Через сайт можно собирать персональные данные?
Что считается персональными данными?
Под персональными данными (ПД) обычно понимают любую информацию, по которой можно прямо или косвенно идентифицировать человека:
- ФИО, e‑mail, телефон
- Никнеймы, ссылки на соцсети
- Адрес, место работы, должность
- IP‑адрес, идентификаторы устройств и аккаунтов
- Ответы в анкетах, если из них можно понять, о каком человеке речь
Любая форма обратной связи или анкета, где человек оставляет контакты или пишет о себе — это уже сбор ПД.
А сбор ПД автоматически запускает для организации юридические обязанности: уведомления регуляторов, локализация баз, договоры с подрядчиками, требования к защите данных и т.д.
Общедоступные персональные данные — персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта ПД или на которые в соответствии с законодательством не распространяется требование соблюдения конфиденциальности.
Примеры общедоступных ПД:
- ФИО и должность сотрудника на официальном сайте организации (с его согласия или в соответствии с Законом);
- ФИО и контактный телефон в разделе «Контакты» (с согласия лица или в соответствии с Законом);
- ФИО победителей конкурса (с их согласия на публикацию);
- ФИО и фотография в новостной статье (с согласия лица).
Конфиденциальные персональные данные — ПД, доступ к которым ограничен законодательством. Примеры: данные паспорта, номера банковских карт, медицинские диагнозы, информация о судимости, биометрические данные и т.д.
Избыточные персональные данные — ПД, которые не требуются для достижения заявленной цели обработки.
Пример: если вы собираете обратную связь от родителей через форму на сайте, вам достаточно имени и email/телефона. Номер паспорта, адрес прописки, личный номер — это избыточные ПД для данной цели.
Субъект персональных данных — физическое лицо, которому принадлежат персональные данные.
Обработка персональных данных — любое действие с ПД: сбор, запись, систематизация, накопление, хранение, изменение, использование, распространение, обезличивание, блокирование, удаление.
О платформе CMS "Веб-Мастерская"
CMS «Веб-Мастерская» — это платформа с повышенным уровнем защиты данных. Мы имеем сертификат соответствия, а наш хостинг размещён в защищённом республиканском центре обработки данных РЦОД (БИКЛАУД), что выгодно отличает нас от стандартных CMS (WordPress, Joomla, Drupal) на обычном хостинге.
Однако важно понимать уровень защиты нашей платформы:
- ✅ Мы находимся на несколько ступеней выше, чем обычные CMS на стандартном хостинге.
- ⚠️ Но мы находимся на несколько уровней ниже, чем специализированные сервисы с высокоуровневыми системами защиты информации, аттестованные для работы с конфиденциальными и особыми категориями персональных данных.
Это означает, что наша платформа подходит для работы с общедоступными персональными данными, но не предназначена для обработки конфиденциальных ПД.
Для работы с конфиденциальными и особыми категориями персональных данных необходимо использовать сервисы, которые прошли соответствующую аттестацию (обращения.бел и другие АИС республиканского уровня).
ПРАВИЛА работы с ПД в "Веб-Мастерская":
Правило 1. Запрет на сбор и хранение ПД без согласия субъектов ПД
Для сайтов на платформе CMS «Веб-Мастерская» запрещается:
- Организовывать сбор и хранение любых персональных данных без согласия субъектов ПД.
- Собирать ПД без разъяснения субъектам их прав, связанных с обработкой персональных данных.
Это правило действует как при использовании встроенных инструментов CMS «Веб-Мастерская» (формы обратной связи, опросы, анкеты), так и при подключении сторонних сервисов (Google Forms, Яндекс.Формы и т.п.).
Пример нарушения:
Школа разместила на сайте форму "Задать вопрос", где запрашивает ФИО, контактный телефон и контактный еmail, но не разместила информацию о том:
- кто и зачем собирает эти данные;
- как долго они будут храниться;
- какие права имеют субъекты ПД (право на доступ, исправление, удаление своих данных).
и не запросила у субъектов ПД явного и однозначного разрешения на обработку их ПД с ссылкой на Политику в отношении обработки ПД.
Как правильно:
После формы разместить чекбоксы с текстом:
ВАЖНО:
1. Настройки сайта должны быть выполнены таким образом, чтобы субъект ПД мог отправить свои ПД (нажать на кнопку "отправить") только, если все чекбоксы активированы (дано явное и однозначное согласие). Если хотя бы один любой из чекбоксов не активирован - кнопка "Отправить" должна быть неактивной (нельзя отправить данные).
2. Обязательно нужно указывать ссылку на
3. Соответственно в кто и зачем собирает эти данные; как долго они будут храниться; кто к ним имеет доступ; другая информация требуемая по Закону.
