Какие основания обработки данных предусмотрены законом
152-ФЗ предусматривает обработку персональных данных без согласия субъекта в ряде случаев. Среди них — исполнение договора с посетителем, законный интерес оператора, защита жизни и здоровья, выполнение обязанностей перед государством, обезличенная статистика и журналистская деятельность.
Для владельца сайта чаще всего актуальны три основания: исполнение договора, законный интерес и обработка для статистических целей без идентификации. Каждое из них работает при соблюдении условий, которые закон и Роскомнадзор трактуют строго.
Выбор основания влияет на содержание политики конфиденциальности, настройки аналитики и необходимость уведомления регулятора. Если фактическая обработка не соответствует заявленному основанию, это создаёт риск штрафа.
Когда данные обрабатываются для исполнения договора
Согласие не требуется, если данные нужны для выполнения договора, стороной которого является посетитель. Типичный пример — интернет-магазин собирает имя, телефон и адрес для доставки товара, который человек заказал.
Важно, чтобы обработка была необходима именно для исполнения обязательств по договору. Если данные используются для маркетинга, аналитики или передаются третьим лицам, не участвующим в исполнении договора, потребуется другое основание или согласие.
Политика конфиденциальности должна чётко указывать, какие данные собираются для договора, для каких целей и кому передаются. Проверка сайта покажет, какие данные фактически уходят с форм и совпадает ли это с текстом политики.
Как работает законный интерес оператора
Законный интерес — основание для обработки данных, если она необходима для достижения целей оператора и не нарушает права посетителя. Это может быть защита от мошенничества, обеспечение безопасности сайта или улучшение пользовательского опыта.
Роскомнадзор требует, чтобы оператор обосновал интерес и доказал баланс: польза для бизнеса не должна ущемлять права человека. На практике это означает, что нельзя ссылаться на законный интерес для массовой рассылки или профилирования без согласия.
Если вы используете это основание, опишите в политике, в чём состоит интерес и почему обработка необходима. Проверка фиксирует, какие трекеры и сервисы запускаются на сайте — вы увидите, соответствует ли фактическая обработка заявленному интересу.
Обезличенная статистика и аналитика без идентификации
Если данные обрабатываются исключительно для статистических целей и не позволяют идентифицировать конкретного человека, согласие не требуется. Это касается агрегированной аналитики — например, число посещений страницы или процент отказов.
Проблема в том, что многие аналитические системы по умолчанию собирают идентификаторы: cookie, IP-адреса, данные об устройстве. Если эти данные передаются сервису в исходном виде, обработка уже не считается обезличенной.
Чтобы использовать это основание, настройте аналитику так, чтобы она не передавала персонализирующие параметры, или используйте механизмы обезличивания на стороне сервера. Проверка сайта покажет, какие данные отправляются системам аналитики и куда они уходят.
Что обязательно даже без согласия
Отсутствие согласия не освобождает от других требований закона. Политика конфиденциальности обязательна при любом основании обработки — в ней должны быть указаны цели, категории данных, сроки хранения, права субъекта и контакты оператора.
Если вы обрабатываете данные граждан России, они должны храниться в базах данных на территории страны. Трансграничная передача требует уведомления Роскомнадзора и соблюдения условий, установленных для стран назначения.
Обязанность уведомлять Роскомнадзор о намерении обрабатывать персональные данные зависит от конкретных условий — категорий данных, способа обработки и других факторов. Проверьте требования закона для вашей ситуации или проконсультируйтесь с юристом.
- Политика конфиденциальности с обязательными разделами
- Хранение данных граждан РФ на территории России
- Уведомление Роскомнадзора при необходимости
- Механизмы для реализации прав субъектов: доступ, исправление, удаление
Что проверить на сайте прямо сейчас
- 01Опубликована ли политика конфиденциальности. Документ должен быть доступен всем посетителям, содержать основания обработки, цели, категории данных и контакты оператора
- 02Какие данные собирают формы и куда они отправляются. Откройте сетевую панель браузера и отправьте тестовую форму — посмотрите, какие параметры уходят и кому
- 03Запускаются ли трекеры до согласия посетителя. Откройте сайт в режиме инкогнито, не принимайте cookie — проверьте, отправляются ли запросы аналитическим системам
- 04Соответствует ли фактическая обработка заявленному основанию. Если в политике указан договор, но данные уходят рекламным сервисам, это несоответствие создаёт риск
- 05Есть ли у посетителя способ реализовать свои права. Закон требует обеспечить доступ к данным, их исправление и удаление — укажите контакты и механизм обращения
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Когда не нужно согласие для обработки персональных данных
Согласие не требуется при исполнении договора с посетителем, для законного интереса оператора, при обработке обезличенных данных для статистики, для защиты жизни и здоровья, выполнения обязанностей перед государством и в других случаях, перечисленных в 152-ФЗ.
Можно ли использовать Google Analytics без согласия посетителя?
Можно, если Analytics настроен так, что не передаёт идентифицирующие данные за рубеж и не создаёт профили пользователей. Если данные уходят иностранному сервису в исходном виде, потребуется согласие или другое законное основание.
Нужно ли согласие, если я собираю только email для рассылки?
Да. Рассылка — это обработка данных для маркетинговых целей, она не подпадает под исполнение договора или законный интерес без согласия. Исключение — если человек сам попросил присылать информацию, оформив подписку.
Обязательна ли политика конфиденциальности, если я не беру согласие?
Да. Политика обязательна при любом основании обработки. В ней нужно указать цели, категории данных, основания обработки, сроки хранения, права субъекта и контакты оператора.
Нужно ли уведомлять Роскомнадзор, если обрабатываю данные для договора?
Обязанность уведомить регулятора зависит от конкретных условий вашей деятельности: категорий данных, способа обработки и других факторов. Проверьте требования закона для вашей ситуации или проконсультируйтесь с юристом.
Как доказать, что я действовал законно, если не брал согласие?
Опубликуйте политику с указанием оснований обработки, сохраните доказательства фактических настроек сервисов и техническую фиксацию того, что сайт делает. Заключение с снимками экрана и сетевыми запросами помогает подтвердить соответствие.
Считаются ли IP-адрес и cookie персональными данными?
Да, если их можно связать с конкретным человеком. Роскомнадзор исходит из того, что такая связь возможна, поэтому IP-адреса и идентификаторы cookie подпадают под действие 152-ФЗ.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.