Типичная ситуация
Сайт клиники или салона сделан на конструкторе. Форм на нём нет вовсе, все
кнопки «Записаться» ведут на страницу записи внешнего сервиса. Владелец уверен,
что персональные данные он не собирает, а значит, ни политика, ни уведомление в
Роскомнадзор ему не нужны.
Достаточно открыть эту страницу записи и прочитать, что написано под кнопкой.
Обычно там прямо сказано, что данные обрабатываются сервисом и организацией,
оказывающей услуги. То есть вами.
Почему оператор — вы
НормаОператор — лицо, организующее и (или)
осуществляющее обработку персональных данных, а также определяющее цели
обработки и состав обрабатываемых данных (пункт 2 статьи 3 152-ФЗ).
Обязанность опубликовать политику лежит на операторе, собирающем данные с
использованием сети «Интернет» (часть 2 статьи 18.1).
Цель обработки здесь определяете вы: вам нужна запись клиента на приём.
Состав данных определяете тоже вы. Сервис записи выступает площадкой, а данные
получаете и используете вы. Значит, вы оператор со всеми обязанностями.
Частая ошибкаСчитать, что политика сервиса
закрывает вопрос. Политика Яндекса описывает обработку данных Яндексом. Вашей
обработки она не касается, и субъекту из неё непонятно, кто вы и куда писать
с требованием об удалении данных.
Что нужно сделать
- Опубликовать на своём сайте политику обработки персональных данных со
своими реквизитами.
- Подать уведомление в Роскомнадзор, если оно ещё не подано.
- Проверить, какие данные виджет собирает на самом деле — имя, телефон,
почта, комментарий — и отразить это в целях и категориях в политике.
- Если через поле комментария люди сообщают о жалобах на здоровье, отнестись
к этому внимательнее: это уже особая категория данных.
То же касается мессенджеров
Кнопка «Написать в WhatsApp» действительно уводит сбор на сторону: переписку
получает мессенджер, и через сайт вы ничего не собираете. Но как только вы
переносите контакт клиента в свою таблицу или CRM, вы снова оператор — данные
просто попали к вам другим путём.
Как проверить у себя
- Нажмите на сайте все кнопки записи и заказа и посмотрите, куда они ведут.
- На странице внешнего сервиса прочитайте текст под кнопкой отправки: названы
ли вы там получателем данных.
- Посмотрите, какие поля там заполняются.
- Проверьте, есть ли на вашем сайте политика со ссылкой, доступной с любой
страницы.
- Проверьте себя в реестре операторов Роскомнадзора.
Коротко о главном
Нужна ли политика, если форма записи не своя, а от Яндекс Бизнеса?Да. Обязанность привязана к сбору данных через интернет, а не к тому, чьей формой он сделан. Заявку получаете вы, значит оператор — вы.
Закрывает ли вопрос политика самого сервиса записи?Нет. Политика сервиса описывает обработку данных сервисом. Из неё человеку непонятно, кто вы и куда обращаться с требованием об удалении своих данных.
Что почитать дальше
Проверить свой сайт
Комплайзи открывает сайт в
браузере и смотрит то же самое: есть ли политика и согласие, не проставлена ли отметка
заранее, отправляется ли форма без неё, ставятся ли счётчики до согласия. Первая
проверка бесплатна.
Проверить бесплатно