Ваш сайт собирает заявки, а политики конфиденциальности нет? Штраф до 100 000 ₽ — и Роскомнадзор уже в курсе
Я, адвокат Васильцов Василий Юрьевич, каждый месяц сажусь напротив предпринимателя, который совершил одну и ту же ошибку. Он запустил сайт, лендинг или интернет-магазин. Настроил рекламу, повесил форму обратной связи, подключил чат-бота. И искренне считал, что с юридической точки зрения он чист — ведь у него даже есть пользовательское соглашение, скачанное три года назад из первой ссылки в Google. А потом случился звонок, письмо или блокировка счёта. И мы встретились уже не для профилактики, а для тушения пожара.
И почти всегда пожар начинается с одного и того же диагноза: на сайте нет политики конфиденциальности, которая реально соответствует Федеральному закону № 152-ФЗ «О персональных данных». И нет, я говорю не о формальной странице с тремя абзацами, написанными под копирку. Я о документе, который действительно описывает, кто вы как оператор, что делаете с данными, кому передаёте и как защищаете.
Почему это важно? Давайте называть вещи своими именами.
Ваш сайт — это уже оператор персональных данных
В тот момент, когда форма заявки на вашем сайте собирает хотя бы имя и номер телефона, вы становитесь оператором персональных данных. Так прямо написано в статье 3 152-ФЗ. И не имеет значения, что вы ИП, самозанятый, микро-бизнес или владелец одностраничного сайта. Закон теперь смотрит на всех одинаково. И требует от вас трёх вещей.
Первое. У вас должна быть Политика в отношении обработки персональных данных. Она обязана находиться в открытом доступе (статья 18.1 152-ФЗ). Не в глубине сервера, не в виде файла, который вы дадите по запросу, а на сайте, в свободном доступе 24/7. Ссылка на неё должна стоять прямо под каждой формой, где вы берёте хоть какие-то контакты.
Второе. Если ваша деятельность не подпадает под узкие исключения, вы обязаны до начала обработки направить уведомление в Роскомнадзор (статья 22 152-ФЗ). Да, в тот самый Роскомнадзор. Да, они ведут реестр операторов. И да, отсутствие этого уведомления — самостоятельное правонарушение.
Третье. У вас должны быть получены согласия на обработку данных от каждого человека, оставившего заявку. Согласие должно быть конкретным, предметным, информированным. Простая фраза «Оставляя заявку, вы соглашаетесь с политикой конфиденциальности» без чекбокса уже не прокатывает. Нужен активный элемент, подтверждающий волю человека. И его нужно хранить вместе с логами.
Откуда Роскомнадзор вообще узнает про ваш сайт?
В этом месте предприниматели часто расслабляются: «Ну кому я нужен? У меня посещаемость 100 человек в день». А потом я показываю им письмо с требованием.
Сценариев запуска проверки несколько, и все они уже отработаны до автоматизма:
Жалоба клиента. Самый частый случай. Человек оставил заявку, а вы ему позвонили. Он передумал, обиделся, ему не понравился тон менеджера. И вместо того, чтобы просто удалить номер, он идёт на сайт, не находит политики конфиденциальности и пишет обращение в Роскомнадзор. Всё. У ведомства появляется официальный повод прислать вам запрос.
Конкурентная разведка. Да, конкуренты тоже не дремлют. Одна жалоба — и у вас лишняя головная боль.
Плановая активность ведомства. Роскомнадзор регулярно мониторит интернет. Особенно сегменты онлайн-образования, интернет-магазины, услуги. Там, где высокая активность сбора данных, вероятность попасть в выборку в разы выше.
Проверка по смежному делу. Если ваш сайт хоть раз мелькнул в какой-то другой проверке (например, по жалобе на рекламу или мошенничество), ваша страница уже может быть сохранена в системе ведомства.
Я это знаю, потому что сам получаю копии таких запросов от клиентов.
Реальный случай из моего кабинета в Краснодаре
В начале года ко мне пришла владелица онлайн-школы по маркетингу. Грамотный бизнес: лендинг, форма захвата, рассылка на 4 000 подписчиков, менеджеры перезванивают. Политики конфиденциальности не было от слова «совсем». Вместо неё в футере стояла пустая страница с текстом «Политика конфиденциальности», внутри — «Страница в разработке».
