На сайте есть форма обратной связи: имя, телефон, пара слов о задаче. Выглядит безобидно. С точки зрения закона в этот момент вы стали оператором персональных данных со всеми обязанностями, которые из этого следуют.

Разберём по-человечески, что именно требуется и где чаще всего прокалываются — включая места, о которых обычно не думают.

Это не юридическая консультация, а практический разбор от разработчиков. Формулировки документов стоит согласовать с юристом, а размеры штрафов — сверять с актуальной редакцией статьи 13.11 КоАП: её заметно правили в последние годы.

Что считается персональными данными

Закон определяет их широко: любая информация, относящаяся к определённому или определяемому человеку. Не список конкретных полей, а критерий — можно ли по этим данным понять, о ком речь.

Персональные данные:

  • имя и телефон;
  • один только email вида ivan.petrov1985@example.com;
  • номер заказа вместе с адресом доставки;
  • переписка в чате, где человек назвал себя;
  • IP-адрес в связке с другими данными о посетителе.

Не персональные данные:

  • обезличенная статистика: «за сентябрь 340 заявок»;
  • корпоративный адрес info@company.ru без привязки к сотруднику.

Практический вывод: почти любая форма на сайте — это обработка персональных данных. Исключение — форма, где вообще нечего связать с человеком.

Четыре вещи, без которых форму лучше не публиковать

1. Политика обработки персональных данных

Отдельная страница, доступная любому посетителю без регистрации. В ней написано: какие данные вы собираете, зачем, сколько храните, кому передаёте и как человеку их удалить.

Ссылка на политику должна быть рядом с формой, а не только в подвале мелким шрифтом.

2. Согласие, которое человек действительно даёт

Согласие должно быть конкретным и осознанным. На практике это значит:

  • галочка не проставлена заранее. Предустановленный чекбокс — это не согласие, а его имитация;
  • рядом с кнопкой отправки написано, на что человек соглашается, со ссылкой на политику;
  • формулировка не спрятана в стену текста.

Минимальный рабочий вариант выглядит так:

<p>
  Нажимая «Отправить», вы соглашаетесь на обработку персональных данных
  в соответствии с
  <a href="/privacy-policy/" target="_blank">Политикой конфиденциальности</a>.
</p>
<button type="submit">Отправить</button>

Такое согласие «действием» допустимо для простых случаев — заявки, обратного звонка. Если вы собираетесь потом слать рассылку, согласие на рекламные сообщения нужно отдельное: цель другая, и одним «отправить» она не покрывается.

3. Уведомление в Роскомнадзор

Самый пропускаемый пункт. Многие уверены, что уведомление нужно только банкам и операторам связи — это давно не так. Исключений в законе осталось мало, и обычный сайт с формой заявки под них, как правило, не попадает.

Уведомление подаётся до начала обработки, через портал Роскомнадзора, бесплатно. Занимает это заметно меньше времени, чем объяснения потом.

4. Хранение в России

Данные граждан РФ должны записываться и храниться в базах на территории России. Это касается не только вашей основной базы, но и всего, куда данные утекают попутно: CRM, почтовый сервис, таблицы, формы стороннего сервиса.

Заявки, которые падают в зарубежный сервис форм или в облачную таблицу на иностранном хостинге, — типичное нарушение, о котором владелец сайта обычно не подозревает.

Где данные утекают незаметно

Формальные документы можно оформить за день. Куда чаще проблема в технике — данные расползаются туда, куда никто не планировал.

Логи сервера

Самое частое место. Разработчик добавляет отладочный вывод «посмотреть, что приходит с формы», и в журнале появляется:

INFO:Н'оmвeаsяsaзgаeя'в:ка':Ну{ж'еnнamрeа'с:чё'тИвпаонаПдертерсоув'Л,ен'иpнhаon5e,':кв.+7129'0}0123-45-67',

Логи потом читают все, кому дали доступ к серверу, они уезжают в системы мониторинга и хранятся месяцами. Отдельная ловушка — режим отладки SQL: он печатает запросы вместе со значениями параметров, то есть все данные всех заявок.

Правило простое: в лог пишем идентификатор, а не содержимое.

# плохо
logger.info("Новая заявка: %s", form_data)

# хорошо
logger.info("Заявка сохранена, id=%s, тема=%s", entry.id, entry.topic)

По идентификатору вы найдёте запись в базе, когда она понадобится. А в журнале не останется ничего лишнего.

Сторонние сервисы, о которых никто не помнит

Классический пример — определение города посетителя по IP, чтобы подставить код телефона. Работает это так: ваш сайт из браузера клиента отправляет его IP-адрес на сторонний сервис. Передача данных третьему лицу, которой нет ни в политике, ни в согласии — и о ней не знает даже владелец сайта, потому что это «просто удобная мелочь» в коде формы.

Проверьте, какие внешние адреса дёргает страница с формой. Если сервис не назван в политике, у вас два пути: убрать его или описать.

Аналитика

Счётчики посещаемости сами по себе законны, но настроить их можно по-разному. Передавать в цель конверсии телефон или email — уже передача персональных данных на сторону. В цели отправляют факт («заявка отправлена»), а не её содержимое.

Копии данных «на посмотреть»

Выгрузка заявок в таблицу, чтобы показать менеджеру. Скриншот админки в рабочем чате. Дамп базы на ноутбуке разработчика «для отладки». Формально основная база в порядке, а копии живут своей жизнью — и утечки чаще случаются именно из них.

Сколько хранить

Ровно столько, сколько нужно для цели, ради которой собирали. Заявка обработана, клиент получил ответ, сделка закрыта — дальше данные хранятся уже без основания.

Практично завести регламент: заявки старше N месяцев обезличиваются или удаляются автоматически. Заодно это уменьшает ущерб при любой утечке — украсть можно только то, что у вас лежит.

Отдельно: человек вправе потребовать удалить свои данные, и у вас должен быть способ это сделать. Если данные разъехались по пяти местам, выполнить такое требование за разумный срок не выйдет.

Если утечка всё-таки случилась

Срок на реакцию очень короткий: сообщить в Роскомнадзор нужно в течение суток с момента обнаружения инцидента, а о результатах внутреннего расследования — в течение трёх суток. Это тот случай, когда план действий пишут заранее, а не в момент происшествия.

Чек-лист перед публикацией формы

  • Опубликована политика обработки персональных данных, ссылка есть рядом с формой.
  • Согласие даётся явным действием, галочка не предустановлена.
  • Для рассылки — отдельное согласие.
  • Уведомление в Роскомнадзор подано до начала сбора данных.
  • Данные хранятся в России, включая CRM и почту.
  • В логи не пишется содержимое заявок, отладка SQL в бою выключена.
  • Список сторонних сервисов, которым уходят данные, известен и описан в политике.
  • В цели аналитики уходит факт заявки, а не её содержимое.
  • Определён срок хранения и способ удаления по требованию.
  • Доступ к базе и логам есть только у тех, кому он нужен.

Коротко

152-ФЗ пугает объёмом, но на практике сводится к трём вопросам: что вы собираете, зачем и кто ещё это видит. Документы закрывают первые два. Третий — вопрос техники: логов, сторонних сервисов и лишних копий. И именно он обычно остаётся без ответа.

EASYSOCHI — защита персональных данных на сайте

Не уверены, куда утекают данные с вашего сайта? Посмотрите, как мы собираем и храним данные, или напишите нам — проверим формы, логи и внешние сервисы.