152-ФЗ на сайте: что нужно сделать, чтобы форма заявки была законной
Если на вашем сайте есть форма, где человек оставляет имя и телефон, вы собираете персональные данные. Для закона это значит, что нужно выполнить ряд требований. Ниже — практический минимум без юридической тяжеловесности. Это не юридическая консультация, а памятка: для спорных вопросов обратитесь к юристу.
Что считается персональными данными
Любая информация о человеке, по которой его можно определить: имя, телефон, почта, адрес. Для форм заявок это обычно имя и контакт. IP-адреса и данные в cookie тоже относят к персональным, если по ним можно идентифицировать человека.
Минимальный набор для сайта
- Политика обработки персональных данных. Отдельная страница, где написано, кто оператор, какие данные собираются, зачем, как долго хранятся и как отозвать согласие. Ссылка на неё должна быть доступна на каждой странице, обычно в подвале.
- Согласие на обработку. Перед отправкой формы пользователь должен явно согласиться. Галочка не должна быть проставлена заранее: человек ставит её сам.
- Ссылка на текст согласия рядом с галочкой. Подпись вроде «Я согласен на обработку персональных данных» со ссылкой на документ.
- Реквизиты оператора на сайте: название ИП или организации, ИНН, контакты.
- Хранение данных в России. Заявки с формы должны оказываться на серверах в РФ. Это значит, что хостинг и почтовые сервисы, куда приходят заявки, лучше выбирать российские.
Как должна выглядеть форма
Поля имя и телефон, чекбокс с согласием и ссылками на документы, кнопка. Чекбокс обязательный: без него кнопка не должна срабатывать. Хорошая практика: в тексте указать именно то, на что соглашается человек, а не общую фразу.
Нельзя формулировать так: «Нажимая кнопку, вы соглашаетесь…» без отдельного чекбокса. Многие так делают, но надзорные органы считают такой формат слабым.
Cookie и Метрика
Если вы используете Яндекс Метрику, она работает с cookie и собирает данные о посещениях. Указывайте это в политике. Многие размещают на сайте небольшую плашку «Мы используем cookie» с кнопкой. Обязательность такой плашки трактуется по-разному, но она помогает показать, что вы информируете посетителей.
Уведомление Роскомнадзора
Оператор персональных данных в принципе обязан уведомить Роскомнадзор об обработке. Есть исключения для некоторых случаев, и на практике многие небольшие компании подают уведомление, чтобы не рисковать. Подаётся оно онлайн на сайте Роскомнадзора. Если вы не уверены, нужно ли вам, уточните у юриста или бухгалтера.
Что делать с заявками
- Не пересылайте данные клиентов в открытые чаты и сторонние сервисы без нужды.
- Если используете CRM или рассылки, убедитесь, что и они в России.
- Установите срок хранения и удаляйте данные, когда цель достигнута.
- Ограничьте доступ: к заявкам должны иметь доступ только те, кому это нужно.
Чек-лист для проверки сайта
- В подвале есть ссылка на политику конфиденциальности.
- Рядом с каждой формой есть чекбокс согласия, не поставленный заранее.
- Есть страница с текстом согласия.
- На сайте указаны реквизиты оператора.
- Заявки хранятся на российском хостинге.
- Для почты используются российские сервисы или хотя бы понятно, где она хранится.
Чего бояться, а чего нет
Штрафы за нарушения существуют, и надзорные органы проверяют по жалобам. Но превращать сайт в крепость на пустом месте не нужно: набор из политики, согласия и хранения в России закрывает большую часть рисков для небольшого бизнеса.
Мы делаем формы с нужным чекбоксом и ссылками, готовим тексты документов под ваши реквизиты. Тексты стоит показать юристу, мы можем только подготовить заготовки.