152-ФЗ для обычного сайта: минимальный набор, который закрывает вопрос

Сайт из пяти страниц, форма заявки, счётчик аналитики, заявки падают в CRM. Владелец уверен, что закон о персональных данных это история про банки и госуслуги, а к нему отношения не имеет. На самом деле он оператор персональных данных с того момента, как на сайте появилась первая форма.

Хорошая новость в том, что минимальный набор действий короткий и делается за несколько дней. Ниже практика, а не правовая консультация: я не юрист, и перед запуском стоит показать итог своему.

Шаг первый. Понять, что вы собираете

Выпишите все места, где посетитель что-то о себе оставляет. Основная форма, обратный звонок, квиз, подписка, чат, комментарии, форма отклика на вакансию. Отдельно отметьте, что именно спрашивается: имя, телефон, почта, город, компания.

Этот список станет основой для всех остальных документов, и он же обычно оказывается длиннее, чем помнил владелец.

Шаг второй. Уведомить Роскомнадзор

Оператор уведомляет регулятора о начале обработки персональных данных. Это отдельное действие, которое не заменяется публикацией политики на сайте. Для юридического лица отсутствие такого уведомления стоит от 100 до 300 тысяч рублей.

Если данные передаются в зарубежные сервисы, потребуется ещё одно, отдельное уведомление о трансграничной передаче, и оно подаётся до начала передачи. Разбор этой процедуры у меня вынесен в отдельную статью.

Шаг третий. Опубликовать политику и настроить согласие

Политика обработки персональных данных публикуется на сайте в свободном доступе. Согласие оформляется отдельно, непредзаполненным чекбоксом у формы, а рекламные сообщения требуют своего, отдельного согласия. Что именно должно быть в тексте, я подробно разобрал в статье про согласие на сайте.

Обработка без надлежащего согласия обходится юридическому лицу в 300-700 тысяч рублей.

Шаг четвёртый. Разобраться, где физически лежат данные

Базы с данными россиян должны находиться на серверах в России. Это касается не только вашей CRM, но и сервисов, которыми вы пользуетесь: форм на зарубежных конструкторах, сервисов рассылок, таблиц, чатов поддержки.

Нарушение требований к локализации для юридического лица стоит от одного до шести миллионов рублей, при повторном нарушении от шести до восемнадцати. Это тот пункт, который чаще всего нарушают по незнанию, просто выбрав удобный зарубежный сервис.

Шаг пятый. Навести порядок внутри

Определить, кто в компании имеет доступ к данным клиентов, и убрать доступ у тех, кому он не нужен. Запретить выгрузку баз в личные файлы и мессенджеры. Зафиксировать, в каких сервисах разрешено работать с клиентскими данными, а в каких нет.

Это не бумажная часть, а та, которая реально уменьшает вероятность утечки. А цена утечки изменилась принципиально: в зависимости от числа пострадавших штраф составляет от трёх до пятнадцати миллионов рублей, за повторную предусмотрены оборотные штрафы, привязанные к выручке компании. Отдельно наказывается несообщение регулятору об инциденте: от одного до трёх миллионов.

Что обычно упускают

Аналитику и рекламные пиксели. Данные о посетителях уходят в сторонние сервисы, и это тоже обработка, которую нужно отражать в документах.

Резервные копии. База переехала на российский сервер, а бэкапы продолжают уезжать в зарубежное хранилище.

Старые формы. На сайте живёт лендинг двухлетней давности со своей формой и своим текстом, о котором никто не помнит.

Подрядчиков. Агентство, которому вы отдали доступ к CRM, тоже работает с вашими данными, и отношения с ним должны быть оформлены.

Отклики на вакансии. Резюме это персональные данные, причём с избыточным составом, а обрабатывают их обычно в личной почте руководителя.

Где переоценивают требования

Закон не запрещает собирать данные и не требует шифровать всё подряд. Он требует понимать, что вы собираете, зачем, с чьего разрешения и где это лежит. Малому бизнесу для соответствия обычно достаточно нескольких документов, честно настроенной формы и порядка с доступами.

Отдельно скажу про попытку решить вопрос покупкой сервиса. Сервис может помочь с документами, но он не знает, какие формы стоят на вашем сайте и куда уходят ваши данные. Инвентаризацию всё равно делаете вы.

Что сделать на этой неделе

Составьте список форм и список сервисов, куда уходят данные. Полчаса работы, зато после этого вы точно знаете свой периметр.

Проверьте, подавали ли вы уведомление о начале обработки. Если не помните, значит, скорее всего, не подавали.

Проверьте, где физически хранятся данные в каждом из сервисов из вашего списка. Это тот пункт, который дороже всего исправлять задним числом.

Словарь терминов, которые встречаются в этой теме: https://ilkaev.com/slovar/