Телефон — это персональные данные: что это значит для сайта
Телефон относится к персональным данным, если по нему можно определить конкретного человека. Обработка таких данных подпадает под действие 152-ФЗ: нужно законное основание, политика обработки и соблюдение прав субъектов.
Если на сайте опубликован телефон продавца или есть форма для сбора контактов клиентов, владелец сайта становится оператором персональных данных. Это означает обязанность опубликовать политику, получить согласие или обосновать обработку договором, а в ряде случаев — подать уведомление в Роскомнадзор.
Проблема в том, что многие владельцы сайтов не знают, какие данные собирает сайт на самом деле и куда они уходят. Аналитика, рекламные сети и сторонние сервисы могут получать доступ к телефонам из форм ещё до согласия посетителя.
Когда можно публиковать телефон продавца на сайте
Публикация телефона продавца законна, если есть основание из 152-ФЗ. Основные варианты: согласие продавца на размещение контактов в открытом доступе или договор, который предусматривает публикацию контактов для связи с клиентами.
Согласие должно быть письменным, содержать цель обработки, перечень данных и получателей. Если продавец зарегистрирован на маркетплейсе и согласился с условиями размещения, это может служить основанием — при условии, что в оферте или политике чётко указано, что контакты будут опубликованы.
Если телефон размещается без согласия и без договорного основания, это создаёт риск квалификации по статье КоАП РФ. Проверка сайта покажет, какие данные опубликованы, как оформлены согласия и политика, и где возникают риски.
Как собирать телефоны клиентов через формы: согласие и основания
Если телефон собирается для исполнения договора — оформление заказа, доставка, уведомление о статусе — согласие не требуется. Основание обработки — исполнение договора, это нужно указать в политике обработки персональных данных.
Если телефон используется для маркетинга, рассылок или передаётся третьим лицам (CRM, колл-центр, рекламная сеть), требуется отдельное письменное согласие с указанием цели, получателей и срока обработки. Галочка под формой должна вести на текст согласия, а не на общую политику.
На практике многие формы не содержат ссылки на согласие или политику, а трекеры и аналитика начинают собирать данные ещё до отправки формы. Проверка фиксирует, как оформлены формы, какие данные они собирают и куда отправляют.
Куда уходят данные: трекеры, аналитика и трансграничная передача
Даже если форма отправляет данные на сервер компании, аналитика и рекламные сети могут получать доступ к содержимому полей через JavaScript. Если трекер стартует до согласия посетителя, это может квалифицироваться как обработка без законного основания.
Особый риск создаёт передача данных иностранным сервисам. Если телефон гражданина РФ передаётся за рубеж, требуется уведомление Роскомнадзора до начала передачи и согласие субъекта с указанием страны и получателя.
Проверка сайта фиксирует сетевые запросы с момента открытия страницы: какие сервисы получают данные, в какой момент они стартуют и куда направляются. Если данные уходят иностранному сервису или трекер запускается до согласия, это отражается в заключении как риск с приоритетом исправления.
Как проверить сайт на риски по персональным данным
Проверка открывает сайт с чистой сессии — глазами нового посетителя, до любого согласия. Фиксируются сетевые запросы, поведение трекеров, содержимое форм и документов. Каждый факт связывается с нормой закона и получает оценку серьёзности.
В заключении — резюме с эпизодами, которые создают риски, снимки экрана и цитаты из документов, правовая квалификация и рекомендации по исправлению. Если данные уходят за рубеж или трекеры стартуют до согласия, это указывается отдельно с очерёдностью исправлений.
Результат проверки — PDF-заключение с фактами, нормами и планом действий. Это помогает понять, что на сайте создаёт риски, и исправить их до проверки регулятора.
Проверьте сайт: телефоны и персональные данные
- 01Политика обработки персональных данных опубликована и доступна. На сайте есть ссылка на политику обработки персональных данных, в ней указаны цели, основания, сроки и права субъектов.
- 02Формы содержат ссылку на согласие или политику. Под каждой формой, где собирается телефон, есть галочка со ссылкой на текст согласия или политику с описанием цели и получателей.
- 03Публикация телефона продавца обоснована. Если на сайте опубликованы контакты продавцов, есть письменное согласие или договор, который предусматривает размещение контактов.
- 04Трекеры и аналитика не стартуют до согласия. Cookie-баннер показывается до запуска аналитики и рекламных сетей, есть возможность отказаться и настроить категории.
- 05Данные не уходят за рубеж без уведомления. Если формы или трекеры отправляют данные иностранным сервисам, в политике указаны получатели, страны и основания, подано уведомление в Роскомнадзор.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Телефон продавца — это персональные данные?
Да, если по номеру можно определить конкретного человека. Обработка таких данных подпадает под действие 152-ФЗ и требует законного основания.
Нужно ли согласие клиента, если он сам указал телефон в форме заказа?
Если телефон собирается для исполнения договора — оформление заказа, доставка — согласие не требуется. Если для маркетинга или передачи третьим лицам — нужно отдельное согласие.
Можно ли публиковать телефон продавца на сайте без его согласия?
Только если публикация предусмотрена договором с продавцом. Без договорного основания или письменного согласия публикация создаёт риск штрафа.
Как узнать, куда уходят данные из формы на сайте?
Проверка фиксирует сетевые запросы с момента открытия страницы и показывает, какие сервисы получают данные, когда они стартуют и куда направляются.
Что делать, если трекеры собирают телефоны до согласия посетителя?
Это создаёт риск обработки без законного основания. Нужно настроить cookie-баннер так, чтобы трекеры стартовали только после согласия, или отключить передачу данных в аналитику.
Нужно ли уведомлять Роскомнадзор, если форма отправляет данные в CRM?
Если CRM находится за рубежом и получает данные граждан РФ, требуется уведомление Роскомнадзора до начала передачи и согласие субъекта с указанием страны и получателя.
Как проверить, создаёт ли сайт риски по персональным данным?
Проверка открывает сайт глазами нового посетителя, фиксирует поведение трекеров, формы и документы, связывает факты с нормами закона и даёт заключение с планом исправлений.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.