Правило 2. Разрешён сбор только общедоступных персональных данных
Даже при наличии согласия субъектов ПД и разъяснения им их прав, на платформе CMS «Веб-Мастерская» разрешается собирать и хранить только общедоступные персональные данные.
Что можно собирать:
- ФИО (имя, фамилия, отчество);
- Контактный телефон;
- Контактный еmail;
Что НЕЛЬЗЯ собирать и хранить в системе:
- Данные паспорта (серия, номер, дата выдачи);
- Место проживания и регистрации;
- Номера банковских карт;
- Медицинские диагнозы, информация о состоянии здоровья;
- Биометрические данные (отпечатки пальцев, сканы сетчатки глаза);
- Информация о судимости;
- Данные о национальности, религиозных убеждениях, политических взглядах;
- Любые другие конфиденциальные ПД.
Пример нарушения:
Поликлиника разместила на сайте форму предварительной записи на приём, где запрашивает:
- ФИО пациента ✅
- Телефон ✅
- Номер медицинской карты ❌
- Жалобы на здоровье (симптомы) ❌
Почему это нарушение?
Номер медицинской карты и информация о состоянии здоровья — это конфиденциальные ПД, которые нельзя собирать через обычную форму на сайте без специальных мер защиты.
Как правильно:
Форма на сайте должна запрашивать только:
- ФИО пациента;
- Телефон для связи и/или контактный email;
- Желаемую дату и время приёма.
Все остальные данные (номер карты, жалобы) пациент сообщает лично при визите в регистратуру или по телефону.
Правило 3. Обязательное предупреждение о недопустимости оставлять избыточные ПД
Перед всеми формами сбора персональных данных (обратная связь, опросы, анкетирование) необходимо размещать предупреждение о недопустимости оставлять избыточные и/или не запрашиваемые персональные данные, особенно выходящие за рамки общедоступных ПД.
Как это сделать:
Разместите перед формой обратной связи или анкетой следующий текст:
⚠️ ВНИМАНИЕ!
Пожалуйста, не указывайте в сообщении:
- данные паспорта (серия, номер);
- номера банковских карт;
- медицинские диагнозы и информацию о состоянии здоровья;
- любую другую конфиденциальную информацию.
Для обратной связи достаточно указать ваше имя и контактный email или телефон.
Если вам необходимо передать конфиденциальную информацию, пожалуйста, свяжитесь с нами по телефону или посетите нас лично.
Пример:
Детский сад разместил форму обратной связи. Родитель в поле «Ваше сообщение» написал:
«Здравствуйте! Моя дочь Иванова Мария Петровна, 15.03.2018 г.р., проживающая по адресу г. Минск, пр-т. Сталина, д. 10, кв. 5, посещает группу № 3. У неё аллергия на молочные продукты. Прошу учесть это при организации питания. Мой паспорт: МР 1234567, выдан 01.01.2010».
Проблема:
Родитель оставил избыточные ПД:
- полную дату рождения ребёнка;
- точный адрес проживания;
- медицинскую информацию (диагноз);
- данные своего паспорта.
Для обратной связи достаточно было написать: «Здравствуйте! У моей дочери Маши из группы № 3 особые потребности в питании. Прошу связаться со мной для обсуждения питания. Мой телефон: +375 29 000-00-00».
Если бы перед формой было размещено предупреждение, родитель, возможно, не стал бы указывать избыточные данные.
Правило 4. Немедленное обезличивание или удаление избыточных ПД
Если субъект ПД проигнорировал предупреждение и передал в систему избыточные и/или не запрашиваемые персональные данные (особенно конфиденциальные), такие данные после обнаружения редактором или администратором сайта должны быть немедленно обезличены или удалены из системы.
Что значит "обезличить"?
Обезличивание — это изменение ПД таким образом, чтобы без использования дополнительной информации невозможно было определить принадлежность ПД конкретному субъекту.
Пример обезличивания:
Было (в сообщении от родителя):
«Моя дочь Иванова Мария Петровна, 15.03.2018 г.р., проживающая по адресу г. Минск, пр-т. Сталина, д. 10, кв. 5, посещает группу № 3. У неё аллергия на молочные продукты. Мой паспорт: МР 1234567».
Стало (после обезличивания редактором):
«Моя дочь Иванова Мария Петровна посещает группу № 3. У неё особые потребности в питании».
Когда удалять, а когда обезличивать?
- Удалять — если информация не нужна для работы (например, данные паспорта в форме обратной связи).
- Обезличивать — если суть обращения нужно сохранить, но без привязки к конкретному человеку.
Ответственность редактора/администратора:
Редактор или администратор сайта обязан регулярно проверять поступающие через формы обратной связи сообщения и немедленно обезличивать или удалять избыточные ПД.
