Что регулирует закон
152-ФЗ регулирует обработку персональных данных: как компания может собирать, хранить, использовать, передавать и защищать данные людей.
Главная идея закона: если сайт собирает данные человека, человек должен понимать, кто собирает данные, зачем, какие именно данные используются и что с ними будет дальше.
Какие данные могут относиться к персональным
Имя и фамилия, телефон, email, адрес доставки, данные аккаунта и личного кабинета.
IP-адрес, cookies и другие идентификаторы, если по ним можно связать действия с конкретным пользователем.
Заказы, заявки, сообщения в формах обратной связи, отзывы, обращения в чат и данные клиентов, сотрудников или подрядчиков.
Когда 152-ФЗ касается сайта
Закон почти всегда касается сайта, если на нем есть форма обратной связи, заявка, заказ звонка, регистрация, личный кабинет, подписка, онлайн-заказ, чат, отзывы, аналитика, cookies, рекламные пиксели или передача данных в CRM, email-сервисы, мессенджеры и коллтрекинг.
Даже если сайт просто просит имя и телефон, это уже обработка персональных данных.
Что нужно предусмотреть на сайте
Документ объясняет, какие данные собираются, зачем, как хранятся, кому могут передаваться и какие права есть у пользователя.
Например, отдельный чекбокс под формой заявки. Лучше, чтобы пользователь сам поставил галочку.
Если данные используются для маркетинга, рассылок или рекламы, это лучше выделять отдельно.
Нельзя собирать данные на всякий случай. Если сайт просит телефон, нужно понимать, зачем он нужен.
Во многих случаях оператор должен уведомить Роскомнадзор о начале обработки персональных данных.
Нужны HTTPS, права доступа, резервные копии, контроль подрядчиков и ограниченный доступ к заявкам, CRM, админке и базам.
Пользователь может запросить информацию о своих данных, попросить исправить их или удалить.
Основные риски
Сайт собирает данные, но нет политики персональных данных, под формами нет согласия или согласие оформлено слишком общо.
Один чекбокс используется сразу для заявки, рекламы, рассылки и передачи третьим лицам.
Сайт собирает больше данных, чем реально нужно для обработки заявки или заказа.
Данные передаются в CRM, аналитику, мессенджеры, коллтрекинг или иностранные сервисы без проверки условий.
Компания не может объяснить, где хранятся данные, кто имеет к ним доступ, нужно ли уведомление Роскомнадзора и что делать при утечке.
Для кого особенно важно
Интернет-магазины, сайты услуг, B2B-сайты с формами заявок, онлайн-заказы и сервисы с личными кабинетами.
Медицинские сайты, образовательные проекты, онлайн-школы, маркетплейсы и сайты с рассылками.
Компании, которые используют CRM, аналитику, коллтрекинг, рекламные пиксели и передачу заявок в мессенджеры.