Роскомнадзор и персональные данные: как избежать штрафов за нарушения на сайте

Сайт с кнопкой «записаться» выглядит безобидно. Между тем это одна из самых насыщенных данными точек: человек называет себя, оставляет телефон, выбирает услугу, день и время. Сведения о том, что конкретный человек записан к конкретному специалисту, относятся к персональным данным целиком, а не только в части имени.

Онлайн-запись как самый недооценённый источник данных

В медцентрах, салонах, автосервисах и учебных центрах Грозного записи копятся годами. В журнале остаются имя, телефон, услуга, комментарий администратора. Часто журнал живёт в облачной таблице, ссылку на которую знают пять человек, а работают двое. Порядок наводится не запретами, а разграничением доступа: у администратора одна роль, у мастера другая, у владельца третья.

Имя и телефон – это уже персональные данные

Распространённое возражение: «мы не спрашиваем документы». Документы и не нужны. Определить человека можно по паре «имя плюс телефон», по адресу электронной почты, по адресу доставки, по номеру автомобиля в заявке на ремонт. Даже запись разговора с менеджером – это данные, потому что голос и содержание привязаны к конкретному абоненту.

Данные из мессенджеров и звонков

Кнопка мессенджера на сайте выносит переписку за пределы вашей системы, но не снимает ответственности: контакты вы всё равно получаете и храните. То же с виджетами обратного звонка и коллтрекингом:

• номер входящего звонка сохраняется в отчёте;
• запись разговора хранится у сервиса телефонии;
• переписка остаётся в аккаунте сотрудника, который может уволиться;
• скриншоты диалогов расходятся по рабочим чатам.

Мы фиксируем каждый такой канал и определяем, где данные должны храниться, а откуда их надо убрать. Отдельно смотрим на бесплатные виджеты: часть из них передаёт номер телефона на чужие серверы просто потому, что так устроена бесплатная версия, и в политике на сайте об этом обычно ничего не сказано.

Что показывает аудит соответствия 152 ФЗ

Проверка идёт по слоям. Первый – интерфейс: есть ли отдельная галочка согласия, ведёт ли она на действующую политику, не проставлена ли заранее. Второй – маршрут заявки: почта, CRM, таблица, чужой сервис. Третий – хранение: серверы в РФ, шифрование соединения, права доступа, резервные копии и срок, после которого старые записи удаляются. Четвёртый – внешние скрипты, собирающие данные параллельно с вами.

Регистрация 152 ФЗ: уведомление оператора

Организационная часть начинается с уведомления в Роскомнадзор о том, что вы обрабатываете данные. Дальше нужны внутренние документы:

1. перечень обрабатываемых сведений и целей, ради которых они собираются;
2. приказ о назначении ответственного за обработку сотрудника;
3. порядок реагирования на обращения людей и запросы об их данных.

Юридические формулировки согласуйте с юристом, а мы отвечаем за техническую сторону: чтобы сайт собирал ровно то, что описано в документах, и хранил это там, где заявлено.

Считается ли переписка в мессенджере обработкой данных?

Да, если вы сохраняете контакт и содержание для работы с клиентом. Канал общения сути не меняет.

Нужно ли согласие при онлайн-записи?

Нужно, и текст должен покрывать не только звонок, но и напоминания о визите. Иначе SMS с подтверждением формально выходит за рамки того, на что человек согласился.

Кто в компании отвечает за обработку данных?

Назначается конкретный сотрудник приказом. На практике им становится тот, кто и так администрирует CRM, а техническую часть закрывает подрядчик по сайту.

Соберём для вас полную карту данных: какие формы стоят на сайте, что они спрашивают, куда уходит каждая заявка и что из этого противоречит закону. Звоните: +7 (901) 417-22-12. Правки, разработку и последующую работу с трафиком ведём одной командой, без передачи задач между подрядчиками.