Как собирать данные лидов на новых площадках и не нарушить 152-ФЗ

Бизнес переходит на новые рекламные каналы, но забывает обновить согласие на обработку персональных данных и политику конфиденциальности под новый способ сбора лидов. Разбираем, что проверить в форме, где должны храниться данные и нужен ли договор поручения с подрядчиком.

Бизнес массово переходит на новые рекламные каналы. Telegram Ads, реклама во ВКонтакте, локальные конструкторы форм и квизов, чат-боты в мессенджерах заменили привычные площадки. Из-за этого перехода часто теряется одна деталь. Согласие на обработку персональных данных и политика конфиденциальности написаны под старую площадку и на новый способ сбора лидов формально не распространяются.

Разбираемся, что меняется при смене рекламного канала и что поправить в документах, чтобы форма захвата заявки не стала поводом для штрафа от Роскомнадзора.

Почему старое согласие не покрывает новую форму

Согласие на обработку персональных данных пишут под конкретную цель, конкретный способ сбора и конкретный список получателей данных. Раньше лиды шли через форму на Facebook* или Instagram*. Сейчас они идут через квиз-лендинг, чат-бота во ВКонтакте или форму в Telegram. Цель обработки при этом может остаться прежней, а вот способ сбора и состав операторов, которые получают доступ к данным, почти всегда меняется. К ним добавляются новый сервис форм, новая CRM, новая рекламная площадка.

Пользователь, который оставил номер телефона в новой форме, формально не давал согласия на передачу данных именно этому сервису. Если в документах указан только старый канал, оператор не сможет подтвердить законность обработки в новом.

Что проверить в форме сбора лида

Пройдите по каждому новому каналу, где собираются заявки. Это может быть лендинг с квизом, чат-бот, форма в мессенджере, виджет обратного звонка.

• Рядом с полями формы стоит отдельный чекбокс согласия на обработку персональных данных. Он не должен быть предустановлен, пользователь ставит галочку сам.
• Рядом с чекбоксом должна быть ссылка именно на политику обработки персональных данных. Ссылка на общие условия использования сервиса здесь не подойдёт.
• В политике перечислены актуальные цели обработки и актуальный список лиц, которым передаются данные, включая сервис форм, CRM и саму рекламную площадку.

Если чекбокса нет или ссылка ведёт на старую политику без нового канала, это и есть разрыв. Из-за него сбор лидов может квалифицироваться как обработка без согласия.

Где хранятся данные нового сервиса форм

Отдельно стоит проверить, где физически находится сервер сервиса, через который приходят заявки. Часть конструкторов квизов, чат-ботов и CRM зарубежные. По 152-ФЗ первичный сбор и хранение персональных данных россиян должны идти на серверах, расположенных в России. Если новый сервис форм хранит данные за рубежом, а первичного сбора на российском сервере нет, это уже нарушение требования о локализации, а не просто пробел в согласии.

Запросите у поставщика сервиса письменное подтверждение, где физически размещены серверы для хранения данных. Устного заверения менеджера недостаточно как доказательства для проверки.

Нужен ли договор поручения с подрядчиком

Агентство, которое настраивает рекламу, и сервис форм, через который идут заявки, обрабатывают персональные данные по поручению оператора. Пользовательское соглашение сервиса или договор на рекламные услуги эту обработку не легализует. Нужен отдельный договор поручения на обработку персональных данных. В нём прописывают цель обработки, перечень действий с данными и обязанность подрядчика соблюдать конфиденциальность и меры защиты.

Без такого договора оператор, то есть бизнес, который заказал рекламу и получает лиды, отвечает за подрядчика как за себя. Это касается и случаев, когда данные утекут именно на стороне сервиса форм или агентства.

Нужно ли обновлять уведомление в Роскомнадзор

Если смена рекламного канала привела к появлению новых целей обработки, новых категорий данных или новых лиц, которым данные передаются, оператор обязан подать в Роскомнадзор уведомление об изменении сведений. Срок на это отведён небольшой, поэтому лучше подать уведомление сразу после того, как изменения зафиксированы. Например, отдельная подача нужна, если раньше собирали только телефон, а новая форма квиза дополнительно спрашивает адрес или сведения о доходе.

Если состав данных и цели остались теми же, а поменялась только площадка размещения формы, отдельное уведомление обычно не требуется. Но политику и согласие всё равно нужно актуализировать под конкретный список сервисов, которые участвуют в обработке.

Что сделать прямо сейчас

1. Составить список всех новых каналов сбора лидов, которые заработали за последние месяцы.
2. Проверить каждый на наличие отдельного чекбокса согласия и актуальной ссылки на политику.
3. Обновить политику обработки персональных данных, указав новые сервисы, цели и способы сбора.
4. Запросить у поставщиков сервисов форм и CRM письменное подтверждение места хранения данных.
5. Заключить договор поручения на обработку персональных данных с агентством и сервисом форм, если такого договора ещё нет.
6. Проверить, изменился ли состав обрабатываемых данных, и при необходимости подать уведомление в Роскомнадзор.

Нужно ли уведомлять РКН? — пройти тест

Если не уверены, что все формы и документы на сайте уже приведены в порядок, проверьте сразу все страницы одним прогоном.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Частые вопросы

Можно ли просто скопировать чекбокс согласия со старой формы на новую?

Технически да, но текст под чекбоксом и политика, на которую он ссылается, должны отражать реальный список сервисов и целей для нового канала. Если скопировать чекбокс, но не обновить политику, согласие всё равно не будет соответствовать фактической обработке.

Что будет, если продолжать собирать лиды через новую форму без обновлённого согласия?

Формально это обработка персональных данных без надлежащего согласия и без актуальной политики. При проверке Роскомнадзора или жалобе от субъекта данных это основание для предписания устранить нарушение и для штрафа по статье 13.11 КоАП РФ.

Нужно ли отдельное согласие на каждую рекламную площадку?

Отдельного документа под каждую площадку не нужно. Важно, чтобы одна актуальная политика и одна форма согласия покрывали все каналы, которые реально используются, с перечислением всех сервисов и целей.

Как быстро нужно обновить документы после смены рекламного канала?

152-ФЗ не устанавливает отдельный срок специально для этой ситуации, но обязанность актуализировать документы возникает с момента, когда меняются цели или состав обработки. Разумный ориентир простой: обновить политику и согласие нужно до того, как через новую форму пройдёт первый реальный лид, а не задним числом.

* Meta Platforms Inc. (Facebook, Instagram) признана экстремистской организацией, её деятельность запрещена на территории России.