Где ваш сайт собирает персональные данные — и точно ли вы знаете обо всех точках сбора?
Где ваш сайт собирает персональные данные — и точно ли вы знаете обо всех точках сбора? Персональные данные на сайте — это не только форма с полями «ФИО» и «телефон». По Закону № 152-ФЗ персональными данными считается любая информация, которая относится к прямо или косвенно определенному или определяемому человеку. А обработкой является не только хранение, но и сбор, запись, использование и передача таких сведений. Телефон — персональные данные? Как правило, да, если номер относится к конкретному человеку или позволяет его определить. А IP-адрес и cookies? Здесь важен контекст. Закон не содержит отдельного перечня, в котором IP-адрес или cookie автоматически названы персональными данными. Но если эти сведения позволяют прямо или косвенно определить пользователя, связать его действия с конкретным человеком или используются вместе с другими идентификаторами, их необходимо рассматривать с учетом требований законодательства о персональных данных. Поэтому аудит сайта лучше начинать не с Политики обработки персональных данных, а с карты реального движения данных. Что проверяем: ✓ Формы на сайте — заявка, обратный звонок, запись на консультацию, заказ услуги. ✓ Онлайн-чаты и виджеты — какие сведения оставляет пользователь и куда они передаются. ✓ Системы аналитики — какие идентификаторы, cookie и технические данные собираются автоматически. ✓ Оплату — какие данные получает сам сайт, а какие передаются платежному сервису. ✓ Личный кабинет и регистрацию — телефон, e-mail, ФИО, пароль, история действий пользователя. ✓ Подписки и рассылки — e-mail, телефон и отдельные цели использования этих данных. ✓ Интеграции с внешними сервисами — CRM, мессенджеры, аналитика, формы, коллтрекинг и другие системы. Если через сайт осуществляется сбор и дальнейшая обработка персональных данных, сайт может являться частью информационной системы персональных данных, а у владельца возникают обязанности оператора. Роскомнадзор отдельно обращает внимание на необходимость соблюдения требований законодательства владельцами сайтов, собирающих данные пользователей. Главная ошибка — проверять только то, что посетитель вводит руками. Именно поэтому первым этапом аудита должна быть карта сбора и передачи данных, а уже после нее — проверка согласий, политики, договоров с сервисами и остальных документов.