Роскомнадзор и персональные данные: как избежать штрафов за нарушения на сайте

Пенза известна медицинским направлением и приборостроением, поэтому у наших заказчиков здесь сходятся две крайности: клиники с самой строгой категорией данных и производственные компании, уверенные, что персональных данных у них нет вообще. Ниже – что меняется в документах и в формах для каждого случая.

Клиники: почему медицинские сведения выделены особо

Данные о состоянии здоровья относятся к особой категории, и режим их обработки строже, чем для обычных контактов. На сайте это выражается не в объёме юридического текста, а в устройстве интерфейса. Мы придерживаемся правила: сайт не принимает диагноз, жалобы и результаты анализов. Заявка содержит имя, телефон и удобное время, всё остальное уточняет администратор по звонку. Такая защита персональных данных сайта достигается настройкой формы, а не оговорками в политике. Как это выглядит на живых проектах – в разделе сайтов для клиник.

Онлайн-запись к врачу: что нельзя показывать в форме

• выпадающий список специализаций, где выбор врача выдаёт характер проблемы;
• поле «опишите симптомы» в открытой форме;
• тема письма с фамилией пациента и названием отделения;
• отправка заявки в мессенджер администратора без ограничений доступа;
• подтверждение записи по SMS с указанием диагноза или процедуры.

Каждый из этих пунктов мы находим регулярно, и все они устраняются доработкой формы и шаблонов писем, без переделки сайта.

Приборостроение и B2B-каталоги: заявки от юрлиц

В форме «запросить техническое задание» указывают ФИО инженера, его рабочий телефон и почту. Это персональные данные, даже если договор потом заключается между организациями. Для производственных сайтов мы описываем цель «обработка запросов и подготовка коммерческих предложений» и отдельно – рассылку технической документации. Смежный сценарий разбираем на странице сайтов для заводов.

Регистрация 152 ФЗ и что идёт после неё

1. Инвентаризация: все формы, чаты, калькуляторы, отклики на вакансии.
2. Документы: политика, тексты согласий, перечень данных, ответственный.
3. Уведомление оператора в Роскомнадзор от имени владельца сайта.
4. Правки в вёрстке и обработчиках форм, ревизия внешних сервисов.
5. Повторная сверка через полгода или после любой доработки сайта.

Последний шаг пропускают почти все, а именно там появляются расхождения: формы поменяли, документы остались прежними. Приведение в соответствие с ФЗ № 152 – это состояние, которое надо поддерживать, а не разовая задача.

Что различает комплекты документов у клиники и у завода

У клиники добавляются правила работы с особой категорией данных, порядок доступа персонала и запрет на пересылку медицинских сведений по открытым каналам. У производства акцент другой: трансграничная передача при работе с иностранными поставщиками и хранение контактов сотрудников контрагентов. Розничный сценарий с адресами и оплатой – это уже третий набор, см. раздел интернет-магазинов.

Можно ли указывать специализацию врача в теме заявки

Лучше не указывать. Нейтральная тема письма и внутренний номер заявки решают задачу, не раскрывая сведений о здоровье в почтовом канале.

Нужен ли SSL-сертификат для соответствия

Да, передача данных должна быть защищена. Отсутствие HTTPS – первое, что фиксируется при проверке сайта на соответствие 152 ФЗ, и исправляется в течение дня.

Что делать, если сайт делали давно и разработчика не найти

Работаем с тем, что есть: доступы к хостингу и админке обычно достаточно. Формы и шаблоны писем правятся почти на любой платформе, дальше сайт можно передать нам на поддержку.

Опишите профиль своей компании и мы скажем, какой режим обработки данных вам нужен и сколько это займёт. Телефон в Пензе: +7 (901) 417-22-12.