Рекомендуемая периодичность проверки: не реже 1 раза в неделю (для активных сайтов — ежедневно).
Правило 5. Немедленное удаление ПД с истекшим сроком согласия
Редактор или администратор сайта обязан регулярно проверять сообщения поступившие через формы обратной связи на предмет истечения сроков согласия субъектов ПД на их обработку.
Если срок истек то необходимо немедленно удалять эти ПД из системы.
Рекомендуемая периодичность проверки: не реже 1 раза в неделю (для активных сайтов — ежедневно).
Правило 6. Запрет на распространение ПД с нарушением законодательства
Запрещается использовать сайты на платформе CMS «Веб-Мастерская» для распространения (публикации) персональных данных, если это нарушает Закон Республики Беларусь «О защите персональных данных».
В частности запрещено:
-
Публиковать ПД без согласия субъекта ПД или его законных представителей.
Пример нарушения:
Школа опубликовала на сайте список победителей школьных олимпиад с указанием ФИО, даты рождения, адреса проживания и телефонов родителей без получения согласия родителей.Как правильно:
Перед публикацией любых ПД (даже ФИО) необходимо получить письменное согласие субъектов ПД или их законных представителей (для детей). -
Публиковать конфиденциальные ПД.
Пример нарушения:
Поликлиника опубликовала на сайте отчёт о диспансеризации с указанием ФИО пациентов и выявленных заболеваний.Как правильно:
Публиковать только обезличенную статистику: «Всего обследовано 150 человек, выявлено 20 случаев заболеваний органов дыхания» (без указания ФИО).
Подробнее про распространение ПД читайте в статье "Публикация на сайте информации ограниченного распространения - опасные мифы"
Меры ответственности за нарушение правил
В случае обнаружения на сайтах платформы «Веб-Мастерская» нарушения (или подозрения на нарушение) законодательства о защите персональных данных, служба технической поддержки имеет право:
- Незамедлительно заблокировать или удалить спорный контент (форму, страницу, сообщение).
- Провести разбирательство с владельцем сайта для выяснения обстоятельств.
- Потребовать устранения нарушения в установленный срок.
- Заблокировать сайт полностью (в крайних случаях) до устранения нарушения.
Почему мы действуем так?
Эта мера направлена на:
- защиту прав субъектов персональных данных;
- защиту всех пользователей платформы от возможных санкций со стороны контролирующих органов;
- соблюдение законодательства Республики Беларусь.
Мы просим с пониманием отнестись к этим мерам. Блокировка или удаление контента производится не для наказания, а для предотвращения более серьёзных последствий (штрафов, судебных разбирательств, репутационного ущерба).
После устранения нарушения доступ к сайту (контенту) будет восстановлен.
Чек-лист для редакторов и администраторов сайтов CMS "Веб-Мастерская"
Перед размещением любой формы сбора ПД или публикацией информации с ПД проверьте:
- Получено ли согласие субъектов ПД на обработку их данных?
- Разъяснены ли субъектам ПД цели, объемы и сроки обработки ПД?
- Разъяснены ли субъектам их права (доступ, исправление, удаление данных)?
- Собираются ли только общедоступные ПД (ФИО, телефон, email)?
- Размещено ли предупреждение о недопустимости оставлять избыточные/конфиденциальные ПД?
- Проверяются ли регулярно поступающие сообщения на наличие избыточных ПД?
- Удаляются/обезличиваются ли немедленно обнаруженные избыточные ПД?
- Удаляются ли немедленно ПД с истекшим сроком согласия?
- Не публикуются ли ПД без согласия субъектов ПД?
- Не публикуются ли конфиденциальные ПД (паспортные данные, медицинская информация и т.п.)?
Если хотя бы на один вопрос вы ответили «Нет» или «Не уверен» — не размещайте форму или информацию до устранения проблемы.
Полезные ссылки и ресурсы
Законодательство Республики Беларусь:
- Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»
- Оперативно-аналитический центр при Президенте Республики Беларусь — разъяснения по деятельности ОАЦ в сфере кибербезопасности и защиты информации
⚠️ ВАЖНО: ДАННАЯ СТАТЬЯ НЕ ЯВЛЯЕТСЯ ЮРИДИЧЕСКОЙ КОНСУЛЬТАЦИЕЙ
Представленная информация носит исключительно ознакомительный и рекомендательный характер. Авторы не являются юристами и не несут ответственности за возможные последствия применения данных рекомендаций без дополнительной профессиональной консультации.
Для получения правовой оценки вашей конкретной ситуации обратитесь к квалифицированному юристу, специализирующемуся на защите персональных данных.