Нужно ли уведомлять Роскомнадзор, если на сайте только форма обратной связи

Кто такой оператор персональных данных

Оператор — это тот, кто организует и осуществляет обработку персональных данных, а также определяет цели обработки и состав данных. Обработка — это практически любое действие с данными, включая сбор, запись, хранение и передачу.

Если на сайте есть форма, куда посетитель вводит имя и телефон, а заявка попадает вам на почту или в CRM, — вы собираете и храните персональные данные, то есть являетесь оператором. Количество полей и количество заявок значения не имеет.

Обязанность уведомить

Оператор направляет в Роскомнадзор уведомление о намерении осуществлять обработку персональных данных. Перечень исключений, когда уведомление не требуется, за последние годы существенно сократился — и обработка данных клиентов через сайт в него не попадает.

Нормаст. 22 Федерального закона от 27.07.2006 № 152-ФЗ

Санкция: ч. 10 ст. 13.11 КоАП РФ — для организаций от 100 000 до 300 000 ₽, для должностных лиц от 30 000 до 50 000 ₽.

Уведомление подано — этого мало

Второй по частоте промах: уведомление направили пять лет назад, а сайт с тех пор изменился. Появились новые формы, подключилась CRM, начались рассылки, добавился чат. Сведения в уведомлении должны соответствовать фактической обработке, иначе формально поданное уведомление не спасает.

Проверьте по своему уведомлению:

• цели обработки — все ли фактические цели заявлены;
• категории субъектов — клиенты, посетители сайта, кандидаты, контрагенты;
• категории данных — не собираете ли вы больше, чем заявили;
• способы обработки и передачу третьим лицам — CRM, сервисы рассылок, коллтрекинг;
• сведения о месте нахождения баз данных.

Чего по внешнему виду сайта не увидеть

Это тот случай, когда честный ответ — «снаружи не проверяется». Наличие оператора в реестре Роскомнадзора можно посмотреть, но соответствие заявленного фактическому устанавливается только по документам: по самому уведомлению, по политике, по договорам с подрядчиками, которым передаются данные.

Поэтому в акте нашего сервиса такие пункты помечаются как «требует проверки», а не как нарушение. Мы не считаем нарушением то, чего не видели.

Смежная обязанность: договор с обработчиком

Если данные с сайта уходят подрядчику — в стороннюю CRM, в сервис рассылок, в облачную телефонию, — поручение обработки оформляется договором с условиями, которые перечислены в законе.

Нормач. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ

Отсутствие такого договора — самостоятельное нарушение, и оно тоже не видно снаружи.