Кто отвечает за 152-ФЗ на сайте клиента — студия или клиент
Вопрос всплывает в одной и той же ситуации: клиенту пришло письмо из Роскомнадзора или он прочитал новость о штрафах — и звонит в студию, которая делала сайт. Разбираемся, кто здесь кто по закону и что с этим делать практически.
Короткий ответ
Отвечает клиент. Он оператор персональных данных, потому что именно он определяет, зачем и какие данные собирать с посетителей его сайта. Студия — обработчик: она делает то, что ей поручили.
Но короткий ответ не помогает, когда клиент звонит вам. Дальше — длинный.
Кто такой оператор
Закон определяет оператора как того, кто организует и определяет цели обработки персональных данных. Не того, кто нажимает кнопки, а того, кто решает: собираем имя и телефон, чтобы перезвонить по заявке.
Владелец сайта решил собирать заявки — он оператор. Даже если форму верстала студия, счётчик подключала студия и хостинг оплачивает тоже студия.
Признак простой: чьи это заявки? Кто их читает и кому звонит? Тот и оператор.
Тогда студия ни при чём?
Не совсем. Есть три ситуации, где студия попадает под удар.
1. Студия обрабатывает данные по поручению
Если у вас есть доступ к базе заявок, вы выгружаете их в CRM или настраиваете интеграцию с рассылкой — вы обработчик. Закон требует, чтобы поручение обработки было оформлено письменно: в договоре или отдельным документом, с перечнем действий, целями и требованием соблюдать конфиденциальность.
Нет письменного поручения — обработка ведётся без правового основания. При проверке это будет нарушением у обеих сторон.
2. Студия сама стала оператором и не заметила
Есть у вас на сайте форма «оставьте заявку на разработку»? Вы оператор. Собираете портфолио с контактами? Оператор. Ведёте базу клиентов? Оператор.
Причём уведомление в Роскомнадзор подаётся до начала обработки, а не после. Обязаны все, включая индивидуальных предпринимателей. Студия, которая рассказывает клиентам про 152-ФЗ и сама не подала уведомление, выглядит ровно так, как выглядит.
3. Клиент придёт с претензией к вам
Юридически он неправ, но практически ему всё равно. Он заплатил за сайт, на сайте нашли нарушение, значит виновата студия. Это не правовой спор, это разговор о репутации, и выигрывается он не ссылкой на статью, а тем, что вы предвидели вопрос заранее.
Что обычно находится на сайтах
По нашим проверкам живых сайтов малого бизнеса чаще всего встречается одно и то же:
- Нет галочки согласия у формы. Или есть, но проставлена заранее — а заранее проставленная галочка согласием не считается: согласие должно быть конкретным и осознанным действием.
- Cookie-баннер только с кнопкой «Принять». Если отказаться нельзя, то и согласия нет — есть принуждение.
- Счётчики запускаются до согласия. Баннер ещё висит, а данные уже ушли.
- Иностранные счётчики и шрифты. Это трансграничная передача данных, о которой нужно уведомлять Роскомнадзор отдельно и до её начала. Самая дорогая находка из всех: штраф исчисляется миллионами.
- Политики нет или она не открывается. Ссылка в подвале ведёт на 404 — классика после переезда сайта.
Что делать студии практически
Привести в порядок свой сайт
Это первое. Разговор о 152-ФЗ с клиентом начнётся с того, что он откроет ваш сайт. Уведомление в Роскомнадзор, политика, честный cookie-баннер, никаких иностранных счётчиков и шрифтов.
Поправить договор
Три пункта, которых обычно не хватает:
- Поручение на обработку — если у вас есть доступ к данным посетителей сайта клиента
- Разграничение ответственности — что клиент является оператором и сам подаёт уведомление
- Что входит в поддержку, а что нет — иначе «вы же нам сайт делали» будет звучать вечно
Сказать клиенту первым
Письмо на два абзаца: «Проверили ваш сайт по требованиям 152-ФЗ, нашли три вещи, вот что это значит и сколько стоит починить». Такое письмо превращает риск в услугу — и продаёт лучше любой рассылки.
Коротко
- Оператор — клиент. Он определяет цели сбора данных
- Студия становится обработчиком, если имеет доступ к данным. Нужно письменное поручение
- У студии есть свой сайт с формой — значит студия тоже оператор и тоже обязана уведомить Роскомнадзор
- Спрашивать всё равно будут с вас. Лучше прийти с отчётом первым
Материал носит информационный характер и не является юридическим заключением. Для оценки конкретной ситуации обратитесь к юристу.