Одна из учениц, которой не понравилось обучение, сначала написала негативный отзыв. А потом, не найдя политики, обратилась в Роскомнадзор с простым текстом: «Школа собирает мои данные без законных оснований, политика отсутствует». Роскомнадзор прислал запрос о предоставлении документов в течение 10 дней. Сразу скажу: школа не смогла предоставить ничего. Итог: штраф на ИП 50 000 рублей по статье 13.11 КоАП РФ + предписание устранить нарушение в 30 дней. Плюс удар по репутации, потому что информация о штрафе всплыла у партнёров.
Мы исправили ситуацию: разработали политику, уведомили Роскомнадзор, добавили чекбоксы на все формы, собрали повторные согласия с базы, где это было возможно. Но штраф уже ушёл в бюджет. И самое горькое — его можно было избежать за один рабочий день, просто приведя документы в порядок до приёма заявок.
Что конкретно должно быть на вашем сайте, чтобы спать спокойно
Я составил минимальный чек-лист. Это не рекомендации — это требования закона и здравого смысла. Проверьте себя прямо сейчас.
Политика конфиденциальности в открытом доступе. Отдельная страница, ссылка на которую стоит в футере и под каждой формой сбора данных. В тексте обязательно: кто оператор (ваши полные реквизиты), какие данные собираете, цели сбора, сроки хранения, порядок уничтожения, права субъекта, контакты для обращений.
Уведомление Роскомнадзора. Если вы не попали под исключения, подайте уведомление сейчас. Это делается через форму на сайте РКН. Штраф за неподачу — до 50 000 рублей на юрлиц.
Активное согласие пользователя. Рядом с кнопкой «Отправить» ставьте чекбокс с текстом: «Я даю согласие на обработку персональных данных в соответствии с Политикой конфиденциальности». Без галочки форма не отправляется. Технически это два часа работы разработчика.
Хранение доказательств. Сервер должен фиксировать факт проставления галочки. Идеально — сохранять логи с IP, датой и временем. Это ваша единственная страховка, если пользователь скажет, что согласие не давал.
Согласие на рассылку. Если вы отправляете email или SMS, согласие на это должно быть получено отдельно. Нельзя прятать его внутрь общего согласия.
Почему я говорю об этом с такой настойчивостью
Потому что штрафы растут, практика ужесточается, а предприниматели продолжают верить в мифы. Миф первый: «Я не оператор, я просто собираю заявки». Оператор. Даже если у вас одна форма. Миф второй: «Штрафуют только крупных». Штрафуют всех. Миф третий: «Я скопирую политику у конкурента, и всё пройдёт». Не пройдёт, потому что чужая политика описывает чужой бизнес-процесс. При первой же проверке выяснится, что у вас CRM другая, передача данных иная, сроки хранения не совпадают. И это снова нарушение.
Что я предлагаю
Я, адвокат Васильцов Василий Юрьевич, беру на себя полный аудит и приведение в порядок вашей системы обработки персональных данных. В Краснодаре я работаю лично, с клиентами из других городов — дистанционно. За одну-две консультации мы:
Проверим, какие данные и как вы собираете.
Разработаем политику конфиденциальности, которая опишет именно вашу деятельность, а не скопированный шаблон.
Настроим формы получения согласий.
Подадим уведомление в Роскомнадзор.
Составим внутренние регламенты, если нужно.
Результат: снижение риска штрафа до статистической погрешности. Срок: от одного дня. Стоимость: окупается первой же непроведённой проверкой.
Не ждите, когда входящее письмо заставит вас судорожно искать юриста. Проверьте свой сайт сейчас. Откройте его, найдите форму заявки и спросите себя: «Есть ли здесь ссылка на политику конфиденциальности? А сама политика — это живой документ или пустая страница?» Если второй ответ заставил вас замереть — звоните мне или пишите в личные сообщения.
Мы всё исправим. Быстро, законно, без паники.
Адвокат Васильцов Василий Юрьевич
Краснодар. Адвокатский кабинет.
