Нужно ли отдельное согласие на веб-пуш уведомления по 152-ФЗ

Разрешение браузера на пуш-уведомления не заменяет согласие на обработку персональных данных по 152-ФЗ. Разбираемся, какие данные собирает веб-пуш подписка и как оформить это в политике сайта.

Владелец интернет-магазина решил напоминать покупателям о брошенной корзине и подключил на сайте всплывающее окно браузера «Разрешить уведомления». Юрист компании потом спросил, нужно ли отдельное согласие на обработку персональных данных для такой рассылки, или разрешения в браузере достаточно. Ответ короткий: разрешения браузера мало.

Что собирает сайт при подписке на веб-пуш

Когда посетитель нажимает «Разрешить», браузер создаёт для него уникальный адрес подписки, endpoint. Через этот адрес сайт потом отправляет push-сообщения именно этому человеку, на этом устройстве и в этом браузере. Вместе с адресом сайт обычно хранит историю рассылок: какие сообщения ушли, какие открыли, по каким кликнули, в какое время человек обычно онлайн.

По отдельности endpoint выглядит как случайный набор символов. Но в связке с историей поведения он превращается в устойчивый идентификатор конкретного человека: даже без имени и телефона сайт может проследить его действия на протяжении месяцев. Персональными данными по 152-ФЗ считается любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Идентификатор подписки на пуш вместе с историей взаимодействия этому определению отвечает.

Разрешение браузера не заменяет согласие на обработку персональных данных

Диалог «Разрешить уведомления» — техническая настройка браузера. Она включает саму возможность показывать всплывающие сообщения на устройстве и ничего не сообщает пользователю о том, кто и зачем будет обрабатывать данные о его поведении. Оператор персональных данных не может ссылаться на нажатую кнопку браузера как на правовое основание обработки.

Нужно отдельное действие пользователя, из которого видно, что он согласился именно на сбор и обработку данных: кто их обрабатывает, зачем, как долго хранит и как можно отписаться. Проще всего оформить это до появления системного диалога браузера. Разместите на сайте короткое пояснение со ссылкой на политику обработки персональных данных и кнопку «Разрешить уведомления», после нажатия на которую уже открывается системный запрос браузера.

Что делать оператору сайта

• Опишите в политике обработки персональных данных, что сайт использует веб-пуш уведомления. Перечислите, какие данные при этом собираете, например идентификатор подписки, историю отправок и открытий, метрики устройства.
• Добавьте перед системным окном браузера собственный экран с объяснением и ссылкой на политику, чтобы согласие фиксировалось раньше технического разрешения.
• Ведите журнал согласий и фиксируйте, кто подписался, когда и на какую версию политики.
• Дайте пользователю кнопку отписки на сайте и удаляйте идентификатор подписки из базы после отказа.
• Если рассылку технически обслуживает сторонний сервис, например Firebase Cloud Messaging или OneSignal, заключите с ним договор поручения на обработку персональных данных. Такой сервис получает доступ к идентификаторам подписчиков и становится обработчиком по поручению оператора.

Проверить, все ли эти пункты уже закрыты на сайте, поможет

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Разрешение браузера на пуш-уведомления — это то же самое, что согласие на обработку персональных данных?

Нет. Разрешение браузера включает показ системных уведомлений на устройстве. Согласие по 152-ФЗ — отдельное действие пользователя, из которого видно, что он понимает, какие данные о нём собирают и зачем.

Какие данные относятся к персональным при подписке на веб-пуш

Идентификатор подписки, история открытий и кликов по уведомлениям, иногда IP-адрес и параметры устройства. Вместе они позволяют выделить конкретного человека и проследить его поведение на сайте.

Нужно ли включать веб-пуш в политику обработки персональных данных

Да. Опишите, что сайт использует push-уведомления, какие данные собирает и как их использует, и разместите ссылку на политику до того, как в браузере появляется системный запрос разрешения.

Что делать, если рассылку обслуживает сторонний сервис вроде OneSignal или Firebase

Заключить с ним договор поручения на обработку персональных данных. Сервис получает доступ к идентификаторам подписчиков и с точки зрения 152-ФЗ обрабатывает персональные данные по поручению оператора сайта.