Какие данные в SaaS считаются персональными
Персональные данные — любая информация, относящаяся к определённому или определяемому человеку. Для SaaS-сервиса это не только имя и email в профиле пользователя, но и IP-адрес, cookies, история действий, если они связаны с конкретным человеком.
Сервис собирает данные на лендинге (формы регистрации, подписки), в личном кабинете (профиль, настройки, проекты), через интеграции с аналитикой, чатами, платёжными системами. Каждый случай сбора и передачи данных создаёт обязанности по закону.
Проверка фиксирует, какие данные собирает сайт или интерфейс SaaS на публичных страницах, какие сервисы получают доступ к этим данным и какие риски это создаёт по 152-ФЗ и смежным нормам.
Кто отвечает за персональные данные: SaaS-компания или её клиенты
Если SaaS-сервис определяет, какие данные собирать, как их хранить и для чего использовать, он — оператор персональных данных. Это значит: обязанность уведомить Роскомнадзор, опубликовать политику обработки, получить согласие пользователей и защитить данные от утечки.
Если клиент SaaS сам решает, какие данные собирать через ваш инструмент (например, CRM или конструктор форм), он тоже оператор. Часто операторов двое: SaaS отвечает за данные своих пользователей (профили, подписки, логи), а клиент — за данные своих конечных пользователей.
Сторонние сервисы, которым вы передаёте данные (аналитика, облако, email-рассылки), могут быть вашими обработчиками — если действуют по вашим инструкциям. Если они используют данные для своих целей (например, обучают модели), они сами становятся операторами, и вы отвечаете за трансграничную передачу.
SaaS на иностранном облаке и трансграничная передача данных
Трансграничная передача персональных данных регулируется законом и требует соблюдения определённых условий. Оператор обязан уведомить Роскомнадзор о намерении осуществлять трансграничную передачу.
Риск возникает, если данные пользователей передаются в иностранные сервисы без соблюдения требований закона. Проверка фиксирует, какие иностранные сервисы получают данные посетителей сайта SaaS, и выявляет риск по соответствующим нормам.
Для полной картины (работа серверной части, место записи в базу, архитектура обработки) нужна внутренняя проверка инфраструктуры, которую публичный осмотр сайта не охватывает.
Cookie-баннер, аналитика и согласие пользователя
Если SaaS-лендинг или кабинет использует аналитику, трекеры или сторонние скрипты, которые обрабатывают персональные данные, требуется согласие пользователя. Проблема — многие сервисы запускают аналитику до того, как посетитель нажал кнопку согласия в cookie-баннере.
Проверка открывает сайт с чистой сессии — как новый посетитель — и фиксирует, какие трекеры стартуют до взаимодействия с баннером. Если данные уходят в аналитику или рекламные сети до согласия, это создаёт риск квалификации как обработка без законного основания.
Важно также, чтобы баннер предлагал равнозначный отказ и возможность настроить категории cookies. Кнопка «Принять всё» большого размера, а ссылка «Настроить» мелким шрифтом — признак, который может быть расценён как давление на пользователя.
Политика обработки персональных данных и согласия
Оператор обязан опубликовать политику обработки персональных данных. Пользовательское соглашение или оферта не заменяют политику — это должен быть отдельный документ.
Если в политике написано одно, а сайт делает другое (например, в политике не упомянута аналитика, но она работает), это расхождение создаёт правовой риск.
Проверка фиксирует наличие политики, анализирует её содержание и сравнивает с фактическими действиями сайта: какие данные собираются, куда отправляются, какие сервисы подключены. Каждое расхождение указывается в отчёте с рекомендацией, что исправить.
- Политика опубликована на сайте и доступна без регистрации
- Указаны реквизиты оператора: ИНН, ОГРН, адрес, контакты
- Описаны сторонние сервисы, которым передаются данные
Проверьте SaaS-сервис на соответствие 152-ФЗ
- 01Опубликована ли политика обработки персональных данных. Проверьте, есть ли на сайте отдельный документ «Политика обработки персональных данных» с реквизитами оператора.
- 02Запускается ли аналитика до согласия. Откройте сайт в режиме инкогнито и проверьте через инструменты разработчика, стартуют ли трекеры и внешние скрипты до того, как вы нажали «Принять» в cookie-баннере.
- 03Какие иностранные сервисы получают данные. Посмотрите в настройках аналитики, чатов, форм и платёжных систем, какие сторонние сервисы подключены и где они хранят данные.
- 04Есть ли согласие на обработку данных в формах. Проверьте, что каждая форма регистрации или подписки содержит чекбокс согласия с ясным текстом и ссылкой на политику.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные в SaaS-сервисе считаются персональными?
Любая информация, относящаяся к определённому человеку: email, имя, телефон, IP-адрес, cookies и история действий, если они связаны с профилем пользователя.
Когда SaaS-компания обязана уведомлять Роскомнадзор?
Если SaaS-сервис определяет цели и содержание обработки персональных данных, он оператор и обязан подать уведомление. Конкретные условия и исключения лучше обсудить с юристом.
Можно ли использовать иностранные облака для хранения данных россиян?
Трансграничная передача персональных данных требует соблюдения условий закона и уведомления Роскомнадзора. Проверка покажет, какие иностранные сервисы получают данные и какие риски это создаёт.
Кто оператор персональных данных: SaaS-компания или её клиенты?
Зависит от того, кто определяет цели и содержание обработки. Если SaaS решает, как обрабатывать данные своих пользователей, он оператор. Если клиент сам определяет, как собирать данные конечных пользователей через ваш инструмент, оператор он. Часто операторов двое.
Достаточно ли пользовательского соглашения вместо политики обработки персональных данных?
Нет. Политика обработки персональных данных должна быть опубликована отдельным документом и доступна всем посетителям. Её отсутствие создаёт риск по соответствующей норме КоАП.
Может ли cookie-баннер на лендинге SaaS нарушать закон?
Да, если аналитика и трекеры стартуют до согласия пользователя или если баннер не предлагает равнозначный отказ. Проверка фиксирует момент старта каждого трекера относительно взаимодействия с баннером.
Что будет, если SaaS не уведомит Роскомнадзор об утечке данных?
Неуведомление или несвоевременное уведомление об инциденте влечёт риск по соответствующим нормам КоАП. Санкции зависят от числа пострадавших и категорий данных.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.