Персональные данные в интернете: обязанности бизнеса и права пользователей

Персональные данные — это любая информация, которая прямо или косвенно относится к конкретному человеку. В интернет-среде к ним относят не только очевидные вещи вроде паспорта или номера телефона, но и цифровые идентификаторы, которые многие компании по привычке не воспринимают всерьёз:

• имя и фамилия;
• номер телефона;
• e-mail;
• адрес доставки;
• данные из формы регистрации;
• IP-адрес в связке с другими идентификаторами;
• cookie, если они позволяют выделить пользователя;
• сведения о заказах, обращениях, геолокации, поведении на сайте.

Принцип здесь простой: если по набору данных человека можно выделить, связать с аккаунтом или отследить его действия, это уже может попадать в сферу закона о персональных данных. С точки зрения сетевой инфраструктуры, IP-адрес сам по себе часто не считают персональными данными, но как только он стыкуется с логами веб-сервера, идентификатором сессии или учётной записью — это уже материал, который регулируется 152-ФЗ.

Почему это важно для бизнеса

Ошибка многих компаний в том, что они считают персональными данными только «паспортные данные». На практике под регулирование попадает почти любой сайт, который:

• собирает заявки;
• ведёт личный кабинет;
• использует аналитику;
• принимает заказы;
• подключает чат, CRM, коллтрекинг, рассылки.

Если сайт собирает данные, значит, у оператора появляются обязанности. И это не абстрактная юридическая конструкция — это конкретные требования к тому, как выстроена серверная часть, где физически хранятся базы, кто имеет к ним доступ и как защищён канал передачи данных между формой на сайте и вашим хостингом.

Кто такой оператор персональных данных

Оператор — это компания, ИП или даже физлицо, которое организует и/или осуществляет обработку персональных данных. Проще говоря, если бизнес решает, какие данные собирать, зачем и как их хранить, он обычно и является оператором. В контексте интернет-проектов это означает, что вы как владелец сайта определяете цели обработки ещё на этапе проектирования форм и интеграции с CRM.

К типичным операторам относятся:

• интернет-магазины;
• образовательные платформы;
• клиники и сервисы записи;
• банки и финтех;
• SaaS-сервисы;
• HR-платформы и сайты с формами отклика;
• любые сайты с формой обратной связи, если через неё собираются данные.

Даже небольшой лендинг с формой захвата лидов делает компанию оператором, а значит, запускает цепочку требований: от публикации политики до настройки технической защиты сервера.

Какие обязанности есть у бизнеса

Ниже — базовый набор того, что должен обеспечить оператор в интернете. Это не просто бюрократический список, а реальные действия, которые напрямую влияют на архитектуру вашего веб-приложения и сетевой безопасности.

1. Собрать данные законно и по цели

Законная обработка начинается с ответа на вопрос: зачем вы вообще собираете эти данные? Если цель сформулирована размыто, потом сложно доказать, что обработка была правомерной. На практике это влияет не только на юриспруденцию, но и на архитектуру базы данных: поля должны быть жёстко привязаны к заявленной цели.

Примеры корректных целей:

• оформление заказа;
• обратный звонок;
• доставка товара;
• доступ к личному кабинету;
• отправка информационных сообщений по подписке.

Примеры плохих целей:

• «для улучшения сервиса» без расшифровки;
• «для любых маркетинговых задач»;
• «для внутреннего использования» без указания смысла.

2. Получить корректное согласие, если оно нужно

Согласие должно быть конкретным, информированным и сознательным. На практике это значит:

• отдельная галочка, а не заранее проставленная;
• понятный текст, без туманных формулировок;
• привязка к конкретной цели;
• возможность отказаться без блокировки основного сервиса, если закон это допускает.

Особое внимание — согласиям на рассылку, рекламу и передачу данных третьим лицам. Смешивать их в один общий текст — плохая практика. С технической стороны это означает, что каждая галочка должна обрабатываться отдельным флагом в базе, а не одним общим полем «согласен со всем».

3. Опубликовать политику обработки персональных данных

Политика — это не формальность, а основной документ, который объясняет пользователю:

• какие данные вы собираете;
• зачем;
• кому передаёте;
• как долго храните;
• как человек может отозвать согласие или удалить данные.

Для сайта политика должна быть легко доступна, обычно через футер, форму регистрации и страницы сбора данных. Важно, чтобы документ отражал реальную картину: если вы передаёте данные в сторонний сервис аналитики, это должно быть прописано, а не скрыто за общими фразами.

