Почему это касается даже сайта-визитки
Распространённое заблуждение: «у меня маленький сайт, я ничего не собираю». Между тем форма «оставьте имя и телефон» - это уже сбор персональных данных со всеми вытекающими.
Требования за последние годы ужесточились, а штрафы выросли до сумм, которые для небольшой компании неприятны - обзоры есть у Мегагрупп и H-Cons.
Дальше - практический минимум. Сразу важная оговорка: универсального шаблона нет, закон задаёт рамочные требования, и документы адаптируются под конкретный бизнес. Что именно писать в своих документах - вопрос к юристу. Здесь про то, из чего этот разговор состоит.
Из чего складывается минимум
Четыре вещи, о которых стоит знать.
Политика обработки персональных данных. Документ, размещённый на сайте в открытом доступе. Описывает, какие данные вы собираете, зачем, сколько храните, кому передаёте.
Согласие пользователя. Человек должен совершить отдельное действие, подтверждающее согласие, и у него должен быть выбор - согласиться или не отправлять данные.
Уведомление регулятора. У операторов персональных данных есть обязанность уведомить Роскомнадзор о начале обработки.
Информирование про cookie, если вы используете аналитику и счётчики.
Первое и второе - это то, что видно на сайте. Третье и четвёртое - то, о чём чаще всего забывают.
Как должно работать согласие
Самая частая ошибка находится именно здесь, и она техническая.
Галочка не должна стоять заранее. Предустановленная отметка - это не выбор пользователя.
Согласие должно быть отдельным действием. Не «нажимая кнопку, вы соглашаетесь со всем сразу», а осознанная отметка.
Ссылка на политику должна работать и вести на читаемый документ, а не на пустую страницу.
Формулировка должна быть понятной. Не «в соответствии с положениями действующего законодательства», а что именно вы будете делать с данными.
Разные цели - разные согласия. Обработка заявки и рассылка рекламы - это разные вещи, и объединять их в одну галочку неправильно.
Требование «человек должен понимать, на что соглашается» - не формальность. Именно из-за непонятных согласий люди перестают оставлять контакты.
Типичные ошибки на сайтах небольших компаний
Из того, что встречается регулярно.
- Форма есть, политики нет. Самый частый случай.
- Политика скопирована у другой компании. С чужими реквизитами внутри. Это видно и это хуже, чем ничего.
- Ссылка на политику ведёт в никуда. Страницу удалили при переделке сайта.
- Галочка предустановлена или её нет вовсе.
- Заявки уходят на личную почту сотрудника на бесплатном сервисе.
- Собирают лишнее. Дата рождения, адрес, паспортные данные там, где нужен только телефон.
- Хранят вечно. Данные нельзя хранить дольше, чем нужно для цели, ради которой их собрали.
Последние два пункта связаны с общим принципом: чем меньше вы собрали и чем меньше храните, тем меньше у вас обязанностей и рисков.
Меньше полей - меньше рисков и больше заявок
Приятное совпадение: то, что снижает юридические риски, одновременно повышает конверсию.
Каждое лишнее поле в форме - это часть людей, которые до кнопки не дойдут. И одновременно это данные, за которые вы теперь отвечаете. Про то, как это влияет на количество обращений, писали в тексте заявка без контактов.
Практическое правило: спрашивайте только то, без чего не сможете ответить. Обычно это одно поле - способ связи. Всё остальное выясняется в разговоре.
Что происходит с данными после формы
Часть, о которой думают реже всего, а рисков там больше, чем в самой форме.
Заявка ушла - куда? Если на личную почту менеджера, а потом в его личный мессенджер, то данные ваших клиентов лежат в аккаунтах, которыми вы не управляете. При увольнении они уходят вместе с человеком, при взломе - вместе с аккаунтом.
Про это писали подробно в текстах про рабочие чаты в личных мессенджерах и 152-ФЗ и переписку в чужом облаке. Отдельно есть порядок действий на случай, если данные уже утекли.
Логика простая: форма на сайте - это вход, а отвечаете вы за весь путь данных.
Как это устроено у нас
Наш сайт для сферы услуг стоит 2 990 рублей в месяц. Форма с корректным согласием и страница политики - часть базовой сборки, SSL входит в подписку. Данные хранятся на серверах в России, по 152-ФЗ.
Правки текстов, включая юридические страницы, входят в ежемесячную цену: если юрист поправил формулировку, это не превращается в отдельную заявку и отдельный счёт. Установка и настройка - 0 рублей, запуск за 5 дней от заявки, домен регистрируется на вас.
Чего мы не делаем: не пишем вам политику обработки данных и не консультируем по праву. Шаблон под свой бизнес должен адаптировать юрист - мы отвечаем за то, чтобы его текст оказался на сайте и работал технически.
Отдельно про чужие формы и виджеты
Место, о котором вспоминают в последнюю очередь, а данных туда утекает не меньше.
На сайтах небольших компаний часто стоят сторонние элементы: виджет обратного звонка, чат от внешнего сервиса, форма записи, квиз, счётчики аналитики. Каждый из них собирает данные посетителей и передаёт их своему владельцу.
Три вопроса по каждому такому элементу. Что именно он собирает. Куда эти данные уходят и где хранятся. Отражено ли это в вашей политике обработки.
Третий пункт нарушается чаще всего: политика написана про форму заявки, а на сайте работают ещё три сервиса, о которых там ни слова.
Практический совет: составьте список всего стороннего, что стоит на сайте, и покажите его юристу вместе с текстом политики. Это дешевле, чем выяснять состав задним числом.
Что делать дальше
Откройте свою форму заявки и проверьте три вещи за пять минут: есть ли ссылка на политику, открывается ли она, не стоит ли галочка заранее. Это самые частые нарушения и самые дешёвые в исправлении.
