Кто отвечает за персональные данные на сайте кафе
Оператором персональных данных считается тот, кто определяет цели и содержание обработки. Если кафе собирает номера телефонов гостей для подтверждения брони, оператор — владелец кафе, даже если форма встроена с чужого сервиса, а сайт разработан агентством.
Сторонний сервис бронирования или CRM может выступать обработчиком — он технически обрабатывает данные по поручению кафе. В этом случае между кафе и сервисом должен быть заключён договор, в котором прописаны обязанности обработчика. Если договора нет, а данные уходят к третьей стороне, это создаёт риск по обработке без законного основания.
В документах сайта — политике конфиденциальности и тексте согласия — должен быть указан оператор с полными реквизитами: название организации или ИП, ИНН, адрес. Если в политике указан разработчик сайта или вообще нет сведений об операторе, это нарушение требований к опубликованию информации.
Какие данные собирает сайт кафе и нужно ли согласие
Персональные данные — это любая информация, относящаяся к конкретному человеку: имя, телефон, email, дата рождения для поздравления в день рождения. Даже cookie-файл с идентификатором посетителя может стать персональными данными, если его можно связать с человеком.
Для сбора данных нужно законное основание. Если гость бронирует столик или подписывается на новости, это согласие субъекта персональных данных. Согласие должно быть конкретным: понятно, кто собирает данные, зачем и что с ними будет происходить. Формулировка «Я согласен на обработку персональных данных» без указания цели и оператора не соответствует требованиям закона.
Если на сайте установлены системы аналитики, виджеты онлайн-чата или кнопки социальных сетей, они могут собирать данные о посетителях: IP-адреса, информацию об устройстве, поведение на сайте. Для их работы тоже нужно получить согласие через cookie-баннер с возможностью отказа.
Что происходит с данными на практике: трекеры и запросы за границу
Проблема в том, что многие скрипты и виджеты на сайте начинают работать сразу при загрузке страницы, ещё до того, как посетитель принял cookie-баннер. Счётчики аналитики, пиксели ретаргетинга и виджеты чатов отправляют данные на свои серверы в момент, когда человек только открыл сайт.
Если эти серверы находятся за пределами России, возникает трансграничная передача персональных данных. Для неё требуется согласие субъекта и, в ряде случаев, уведомление Роскомнадзора. Если данные ушли к иностранному сервису до того, как посетитель дал согласие, это может квалифицироваться как нарушение требований к обработке и к трансграничной передаче.
Проверка фиксирует, какие запросы отправляет браузер при первой загрузке сайта — до клика на кнопку «Принять» в баннере. В отчёте указаны адреса серверов, которые получили данные, и время фиксации. Это позволяет увидеть реальный порядок событий, а не только текст баннера.
Как проверить сайт кафе на соответствие требованиям по персональным данным
Проверка начинается с чистой сессии браузера — так, как сайт видит новый посетитель. Фиксируются все запросы, которые отправляет браузер, все cookie, которые устанавливаются, и все формы, которые собирают данные.
Одновременно проверяются документы: есть ли на сайте политика обработки персональных данных, указан ли в ней оператор с реквизитами, соответствует ли содержание политики тому, что сайт делает на самом деле. Проверяются тексты согласий в формах: понятна ли цель обработки, есть ли возможность отказаться, указаны ли третьи лица, которым передаются данные.
Результат — заключение в PDF, в котором каждый выявленный эпизод связан с конкретной нормой закона и снабжён снимком экрана. Указана серьёзность риска и рекомендация, что нужно исправить. Если признаков нарушений не найдено, отчёт это подтверждает.
Важно понимать пределы: проверка охватывает только публичные страницы сайта. Формы не отправляются, кабинет администратора не открывается, серверная часть не исследуется. Сетевые запросы фиксируются как технический сигнал, а не как окончательное доказательство.
Что исправить, если выявлены риски
Большинство рисков устраняется без переделки сайта. Если трекеры стартуют раньше согласия, нужно изменить порядок загрузки скриптов: перенести код аналитики из head в тело страницы и запускать его только после клика на кнопку «Принять». Это настройка, а не новая разработка.
