Пришло письмо из Роскомнадзора — что это значит и что делать

Письмо из Роскомнадзора выглядит пугающе, но почти всегда означает одно: ведомство считает, что вы работаете с персональными данными, и хочет, чтобы это было оформлено. Разберём, что в таком письме написано на самом деле и в каком порядке это разбирать.

Сначала прочитайте, чего именно от вас хотят

Письма бывают разные. В одних просят подать сведения о себе как об операторе персональных данных. В других указывают, что на сайте нет нужных документов или что они не описывают реальную работу сайта. В третьих просто запрашивают пояснения.

Поэтому первое, что стоит сделать, — найти в письме три вещи:

• что конкретно требуется: подать сведения, исправить сайт или дать ответ;
• в какой срок и каким способом нужно ответить;
• кто отправитель и есть ли контакты для уточнений.

Срок и способ ответа всегда указаны в самом письме — ориентируйтесь на них, а не на советы из интернета.

Важно. Не игнорируйте письмо, даже если считаете, что оно вас не касается. Ответить и объяснить свою ситуацию почти всегда проще, чем разбираться с последствиями молчания.

Два требования, которые чаще всего путают

Это главная развилка, из-за которой люди делают лишнюю работу или, наоборот, не делают нужную. Требования два, и они не заменяют друг друга.

Первое — сообщить о себе в реестр операторов. Это делается подачей уведомления в Роскомнадзор. К сайту оно отношения не имеет: вы сообщаете, какие данные обрабатываете, зачем, на каком основании и где они хранятся. Даже если на сайте всё идеально, уведомление это не отменяет.

Второе — привести в порядок документы на сайте. Здесь наоборот: подача уведомления ничего не меняет для посетителя. На сайте должна быть политика обработки персональных данных, которая описывает именно ваши формы и подключённые сервисы, а рядом с формами — понятное согласие, чекбокс и ссылка на политику.

Проверьте по письму, что из этого требуется вам. Иногда — только одно. Иногда — оба.

С чего начать: посмотрите, что собирает ваш сайт

Прежде чем писать документы, нужно понять, что описывать. Почти всегда обнаруживается больше, чем кажется владельцу.

Персональные данные собирают не только формы. Их собирают:

• формы заявок, заказов, обратного звонка и записи;
• счётчики и аналитика;
• онлайн-чаты и виджеты обратной связи;
• рекламные пиксели и системы ретаргетинга;
• CRM, куда попадают заявки;
• платёжные сервисы.

Про формы помнят почти все. Про счётчики, чат и рекламу забывают почти всегда — и именно из-за них скопированная откуда-то политика перестаёт соответствовать реальности.

Есть и обратная сторона: часть данных сайт не видит. Заявки по телефону, сообщения в мессенджерах, анкеты сотрудников и резюме кандидатов — всё это тоже обработка персональных данных, но узнать о ней можно только от вас.

Что должно быть на сайте

Минимальный публичный набор выглядит так:

Ключевое требование ко всему списку — соответствие реальности. Документ, описывающий формы и сервисы, которых у вас нет, не решает задачу, даже если он юридически грамотно написан.

Чего документы на сайте не закрывают

Честно скажем о границе, потому что на этом часто строят ложные ожидания. Публичные документы на сайте — это видимая часть. Помимо неё закон предполагает внутреннюю: назначение ответственного за обработку, внутренние положения и приказы, договоры с подрядчиками, которым вы передаёте данные, и фактические меры защиты.

Отдельная история — сложные случаи: биометрия, данные детей, медицинские сведения, специальные категории данных. Здесь общими шаблонами не обойтись, нужна консультация юриста по вашей конкретной ситуации.

Частые ошибки

• Скопировать политику с чужого сайта. Она описывает чужие формы и чужие сервисы.
• Считать, что уведомление в реестр заменяет документы на сайте. Это разные требования.
• Забыть про счётчики, чат и рекламу. Их наличие видно любому, кто откроет исходный код страницы.
• Не учесть заявки по телефону и в мессенджерах. Сайт о них не знает, а обработка данных происходит.
• Поставить чекбокс, который отмечен заранее. Согласие должно быть действием посетителя.

Короткий план действий

1. Прочитайте письмо и выпишите, что именно требуется и в какой срок.
2. Посмотрите, какие данные собирает ваш сайт: формы, счётчики, чаты, реклама, CRM, оплата.
3. Добавьте к списку то, что сайт увидеть не может: телефон, мессенджеры, работа с сотрудниками.
4. Подготовьте политику и согласие, описывающие именно этот список.
5. Разместите документы и тексты рядом с формами, в cookie-уведомлении и внизу сайта.
6. Отдельно решите вопрос с уведомлением в реестр, если оно требуется.

Если непонятно, с чего начать, начните с пункта два: список того, что собирает сайт, делает все остальные шаги гораздо конкретнее.