Соблюдение 152-ФЗ для бизнеса — закрываем риски под ключ

Если на сайте есть формы заявки, заказы, регистрация, подписка на рассылку, онлайн-чат, CRM, веб-аналитика, рекламные пиксели или cookie — сайт, как правило, участвует в обработке персональных данных.

Даже один номер телефона в форме уже может быть персональными данными, потому что позволяет связаться с конкретным человеком.

Минимальный юридический контур включает политику конфиденциальности, согласие на обработку персональных данных, пользовательское соглашение и cookie-политику.

Документы должны быть доступны из футера и легко читаемы с мобильных устройств. Важно синхронизировать публичные документы на сайте и внутренний пакет компании.

Политика конфиденциальности информирует пользователя о правилах обработки данных: какие данные собираются, для каких целей, на каких основаниях, кому передаются и как долго хранятся.

Согласие на обработку — отдельное волеизъявление пользователя, которое даёт оператору право обрабатывать данные, когда нет другого законного основания.

Принятие политики не равно согласию на обработку. Пользователь должен иметь возможность подтвердить согласие отдельно — через чекбокс под формой или в cookie-баннере.

Да, если вы планируете направлять рекламные сообщения по email, SMS, телефону или в мессенджерах.

Согласие на обработку персональных данных и согласие на получение рекламы выполняют разные функции: первое даёт основание обрабатывать данные по 152-ФЗ, второе — право направлять рекламу по Закону о рекламе.

На практике эти согласия лучше оформлять раздельно — отдельными чекбоксами и с отдельной фиксацией факта согласия.

Строго необходимые технические cookie (сессия, корзина, авторизация) обычно можно не выносить в отдельное согласие, но их стоит раскрыть в политике или cookie-разделе.

Если сайт использует аналитические, рекламные, маркетинговые cookie, вебвизор, ретаргетинг или внешние виджеты — безопаснее запускать их только после отдельного информированного согласия пользователя через cookie-баннер или центр настроек.

Уведомление подаётся до начала обработки персональных данных. Если сайт собирает имя, телефон, email, данные заявки, IP-адреса или cookie-идентификаторы, бизнес, как правило, должен подать уведомление в РКН.

На практике это касается большинства сайтов с формами, заказами, регистрацией или подключённой веб-аналитикой.

Перед подачей важно проверить фактические процессы: какие категории данных обрабатываются, в каких системах, с какими целями и кто имеет доступ.

Штрафы по 152-ФЗ чаще всего связаны не с одной большой ошибкой, а с цепочкой мелких нарушений.

Начните с аудита: какие данные собираются, где хранятся, кто имеет доступ и как оформлены согласия. Затем соберите комплект документов для сайта и внутренние регламенты оператора.

Рабочая стратегия — раз в квартал короткий внутренний чек процессов и раз в год полноценный аудит.

К персональным относятся данные, которые прямо или косвенно могут указывать на конкретное физическое лицо.

Это может быть ФИО, телефон, email, адрес доставки, IP-адрес, cookie-идентификаторы и другие сведения. Иногда данные становятся персональными не сами по себе, а в связке с другой информацией — например, когда email, номер телефона и данные заказа позволяют понять, о каком клиенте идёт речь.

Любое лицо, которое собирает, хранит, использует или иначе обрабатывает персональные данные и определяет, для чего они нужны.

Если бизнес получает через сайт имя, телефон, email, адрес доставки или другие данные клиента, он, как правило, становится оператором персональных данных. Это накладывает обязанности по 152-ФЗ: оформить документы, соблюдать правила обработки и уведомить Роскомнадзор.

Политика должна описывать не абстрактный сайт, а вашу реальную обработку персональных данных.

Шаблон из интернета может не учитывать категории данных, передачу подрядчикам, трансграничную передачу и другие особенности вашего бизнеса.

Если в политике написано одно, а сайт собирает и использует данные по-другому, это создаёт риск претензий со стороны Роскомнадзора.