.

Это обзорная статья, а не юридическая консультация. Тексты документов и спорные случаи стоит согласовать с юристом.

Что считается персональными данными

Всё, по чему человека можно определить. На типичном сайте это:

• имя,
• телефон,
• электронная почта,
• адрес доставки,
• иногда — данные о заказе, привязанные к человеку.

Отдельно: сам факт заполнения формы уже является сбором данных, даже если вы никуда их не записываете, а получаете письмом. Письмо тоже хранится.

Четыре вещи, которые нужны сайту с формой

1. Политика обработки персональных данных

Документ, опубликованный на сайте в открытом доступе, по прямой ссылке. В нём указывается, кто оператор, какие данные собираются, зачем, сколько хранятся, кому передаются и как их удалить.

Ссылка на политику должна быть доступна с любой страницы — обычно её ставят в подвал.

2. Согласие при отправке формы

Рядом с кнопкой — отметка или строка о согласии со ссылкой на политику. Два практических правила:

• Галочка не должна быть проставлена заранее. Согласие — действие человека, а не ваше.
• Формулировка должна называть, на что именно человек соглашается, и вести на документ.

Сохраняйте не только факт согласия, но и версию текста, с которой человек согласился. Через год документ поменяется, и доказать, под чем стояла галочка, будет нечем.

3. Уведомление в Роскомнадзор

Оператор обязан уведомить надзорный орган о начале обработки. Подаётся через сайт ведомства, один раз, бесплатно. Для формы заявки на сайте это стандартная процедура.

4. Разумные сроки и порядок хранения

Данные нельзя хранить «вечно на всякий случай». Определите срок под свою задачу — например, заявки хранятся год, данные заказов дольше, потому что нужны для учёта, — и придерживайтесь его.

Плюс базовая гигиена: доступ к заявкам только у тех, кому он нужен по работе.

Частые заблуждения

«У меня только имя и телефон — это не персональные данные». Является. Порог не в количестве полей.

«Я не храню, мне просто приходит письмо». Письмо — это хранение, а почтовый ящик — место обработки.

«Форма в мессенджере, а не на сайте». Обязанности те же: важно, что вы собираете данные, а не через какой канал.

«Я ИП, а не компания». Индивидуальный предприниматель — такой же оператор.

Что бывает, если не сделать

Ответственность за отсутствие политики, за обработку без согласия и за неуведомление предусмотрена законом, и штрафы за последние годы выросли заметно. Но практический риск обычно приходит не из проверок, а из жалобы: недовольный клиент или конкурент пишет обращение, и дальше разбираются уже с документами.

Именно поэтому дешевле сделать всё сразу: набор действий разовый, а разбирательство — нет.

Короткий порядок

• ☐ Определить, какие данные и зачем вы собираете
• ☐ Подготовить политику обработки и опубликовать по постоянной ссылке
• ☐ Поставить ссылку на политику в подвал сайта
• ☐ Добавить непроставленную заранее галочку согласия рядом с кнопкой формы
• ☐ Сохранять факт и версию согласия
• ☐ Подать уведомление в Роскомнадзор
• ☐ Назначить срок хранения заявок и удалять по нему
• ☐ Ограничить доступ к заявкам кругом сотрудников, которым он нужен

Что дальше

В Росток Онлайн эта часть закрыта на уровне платформы: мастер помогает собрать политику под ваш профиль оператора, галочка согласия и хранение версии текста уже встроены в формы, а срок хранения заявок задаётся в настройках сайта.

Так что заниматься придётся только тем, что не сделает за вас никакая платформа, — уведомлением от своего имени.