4. Настроить внутренние процессы

Даже если сайт визуально выглядит аккуратно, внутри у бизнеса часто хаос:

• заявки приходят на личную почту без ограничений;
• доступ к CRM есть у всех подряд;
• данные хранятся без сроков удаления;
• подрядчики получают больше данных, чем нужно;
• нет регламента, что делать при утечке или запросе пользователя.

Нормальная практика — иметь:

• перечень обрабатываемых данных;
• список целей;
• схему доступа;
• сроки хранения;
• порядок удаления;
• инструкцию по инцидентам.

С точки зрения администрирования серверов, это означает, что вы должны чётко понимать, на каких носителях лежат данные, кто имеет root-доступ и как происходит ротация логов. Без этого любой аудит покажет дыры.

5. Защищать данные технически

Для интернет-сервиса безопасность — это не абстракция. На практике нужны:

• HTTPS с актуальными сертификатами;
• разграничение прав доступа на уровне файловой системы и СУБД;
• сложные пароли и 2FA для админов;
• журналирование действий с критичными данными;
• регулярные обновления CMS и плагинов;
• шифрование и резервные копии;
• контроль за формами, API и интеграциями.

Утечка часто происходит не из-за «сложного хакера», а из-за простой ошибки: открытая админка, старый плагин, общий доступ к базе, незащищённая выгрузка. По опыту аудитов, в 8 из 10 случаев проблема кроется в неправильно настроенных правах доступа или отсутствии элементарного шифрования на транспортном уровне.

Что должен проверить бизнес перед запуском сайта

Вот практический чек-лист, который стоит пройти до того, как сайт начнёт принимать реальный трафик:

• есть ли политика обработки персональных данных;
• описаны ли цели сбора данных;
• не собираются ли лишние поля в формах;
• настроены ли отдельные согласия на маркетинг и рекламу;
• есть ли порядок хранения и удаления данных;
• ограничен ли доступ к CRM и админке;
• прописаны ли обязанности подрядчиков;
• оформлены ли локальные документы по обработке данных;
• работает ли процедура ответа на запрос пользователя;
• понятна ли пользователю логика обработки данных с первой страницы.

Этот список — не разовая акция, а базовый стандарт, который должен поддерживаться на протяжении всего жизненного цикла проекта. Если вы используете сторонний хостинг, убедитесь, что сервер физически находится в российской юрисдикции, если того требует специфика обрабатываемых данных.

Права пользователя в интернете

Пользователь — не пассивный источник данных. У него есть конкретные права, подкреплённые законом, и их реализация часто упирается в техническую возможность оператора быстро найти и обработать нужную информацию в своих системах.

Основные права субъекта персональных данных

• получить сведения о том, какие данные и зачем обрабатываются;
• требовать уточнения неточных данных;
• требовать блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или больше не нужны для цели обработки;
• отозвать согласие, если обработка строилась на нём;
• обжаловать действия оператора в уполномоченный орган или в суд;
• требовать защиты своих прав и законных интересов.

Иными словами: если компания хранит о человеке лишнее, неправильно или незаконно, пользователь может добиваться исправления ситуации. И здесь важно, чтобы у оператора была техническая возможность выгрузить все данные по конкретному субъекту, а не искать их вручную по разрозненным таблицам.

Когда можно требовать удаления данных

Обычно это актуально, если:

• аккаунт больше не нужен;
• согласие отозвано;
• услуга прекращена;
• данные собраны с нарушением;
• информация устарела или ошибочна;
• цель обработки достигнута.

Но важно помнить: бизнес не всегда обязан удалить всё мгновенно. Иногда закон требует хранить данные определённый срок — например, для бухгалтерии, отчётности или исполнения договора. В таких случаях оператор должен дать мотивированный ответ, ссылаясь на конкретную норму.

Как пользователю защитить свои данные

Если есть сомнения, что с данными обошлись неправильно, действуйте пошагово. Алгоритм построен так, чтобы минимизировать шансы оператора уйти в игнорирование.

Пошаговый алгоритм

1. Посмотрите политику конфиденциальности сайта.
2. Проверьте, какие согласия вы давали.
3. Уточните, какие именно данные компания хранит.
4. Направьте запрос на изменение, блокировку или удаление.
5. Сохраните переписку и сроки ответа.
6. Если ответа нет или он формальный, подавайте жалобу.

Что написать в запросе

Запрос лучше делать коротко и конкретно:

• какие данные нужно уточнить или удалить;
• на каком основании вы обращаетесь;
• какой способ ответа вам удобен;
• если нужно, укажите, что отзываете согласие на обработку.

Чем точнее запрос, тем сложнее компании уйти в общие отписки. Идеально, если вы укажете конкретный e-mail или номер телефона, который использовали при регистрации, и дату, когда давали согласие.

