Определяйте персональные данные по связи с конкретным человеком
К персональным данным относится информация, которая прямо или косвенно относится к определённому или определяемому физическому лицу. На сайте это может быть имя, телефон, email, адрес, данные заказа, сообщения в форме, технические идентификаторы и их комбинации.
Оценивать нужно не название поля, а весь контекст: какие данные собираются вместе, куда они передаются и можно ли по ним определить пользователя.
Какие данные на сайте требуют проверки
Один и тот же элемент может иметь разное значение в зависимости от контекста.
| Данные | Когда связь с человеком очевидна | Что проверить |
|---|---|---|
| ФИО | Используется вместе с заявкой, заказом, аккаунтом или контактами | Цель, основание, публикацию и передачу |
| Телефон | Связан с клиентом, заявкой, CRM или перепиской | Форму, CRM, звонки и рекламные сценарии |
| Связан с аккаунтом, заявкой, подпиской или заказом | Обработку, рассылки и доказательство согласия | |
| Адрес доставки | Относится к конкретному заказчику или получателю | Checkout, CRM, логистику и сроки хранения |
| IP / cookie / идентификатор | Может быть связан с аккаунтом, устройством, событиями или профилем пользователя | Конкретный сервис, цель и возможность идентификации |
| Текст обращения | Содержит сведения о человеке, заказе, работе, здоровье или другой личной ситуации | Форму, доступ сотрудников, CRM и хранение |
Начните с каждой формы сайта
Форма показывает, какие данные сайт получает напрямую от пользователя.
- Запишите все поля.Включите скрытые поля, UTM, идентификаторы и вложения.
- Определите цель.Ответ на заявку, заказ, запись, регистрация, подписка и другие задачи должны быть понятны.
- Проверьте основание обработки.Согласие используется только там, где оно действительно является основанием.
- Проследите передачу.CRM, почта, мессенджер, таблица, коллтрекинг и подрядчики.
- Сверьте документы.Политика и согласия должны соответствовать фактическому маршруту.
Проверьте формы и подключённые сервисы, затем уточните внутренний маршрут данных в CRM и других системах.
Технический идентификатор оценивайте вместе с сервисом и профилем
IP, cookie и иные идентификаторы нельзя оценивать в отрыве от того, как они используются.
Связь с человеком усиливается
- идентификатор связан с аккаунтом;
- события объединяются с заказом или CRM;
- профиль содержит контактные данные;
- данные передаются сервису для построения профиля.
Нужна дополнительная проверка
- идентификатор используется только технически;
- нет информации о получателе и цели;
- по публичной части нельзя установить возможность идентификации;
- сервис работает на стороне подрядчика.
Проверьте весь маршрут персональных данных
Риск появляется не только в форме, но и после отправки.
Чек-лист персональных данных на сайте
Пройдите по каждому пункту отдельно.
- Найдены все формы и точки ввода данных.
- Определены цели каждой формы.
- Проверены согласия и ссылки рядом с формами.
- Составлен список CRM, почты и внешних сервисов.
- Проверены cookie, аналитика и рекламные технологии.
- Политика соответствует реальным процессам.
- Проверено уведомление Роскомнадзора.
- Проверена локализация баз.
- Отдельно проверены рекламные коммуникации.
- После изменений сайта документы актуализируются.
Нормативная база
Базовое определение персональных данных закреплено в статье 3 Закона № 152‑ФЗ.
Частые вопросы
Решение зависит от возможности связать сведения с физическим лицом.
Телефон всегда является персональными данными?
Оценивайте связь номера с определённым или определяемым человеком. Подробно разобрали это отдельно.
Cookie всегда являются персональными данными?
Нет универсального ответа для любого cookie. Нужно проверить конкретный идентификатор, сервис, цель и возможность связать данные с человеком.
Если данные попадают только в CRM, сайт можно не учитывать?
Форма на сайте является точкой сбора. Проверять нужно и интерфейс, и дальнейший маршрут в CRM.
Телефон и email →Формы и согласия →Проверить сайт →
Что проверить дальше
Связанные требования и сценарии, которые обычно нужно сверять вместе.
Проверьте, относится ли этот риск к вашему сайту
Сканирование покажет публичные признаки, а после проверки можно выбрать точечное ТЗ, документы или полное исправление.
Исправить под ключ
Подготовим согласованные тексты, внесём изменения на сайт и повторно проверим результат.
Регулярно контролировать
Повторные проверки после изменений сайта с историей результатов и новыми замечаниями.