На сайте есть форма «Имя, телефон» — поздравляю, вы оператор персональных данных. Звучит страшно, на практике это несколько понятных действий, которые делаются один раз и занимают день. Объясняю без ссылок на статьи закона: что такое персональные данные, что обязано быть на сайте и что я закрываю при запуске.
Что такое персональные данные простыми словами
Это любая информация, по которой можно понять, кто человек: имя, телефон, почта, адрес, запись «Иван, стрижка, 15:00». Отдельно телефон без имени — спорно; имя с телефоном в заявке — однозначно да. Дальше всё просто: раз вы собираете такие данные, вы за них отвечаете.
Закон, который это регулирует, — 152-ФЗ «О персональных данных». Он не запрещает собирать данные, он требует делать это аккуратно и прозрачно.
Четыре обязанности, которые касаются почти всех
1. Сказать человеку, зачем вы берёте данные. На сайте это страница «Политика обработки персональных данных»: что собираете, зачем, сколько храните, кому передаёте и как человек может попросить удалить свои данные. Под формой — галочка или подпись «согласен на обработку персональных данных» со ссылкой на эту страницу. Форма без согласия — самая частая претензия.
2. Сообщить государству, что вы оператор. Уведомление в Роскомнадзор подаётся один раз, до начала сбора данных; сделать это можно через Госуслуги. Многие малые бизнесы об этом просто не знают и живут без уведомления — пока не приходит вопрос.
3. Хранить данные в России. Серверы, где лежат заявки и базы, должны находиться в РФ. Отсюда моё правило ставить хостинг в России: это не прихоть, а требование закона, и оно же спасает от ситуации «база клиентов уехала за границу вместе с бесплатным конструктором».
4. Не собирать лишнего и не терять собранное. Каждое поле формы — это ответственность. «Как вы о нас узнали» и «ваш день рождения» в форме записи на стрижку не нужны никому, кроме проверяющего. А то, что собрали, должно лежать защищённо: не в открытой таблице по ссылке и не в личной почте на бесплатном ящике.
Что грозит, если ничего не сделать
Штрафы зависят от нарушения и от того, кто вы: самозанятый, ИП или компания. Порядок сумм — от нескольких тысяч до сотен тысяч рублей за отдельные нарушения, а за утечки базы — значительно больше, вплоть до оборотных штрафов для компаний. Но главная причина сделать всё сразу не штраф: клиент, который видит галочку согласия и внятную политику, доверяет форме больше. Законность здесь работает как элемент дизайна доверия.
Чек-лист: что должно быть на сайте
- страница «Политика обработки персональных данных» с понятным текстом;
- согласие под каждой формой: галочка или подпись со ссылкой на политику;
- уведомление в Роскомнадзор подано, номер заявления сохранён;
- хостинг в России, домен идентифицирован (для RU-доменов — через Госуслуги);
- формы передают данные по защищённому соединению (SSL, замочек в адресе);
- заявки складываются в место с ограниченным доступом, а не в открытую таблицу;
- в политике написано, как удалить данные по запросу, и вы знаете, где нажать кнопку.
Что я закрываю при запуске
В пакете «Старт» (3 000–5 000 ₽) при запуске делаю техническую часть: домен и хостинг в РФ на ваше имя, SSL, проверка форм, robots и sitemap, счётчики. В «Стандарте» (6 000–9 000 ₽) добавляются сжатие изображений, скорость, Вебмастер, видеоинструкция и две недели гарантии. Страницу политики и текст согласия ставлю вместе с формами: шаблон политики адаптируется под ваш случай, а не копируется вслепую. Уведомление в Роскомнадзор помогаю подать: данные для него берутся из того же разговора, что и домен.
Это не юридическая услуга и не замена юристу для сложных случаев: если вы передаёте данные партнёрам, ведёте медицинские карты или работаете с данными детей — там нужна отдельная проработка документов. Для формы «имя и телефон для заявки» перечисленного выше достаточно.
Чего делать не стоит
- копировать политику с чужого сайта вместе с чужим названием компании;
- писать в согласии «навсегда и без права отзыва» — это и незаконно, и смешно;
- держать базу заявок в общем доступе «чтобы удобно было менеджерам»;
- собирать поля про запас: чем меньше данных, тем меньше ответственности.
Простой вывод
Персональные данные — это не бюрократия ради бюрократии, а договорённость с клиентом: «ты оставил телефон, я не сделаю с ним ничего лишнего». Оформленная форма с согласием и понятной политикой закрывает закон и одновременно повышает доверие к сайту.
Если сайт ещё не запущен или запущен «как-то», напишите — прикину, чего не хватает именно вам, и соберу запуск под ключ: домен, хостинг в РФ, SSL, политика, согласие и уведомление. А начать можно с бесплатного демо: формы в нём уже работают так, как должны работать в бою.