Типовые ошибки бизнеса

Ниже — самые частые проблемы, которые я вижу в проектах при аудите информационной безопасности и документации:

• форма заявки собирает лишние сведения;
• согласие на рекламу спрятано в длинном тексте;
• политика есть, но не соответствует реальной обработке;
• данные хранятся бесконечно;
• подрядчикам передаются полные базы без ограничений;
• администраторы имеют лишние права;
• нет процедуры удаления данных по запросу;
• cookie-баннер не объясняет, что именно собирается;
• контакт для обращений по ПДН отсутствует или не работает.

Отдельно отмечу ситуацию с подрядчиками: когда компания передаёт базу клиентов в сторонний колл-центр или сервис рассылок без договора поручения обработки, это прямое нарушение, которое может всплыть при первой же проверке.

Чем отличается грамотная обработка данных от формальной

Разница между этими двумя подходами — не в объёме документов, а в том, насколько бизнес готов подтвердить свои действия технически. При грамотном подходе вы в любой момент можете показать, где лежат данные, кто к ним обращался и когда они будут удалены.

Когда бизнесу особенно важно быть аккуратным

Риски выше всего там, где:

• много клиентских данных;
• есть массовый трафик;
• используется реклама и ретаргетинг;
• подключены внешние сервисы;
• есть передача данных подрядчикам;
• работа идёт через мобильное приложение;
• обрабатываются чувствительные категории данных.

Для таких проектов лучше сразу строить обработку по принципу «минимум данных, максимум контроля». Если вы обрабатываете платёжную информацию или данные о здоровье, требования кратно возрастают, и здесь уже без профильного аудита не обойтись.

Практический вывод для бизнеса

Если у компании есть сайт, приложение, CRM или онлайн-формы, вопрос уже не в том, обрабатываются ли персональные данные, а в том, насколько это сделано законно и безопасно. Чем раньше бизнес настраивает цели, согласия, документы и доступы, тем меньше риск претензий, штрафов и репутационных потерь. В конечном счёте, грамотно выстроенная система обработки данных — это не статья расходов, а показатель зрелости компании и её уважения к пользователю.

Что должен запомнить пользователь

• персональные данные в интернете собираются почти везде;
• у пользователя есть право знать, что именно о нём хранится;
• можно требовать исправления, блокировки и удаления данных в предусмотренных законом случаях;
• согласие можно отзывать;
• если компания игнорирует запросы, защиту можно искать через уполномоченный орган и суд.

FAQ

Нужно ли согласие на обработку персональных данных всегда?

Не всегда. Иногда обработка возможна на другом законном основании, например для исполнения договора. Но для многих интернет-форм согласие или иное понятное основание всё равно требуется. Если вы просто отправляете товар по адресу, согласие может не понадобиться, но как только включается маркетинг — оно становится обязательным.

Можно ли собирать e-mail для рассылки без отдельного согласия?

Нет, для маркетинговой рассылки лучше оформлять отдельное согласие, чтобы пользователь понимал, на что именно он подписывается. Технически это реализуется через механизм double opt-in, который заодно защищает от случайных подписок и снижает процент жалоб на спам.

Обязательно ли удалять данные по первому требованию?

Не всегда. Если есть законная обязанность хранить их дольше, компания может отказать в немедленном удалении. Но отказ должен быть обоснованным, со ссылкой на конкретный нормативный акт и срок хранения.

Считаются ли cookie персональными данными?

Могут считаться, если позволяют прямо или косвенно идентифицировать пользователя или связаны с его профилем, устройством, поведением и другими данными. Если через cookie вы восстанавливаете сессию, привязываете историю просмотров к аккаунту или передаёте эти данные в системы аналитики — это уже обработка персональных данных.

Что делать, если сайт не отвечает на запрос об удалении данных?

Нужно зафиксировать обращение и сроки, затем жаловаться в уполномоченный орган по защите прав субъектов персональных данных или обращаться в суд. Практика показывает, что часто сам факт грамотно составленной жалобы заставляет оператора реагировать быстрее.

Вывод

Персональные данные в интернете — это зона ответственности, а не просто юридическая формальность. Бизнес обязан собирать данные законно, прозрачно и безопасно, а пользователь вправе понимать, кто и зачем его данные обрабатывает, а также требовать их исправления или удаления в предусмотренных случаях. В цифровой среде выигрывает не тот, кто собирает больше, а тот, кто умеет работать с данными аккуратно и по правилам. И это одинаково справедливо как для владельца небольшого интернет-магазина, так и для крупного телеком-оператора.