152-ФЗ о персональных данных: закон простыми словами

152-ФЗ регулирует, как любая организация или предприниматель может собирать, хранить, использовать и передавать данные о конкретных людях — имя, телефон, e-mail, адрес и так далее. Закон не запрещает работать с такими данными, он требует делать это по правилам: с законным основанием, с согласия человека (кроме отдельных исключений) и с обеспечением их защиты.

Оператором закон называет любого, кто определяет, зачем и как обрабатываются данные — не только крупную компанию с отделом ИТ, а и ИП с формой заявки на сайте, и ООО с базой клиентов в таблице. Форма веб-сайта не меняет сути: если вы собираете имя и телефон посетителя, вы уже оператор персональных данных со всеми вытекающими обязанностями.

Уведомить Роскомнадзор о начале обработки данных и попасть в реестр операторов. Опубликовать политику обработки персональных данных — на сайте, если он есть. Получать явное согласие на обработку — с чекбоксом, а не текстом по умолчанию. Оформить внутренние документы: положение об обработке данных, назначить ответственного, вести учёт операций с данными. Обеспечить защиту данных — от разграничения доступа до плана действий на случай утечки.

Каждый из этих пунктов — отдельная тема, которые мы разбираем подробнее в других статьях: что относится к персональным данным, кто должен быть ответственным, как вести журнал учёта.

Если у вас нет ни одного из перечисленных документов — начните с уведомления в РКН: это первый формальный шаг, который фиксирует вас как оператора, и без него остальные документы теряют смысл с точки зрения проверки. Дальше — политика и согласия, если есть сайт, и внутренние документы, если есть сотрудники или больше одного канала сбора данных.