Юридическая безопасность бизнеса в интернете.
Телефон и контакты — в шапке профиля.
Я, адвокат Васильцов Василий Юрьевич, каждый месяц сажусь напротив предпринимателя, который совершил одну и ту же ошибку. Он запустил сайт, лендинг или интернет-магазин. Настроил рекламу, повесил форму обратной связи, подключил чат-бота. И искренне считал, что с юридической точки зрения он чист — ведь у него даже есть пользовательское соглашение, скачанное три года назад из первой ссылки в Google. А потом случился звонок, письмо или блокировка счёта. И мы встретились уже не для профилактики, а для тушения пожара.
И почти всегда пожар начинается с одного и того же диагноза: на сайте нет политики конфиденциальности, которая реально соответствует Федеральному закону № 152-ФЗ «О персональных данных». И нет, я говорю не о формальной странице с тремя абзацами, написанными под копирку. Я о документе, который действительно описывает, кто вы как оператор, что делаете с данными, кому передаёте и как защищаете.
Почему это важно? Давайте называть вещи своими именами.
Ваш сайт — это уже оператор персональных данных
В тот момент, когда форма заявки на вашем сайте собирает хотя бы имя и номер телефона, вы становитесь оператором персональных данных. Так прямо написано в статье 3 152-ФЗ. И не имеет значения, что вы ИП, самозанятый, микро-бизнес или владелец одностраничного сайта. Закон теперь смотрит на всех одинаково. И требует от вас трёх вещей.
Первое. У вас должна быть Политика в отношении обработки персональных данных. Она обязана находиться в открытом доступе (статья 18.1 152-ФЗ). Не в глубине сервера, не в виде файла, который вы дадите по запросу, а на сайте, в свободном доступе 24/7. Ссылка на неё должна стоять прямо под каждой формой, где вы берёте хоть какие-то контакты.
Второе. Если ваша деятельность не подпадает под узкие исключения, вы обязаны до начала обработки направить уведомление в Роскомнадзор (статья 22 152-ФЗ). Да, в тот самый Роскомнадзор. Да, они ведут реестр операторов. И да, отсутствие этого уведомления — самостоятельное правонарушение.
Третье. У вас должны быть получены согласия на обработку данных от каждого человека, оставившего заявку. Согласие должно быть конкретным, предметным, информированным. Простая фраза «Оставляя заявку, вы соглашаетесь с политикой конфиденциальности» без чекбокса уже не прокатывает. Нужен активный элемент, подтверждающий волю человека. И его нужно хранить вместе с логами.
Откуда Роскомнадзор вообще узнает про ваш сайт?
В этом месте предприниматели часто расслабляются: «Ну кому я нужен? У меня посещаемость 100 человек в день». А потом я показываю им письмо с требованием.
Сценариев запуска проверки несколько, и все они уже отработаны до автоматизма:
Жалоба клиента. Самый частый случай. Человек оставил заявку, а вы ему позвонили. Он передумал, обиделся, ему не понравился тон менеджера. И вместо того, чтобы просто удалить номер, он идёт на сайт, не находит политики конфиденциальности и пишет обращение в Роскомнадзор. Всё. У ведомства появляется официальный повод прислать вам запрос.
Конкурентная разведка. Да, конкуренты тоже не дремлют. Одна жалоба — и у вас лишняя головная боль.
Плановая активность ведомства. Роскомнадзор регулярно мониторит интернет. Особенно сегменты онлайн-образования, интернет-магазины, услуги. Там, где высокая активность сбора данных, вероятность попасть в выборку в разы выше.
Проверка по смежному делу. Если ваш сайт хоть раз мелькнул в какой-то другой проверке (например, по жалобе на рекламу или мошенничество), ваша страница уже может быть сохранена в системе ведомства.
Я это знаю, потому что сам получаю копии таких запросов от клиентов.
Реальный случай из моего кабинета в Краснодаре
В начале года ко мне пришла владелица онлайн-школы по маркетингу. Грамотный бизнес: лендинг, форма захвата, рассылка на 4 000 подписчиков, менеджеры перезванивают. Политики конфиденциальности не было от слова «совсем». Вместо неё в футере стояла пустая страница с текстом «Политика конфиденциальности», внутри — «Страница в разработке».
