Кто оператор: вы, подрядчик или владелец сервиса
Закон о персональных данных называет оператором того, кто определяет цели и содержание обработки. Если сайт принадлежит вам, посетители оставляют заявки на ваши услуги, и вы решаете, какие данные собирать и как их использовать — вы оператор. Подрядчик, который по вашему заданию настроил формы, интегрировал CRM или поставил аналитику, действует от вашего имени и по закону становится лицом, осуществляющим обработку по поручению оператора.
Владельцы внешних сервисов — аналитики, чатов, форм обратной связи — могут быть операторами в части своих целей либо также действовать по поручению. Это зависит от условий их политики конфиденциальности и договора. Если сервис обрабатывает данные только для ваших задач (например, собирает статистику посещений по вашему поручению), он действует по поручению. Если использует данные в своих целях (показывает рекламу, обучает алгоритмы), он самостоятельный оператор.
Ответственность перед Роскомнадзором за соблюдение требований закона на вашем сайте несёте вы как оператор — даже если техническую работу выполняет подрядчик или сторонний сервис.
Что должно быть в договоре с подрядчиком
Договор с подрядчиком, который получает доступ к персональным данным или выполняет работы, связанные с их обработкой, должен содержать обязательства лица, действующего по поручению оператора. Это значит: подрядчик обязан соблюдать требования законодательства о персональных данных, действовать строго по вашим инструкциям, обеспечить конфиденциальность и не использовать данные в собственных целях.
В договоре стоит прописать: какие категории данных передаются подрядчику, для каких целей и какими способами обрабатываются, какие меры защиты применяются, как подрядчик должен уведомить вас о возможных рисках или инцидентах, и какую ответственность он несёт за нарушения. Если подрядчик привлекает субподрядчиков, это тоже должно быть отражено в договоре — с вашего согласия и на тех же условиях конфиденциальности.
Отсутствие таких пунктов в договоре не снимает с вас ответственность как с оператора, но лишает возможности требовать от подрядчика возмещения убытков, если его действия повлекут штраф или проверку.
Внешние сервисы: аналитика, соцсети и трансграничная передача данных
Когда вы встраиваете на сайт внешний сервис — аналитику, кнопки социальных сетей, онлайн-чат, — браузер посетителя начинает обмениваться данными с серверами этого сервиса. Если сервис передаёт данные за рубеж, это может квалифицироваться как трансграничная передача персональных данных.
Критерии стран для трансграничной передачи недавно уточнялись, а уведомлять Роскомнадзор до начала передачи по-прежнему обязательно. Какие ещё основания и документы нужны для конкретного сервиса, зависит от случая — этот вопрос стоит разобрать с юристом. Начать полезно со списка сервисов, которые реально получают данные посетителей.
Проверка сайта фиксирует сетевые запросы браузера к внешним доменам — это технический сигнал, что данные могут передаваться за рубеж. Правовая квалификация такого эпизода зависит от того, получено ли согласие посетителя, подано ли уведомление в Роскомнадзор и соответствует ли страна назначения требованиям закона.
Как проверить, что на сайте всё в порядке
Чтобы понять, какие риски есть на сайте и что нужно исправить, проверка должна зафиксировать, что происходит на публичных страницах: какие данные собираются в формах, куда уходят запросы браузера, стартуют ли трекеры и cookie до согласия посетителя, опубликованы ли политика конфиденциальности и согласие на обработку данных.
Dobrolex открывает сайт с чистой сессии — как новый посетитель, который ещё ничего не принял, — и фиксирует снимки экрана, сетевой обмен браузера и содержание правовых документов. Каждый эпизод с признаками нарушения получает правовую квалификацию со ссылкой на норму закона и рекомендацию, что исправить.
Отчёт содержит фактуру, которую можно передать подрядчику как техническое задание: конкретные скриншоты, цитаты из документов и описание того, что не соответствует требованиям. Если эпизодов не найдено, отчёт подтверждает, что на осмотренных публичных страницах признаков нарушений нет.
Что проверить прямо сейчас
- 01Договоры с подрядчиками содержат пункты о персональных данных. Проверьте, что в договоре прописано: подрядчик действует по вашему поручению, обязан соблюдать законодательство о персональных данных, не вправе использовать данные в своих целях и несёт ответственность за нарушения.
- 02Для каждого внешнего сервиса есть основание для передачи данных. Составьте список сервисов, встроенных на сайт (аналитика, чаты, формы, соцсети), и проверьте: есть ли договор или политика, подтверждающая законность передачи данных, и получено ли согласие посетителя.
- 03Трекеры и cookie стартуют только после согласия посетителя. Откройте сайт в режиме инкогнито, не принимая cookie-баннер, и проверьте через инструменты разработчика браузера: отправляются ли запросы к сервисам аналитики и рекламы до вашего согласия.
- 04Политика конфиденциальности содержит сведения о подрядчиках. Проверьте, что в политике указано: какие лица действуют по вашему поручению, какие данные им передаются и для каких целей. Это требование закона для оператора.
- 05Уведомление в Роскомнадзор подано, если это необходимо. Если на сайте собираются персональные данные (формы заявок, регистрация, подписка), проверьте, подано ли уведомление в Роскомнадзор о намерении обрабатывать персональные данные. Требуется ли оно в вашем случае, зависит от целей и способов обработки — это стоит уточнить у юриста.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Кто отвечает перед Роскомнадзором: я или подрядчик, который делал сайт?
Отвечаете вы как оператор персональных данных — тот, кто определяет цели обработки. Подрядчик действует по вашему поручению, и ответственность за соблюдение закона лежит на вас. Договор с подрядчиком позволяет требовать возмещения убытков, если его ошибка повлекла штраф.
Нужно ли вообще что-то оформлять с подрядчиком, если он только настроил формы на сайте?
Да, если подрядчик получает доступ к персональным данным или выполняет работы, связанные с их обработкой, в договоре должны быть пункты о конфиденциальности и соблюдении законодательства. Без этого вы не сможете доказать, что он действовал по вашим инструкциям.
Я использую на сайте Google Analytics — нужно ли уведомлять Роскомнадзор о трансграничной передаче данных?
Если сервис передаёт персональные данные посетителей за рубеж, это может квалифицироваться как трансграничная передача, а о ней Роскомнадзор нужно уведомить до начала. Какие ещё основания нужны в вашем случае, лучше уточнить у юриста.
Подрядчик говорит, что всё сделано по закону, но я не могу это проверить — что делать?
Проверка сайта зафиксирует, что происходит на публичных страницах, и даст конкретный список эпизодов с признаками нарушений. Отчёт можно передать подрядчику как техническое задание на исправление.
Можно ли переложить штраф на подрядчика, если он допустил ошибку на сайте?
Штраф Роскомнадзора платит оператор — то есть вы. Взыскать с подрядчика убытки можно через суд, если в договоре прописана его ответственность за нарушение требований законодательства о персональных данных.
У меня несколько подрядчиков: один ведёт сайт, другой настраивает рекламу — как это оформить?
С каждым подрядчиком нужен отдельный договор, где указано: какие данные передаются, для каких целей, какие меры защиты применяются и что подрядчик не вправе использовать данные в своих целях. Вы остаётесь оператором и отвечаете за соблюдение закона.
Если проверка не нашла нарушений, значит ли это, что сайт полностью соответствует закону?
Нет. Проверка фиксирует признаки нарушений на публичных страницах — без входа в аккаунт и без доступа к серверной части. Если эпизодов не найдено, это значит: на осмотренных страницах рисков нет, но полное соответствие закону требует проверки закрытых разделов и внутренних процессов.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.