Сбор ПДн через Яндекс.Формы: как соблюсти 152-ФЗ

Закон (ст. 6 ч. 3 152-ФЗ) требует при передаче данных для обработки третьему лицу заключить с ним договор, устанавливающий обязанности по конфиденциальности и безопасности данных. В данном случае Яндекс выступает стороной, осуществляющей обработку по поручению оператора. На практике отдельного подписания бумажного договора с Яндексом обычно не происходит – вместо этого отношения регулируются публичной офертой и условиями использования сервиса «Яндекс.Формы». Важный момент: согласно Условиям использования сервиса для создателей форм, Яндекс и организация рассматриваются как самостоятельные операторы персональных данных респондента. Иными словами, Яндекс не позиционируется как «обработчик по поручению» в классическом смысле, а обрабатывает данные в пределах, необходимых для работы сервиса, параллельно с оператором. Тем не менее, со стороны оператора рекомендуется задокументировать факт привлечения Яндекса для хранения/обработки полученных через форму данных. Это можно сделать, например, в политике конфиденциальности («Мы используем облачный сервис Яндекс.Формы для сбора и хранения анкет; обработка данных сервисом осуществляется на основании договора-оферты, при этом сервис обеспечивает конфиденциальность и безопасность персональных данных в соответствии с законодательством РФ»). 

Так же не забудьте включить сведения о Яндексе в реестр процессов ПДн организации и уведомление в Роскомнадзор. Например, при описании «мест хранения и обработки ПДн» указать: «серверы ООО “Яндекс”, расположенные на территории РФ (облачный сервис для анкет)». Это покажет регулирующему органу, что передача данных внешнему провайдеру формально учтена.

Важно: Проверить, не противоречат ли условия Яндекса вашим потребностям. Яндекс запрещает сбор через свои формы специальных категорий данных (национальность, здоровье, религия, интимная жизнь, судимость и т.п.). Если ваша форма пытается собрать что-то подобное, это не только незаконно без отдельного разрешения, но и нарушит правила сервиса. Также Яндекс может ограничить доступ или удалить форму, если посчитает, что вы нарушаете закон или права третьих лицy. Поэтому убедитесь, что в заявке вы запрашиваете только нечувствительные персональные данные (ФИО, контакты и пр.) и делаете это законно.