Соответствие 152-ФЗ в Томске: сбор данных начинается раньше, чем форма
В этой статье
- Идентификаторы, которые уходят до заполнения формы
- Личный кабинет слушателя как отдельный контур
- Сервисы вебинаров и рассылок
- Что писать в политике про аналитику
- Как идёт работа
- IP-адрес и cookie – это персональные данные?
- Нужно ли уведомление о cookie, если формы на сайте нет?
- Что проверить в личном кабинете в первую очередь?
Кажется, что обработка персональных данных стартует в момент отправки заявки. На самом деле она начинается на первой секунде визита: счётчики ставят идентификаторы, коллтрекинг закрепляет за посетителем подменный номер, чат-виджет создаёт сессию. Всё это уходит на серверы владельцев сервисов, и посетитель об этом узнаёт только из вашей политики, если она написана честно.
Томские образовательные и технологические проекты собирают данных особенно много: личные кабинеты, регистрации на вебинары, заявки на курсы, формы обратной связи для абитуриентов и слушателей. Тут вопрос «где лежат данные и кто их видит» перестаёт быть формальным.
Идентификаторы, которые уходят до заполнения формы
При аудите соответствия 152-ФЗ мы смотрим сетевые запросы страницы и видим, какие сервисы получают сведения о посетителе ещё до его первого действия. Обычно это аналитика, рекламные пиксели и виджеты. Дальше два решения: убрать лишнее и запустить остальное только после того, как человек согласился с обработкой в уведомлении о cookie.
Личный кабинет слушателя как отдельный контур
Учебная платформа хранит больше, чем контакты: прогресс, результаты тестов, переписку с куратором, иногда сканы документов об образовании. Проверяем такой контур по пунктам:
- в какой стране лежит база и её резервные копии;
- защищён ли вход двухфакторной проверкой у преподавателей и администраторов;
- какие поля видит куратор, а какие только руководитель программы;
- что происходит с данными после окончания обучения.
Сервисы вебинаров и рассылок
Регистрация на вебинар почти всегда идёт через внешнюю платформу, и это отдельный получатель данных. Если платформа зарубежная, база участников хранится вне России, а вместе с ней записи чатов и списки посещений. Мы подбираем российские аналоги и настраиваем схему, где на внешнюю платформу уходит минимум полей, а полный список остаётся в вашей базе.
Что писать в политике про аналитику
Разумный документ отвечает на четыре вопроса по каждому сервису: как называется, что получает, зачем и где хранит. Отдельным абзацем описывается, что означает передача данных третьим лицам, и почему без неё не работают реклама и учёт обращений. После этого защита персональных данных сайта становится проверяемой: любое утверждение можно сверить с настройками.
Как идёт работа
Три-семь рабочих дней:
- разбираем внешние подключения страницы по сетевым запросам;
- переносим хранение и копии в Россию, где это нужно;
- настраиваем запуск необязательных скриптов только после согласия;
- добавляем в формы отдельную неотмеченную галочку со ссылкой на политику;
- чистим доступы в админке и готовим сведения для уведомления оператора в Роскомнадзор.
Для образовательных проектов дополнительно смотрим скорость страниц регистрации: оптимизация загрузки напрямую влияет на число дошедших до формы.
IP-адрес и cookie – это персональные данные?
Сами по себе они не называют человека, но в связке с заявкой позволяют его определить. Надзорная практика трактует такие идентификаторы широко, поэтому безопаснее описать их в политике, чем спорить о трактовке.
Нужно ли уведомление о cookie, если формы на сайте нет?
Если стоят счётчики, сбор данных о посетителях идёт, и предупредить о нём стоит. Уведомление занимает одну строку внизу экрана и не мешает чтению.
Что проверить в личном кабинете в первую очередь?
Три вещи: не открываются ли страницы кабинета без авторизации по прямой ссылке, не индексируются ли они поиском и не лежат ли загруженные файлы в общедоступной папке. Эти три проблемы встречаются чаще всех остальных вместе.
Проверим, какие сервисы получают данные ваших посетителей, и приведём схему в порядок: +7 (901) 417-22-12. Смотрите также разделы услуг и цен.