Здравствуйте, вопрос следующий. Нужно ли подавать данные в Роскомнадзор по разрешении на обработку персональных данных и пояснить мне это, если я человек, у которого есть сайт, где мы запрашиваем номер телефона и имя (без фамилии и отчества) и запускаем на этот сайт рекламу, используя такие вещи, как Яндекс.Метрика?
Ксения, добрый день.
Согласно ст. 3 ФЗ-152 «О персональных данных»
1) персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Таким образом персональные данные — это любая информация, позволяющая прямо или косвенно идентифицировать человека. К ним к примеру относятся:
• ФИО,
• номер телефона,
• паспортные данные,
• адрес проживания,
• электронная почта,
Согласно все той же статьи 3, обработкой персональных данных является:
3) обработка персональных данных — любое действие… с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
То есть если Вы к примеру получаете персональные данные напрямую от клиентов через форму на сайте (и обработку ведете самостоятельно) ведете учет этих данных и обработку, либо осуществляете обработку ПДн сотрудников, то Вы являетесь оператором в соответствии с ФЗ О персональных данных, так согласно ст. 3 ФЗ О персональных данных:
2) оператор — … юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных...
В этом случае Вам требуется подать в РКН уведомление о начале обработки ПД это следует из ч. 1 ст. 22 ФЗ О персональных данных.
Являетесь ли вы оператором персональных данных? Да.
По ФЗ-152 «О персональных данных», оператор это любое лицо, которое организует и/или осуществляет обработку ПД.
Имя + номер телефона = персональные данные, даже без фамилии.
Если вы собираете эти данные через сайт (форма заявки, обратный звонок и т.п.) вы являетесь оператором ПД.
Нужно ли уведомлять Роскомнадзор?.. По закону (ФЗ-152 «О персональных данных») оператор обязан уведомлять Роскомнадзор о начале обработки персональных данных, кроме случаев, когда выполняется одно из условий (например, обработка только для исполнения договора, без передачи третьим лицам, без распространения и т.п.).
Если вы собираете данные только для связи с клиентом (звонок, обратная связь) и не передаёте их третьим лицам, то уведомление можно не подавать (есть исключение).
Но если данные передаются рекламным сервисам, CRM, коллтрекингу или, например, «Яндекс.Метрике» (там есть IP, cookies и др.), формально это уже обработка с привлечением третьих лиц, и уведомление требуется.
Чтобы работать законно и снизить риски нужно разместить Политику обработки персональных данных (отдельная страница, ссылка в футере).
Сделать согласие на обработку (галочка или текст под формой: «Нажимая кнопку, вы соглашаетесь…»).
В политике указать: какие данные собираете (имя, телефон), с какой целью (связь с клиентом, реклама), каким образом храните, кому передаёте (например, Яндекс.Метрика).
Если используете Метрику или другие аналитические сервисы прописать это как передачу третьим лицам.
Удачи!
Оператор персональных данных должен уведомить Роскомнадзор о своем намерении обрабатывать персональные данные до начала их обработки (ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).
В вашем случае вы обязаны
При этом учитывая, что Вы используете ЯМ, которая собирает уникальные сведения о пользователе и позволяет определить уникального посетителя и сформировать сведения о его предпочтениях и поведении на сайте тоже можно отнести к перс. данным.
К тому же согласно п. 19 Условий использования сервиса Яндекс Метрика:
---
Учитывая изложенное Вам следует направить уведомление о начале обработки персональных данных в Роскомнадзор.
А так же на сайте разместить политику обработку ПДн.
При возникновении вопросов обращайтесь.