Одна из учениц, которой не понравилось обучение, сначала написала негативный отзыв. А потом, не найдя политики, обратилась в Роскомнадзор с простым текстом: «Школа собирает мои данные без законных оснований, политика отсутствует». Роскомнадзор прислал запрос о предоставлении документов в течение 10 дней. Сразу скажу: школа не смогла предоставить ничего. Итог: штраф на ИП 50 000 рублей по статье 13.11 КоАП РФ + предписание устранить нарушение в 30 дней. Плюс удар по репутации, потому что информация о штрафе всплыла у партнёров.
Мы исправили ситуацию: разработали политику, уведомили Роскомнадзор, добавили чекбоксы на все формы, собрали повторные согласия с базы, где это было возможно. Но штраф уже ушёл в бюджет. И самое горькое — его можно было избежать за один рабочий день, просто приведя документы в порядок до приёма заявок.
Что конкретно должно быть на вашем сайте, чтобы спать спокойно
Я составил минимальный чек-лист. Это не рекомендации — это требования закона и здравого смысла. Проверьте себя прямо сейчас.
Политика конфиденциальности в открытом доступе. Отдельная страница, ссылка на которую стоит в футере и под каждой формой сбора данных. В тексте обязательно: кто оператор (ваши полные реквизиты), какие данные собираете, цели сбора, сроки хранения, порядок уничтожения, права субъекта, контакты для обращений.
Уведомление Роскомнадзора. Если вы не попали под исключения, подайте уведомление сейчас. Это делается через форму на сайте РКН. Штраф за неподачу — до 50 000 рублей на юрлиц.
Активное согласие пользователя. Рядом с кнопкой «Отправить» ставьте чекбокс с текстом: «Я даю согласие на обработку персональных данных в соответствии с Политикой конфиденциальности». Без галочки форма не отправляется. Технически это два часа работы разработчика.
Хранение доказательств. Сервер должен фиксировать факт проставления галочки. Идеально — сохранять логи с IP, датой и временем. Это ваша единственная страховка, если пользователь скажет, что согласие не давал.
Согласие на рассылку. Если вы отправляете email или SMS, согласие на это должно быть получено отдельно. Нельзя прятать его внутрь общего согласия.
Почему я говорю об этом с такой настойчивостью
Потому что штрафы растут, практика ужесточается, а предприниматели продолжают верить в мифы. Миф первый: «Я не оператор, я просто собираю заявки». Оператор. Даже если у вас одна форма. Миф второй: «Штрафуют только крупных». Штрафуют всех. Миф третий: «Я скопирую политику у конкурента, и всё пройдёт». Не пройдёт, потому что чужая политика описывает чужой бизнес-процесс. При первой же проверке выяснится, что у вас CRM другая, передача данных иная, сроки хранения не совпадают. И это снова нарушение.
Что я предлагаю
Я, адвокат Васильцов Василий Юрьевич, беру на себя полный аудит и приведение в порядок вашей системы обработки персональных данных. В Краснодаре я работаю лично, с клиентами из других городов — дистанционно. За одну-две консультации мы:
Проверим, какие данные и как вы собираете.
Разработаем политику конфиденциальности, которая опишет именно вашу деятельность, а не скопированный шаблон.
Настроим формы получения согласий.
Подадим уведомление в Роскомнадзор.
Составим внутренние регламенты, если нужно.
Результат: снижение риска штрафа до статистической погрешности. Срок: от одного дня. Стоимость: окупается первой же непроведённой проверкой.
Не ждите, когда входящее письмо заставит вас судорожно искать юриста. Проверьте свой сайт сейчас. Откройте его, найдите форму заявки и спросите себя: «Есть ли здесь ссылка на политику конфиденциальности? А сама политика — это живой документ или пустая страница?» Если второй ответ заставил вас замереть — звоните мне или пишите в личные сообщения.
Мы всё исправим. Быстро, законно, без паники.
Адвокат Васильцов Василий Юрьевич
Краснодар. Адвокатский кабинет.
Юридическая безопасность бизнеса в интернете.
Телефон и контакты — в шапке профиля.