Если политика конфиденциальности отсутствует или не соответствует фактическим действиям сайта, её нужно дополнить или переписать под конкретный случай: указать, какие данные собираются, зачем, кому передаются, как долго хранятся. Шаблоны из интернета не подходят — они либо слишком общие, либо описывают чужие процессы.
Если согласие в форме бронирования оформлено нечётко, достаточно исправить текст: добавить название оператора, цель обработки и ссылку на политику. Галочка должна быть снята по умолчанию, чтобы посетитель сам принял решение.
Что проверить на сайте кафе прямо сейчас
- 01Есть ли на сайте политика обработки персональных данных. Откройте главную страницу и найдите в подвале ссылку «Политика конфиденциальности» или «Обработка персональных данных». Если ссылки нет, это риск.
- 02Указан ли в политике оператор с полными реквизитами. Откройте политику и проверьте, есть ли в ней название вашей организации или ИП, ИНН, адрес. Если вместо ваших реквизитов указан разработчик или реквизиты вообще отсутствуют, это нарушение.
- 03Запускаются ли счётчики аналитики до согласия. Откройте сайт в режиме инкогнито, не нажимая на кнопку «Принять» в cookie-баннере. Откройте инструменты разработчика (F12 в Chrome), вкладку Network, и посмотрите, есть ли запросы к google-analytics.com, mc.yandex.ru или другим сервисам. Если есть — трекеры стартовали раньше согласия.
- 04Оформлено ли согласие в форме бронирования по требованиям закона. Откройте форму бронирования и прочитайте текст галочки согласия. Проверьте: указано ли, кто собирает данные и зачем, есть ли ссылка на политику, снята ли галочка по умолчанию.
- 05Есть ли у cookie-баннера кнопка отказа. Посмотрите на баннер: есть ли в нём кнопка «Отклонить» или «Настроить», или только «Принять» и крестик. Если отказаться нельзя, это создаёт риск по получению согласия.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли подавать уведомление в Роскомнадзор, если кафе собирает персональные данные для бронирования?
Требования к уведомлению Роскомнадзора зависят от оснований и условий обработки персональных данных. Проверка фиксирует, какие данные собирает сайт, есть ли законное основание для их обработки и указан ли оператор в документах. Вопрос о необходимости уведомления лучше обсудить с юристом, исходя из конкретной ситуации.
Кто отвечает за персональные данные, если форма на сайте встроена со стороннего сервиса?
Оператором остаётесь вы — владелец кафе, потому что именно вы определяете, зачем собираются данные. Сторонний сервис может быть обработчиком, если вы заключили с ним договор, в котором прописаны его обязанности. Если договора нет, а данные уходят к сервису, это создаёт риск.
Что делать, если аналитика на сайте кафе отправляет данные за границу?
Если счётчики загружаются до того, как посетитель принял cookie-баннер, это может квалифицироваться как нарушение требований к обработке и трансграничной передаче. Решение — настроить отложенную загрузку скриптов аналитики: они должны запускаться только после согласия.
Можно ли использовать шаблон политики конфиденциальности из интернета?
Шаблоны не подходят, потому что они описывают общие случаи или процессы другой компании. Политика должна соответствовать тому, что ваш сайт делает на самом деле: какие данные собирает, куда передаёт, как долго хранит. Если в политике написано одно, а сайт делает другое, это риск.
Как понять, что согласие в форме оформлено правильно?
Согласие должно быть конкретным: понятно, кто собирает данные (название и реквизиты оператора), зачем (цель обработки), что будет с данными, кому они передаются. Галочка должна быть снята по умолчанию, чтобы посетитель сам принял решение. Формулировка «Я согласен на обработку персональных данных» без подробностей не соответствует требованиям закона.
Что будет, если на сайте кафе нет политики конфиденциальности?
Отсутствие опубликованной политики обработки персональных данных создаёт риск административной ответственности, предусмотренной законом. Проверка фиксирует такое обстоятельство как эпизод с указанием нормы и серьёзности риска.
Сколько стоит проверить сайт кафе на соответствие требованиям по персональным данным?
Стоимость зависит от того, нужно ли вам только заключение или ещё и готовые решения. Цены указаны на странице.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.