Персональные данные в мобильном приложении: что требует 152-ФЗ
Как только приложение спрашивает телефон для заказа, вы становитесь оператором персональных данных со всеми вытекающими обязанностями. Хорошая новость: если у вас уже работает сайт с формой заказа, большая часть требований выполнена — приложение встраивается в существующую схему. Разберём, что нужно проверить.
Что считается персональными данными
Практически всё, что позволяет определить конкретного человека: имя, телефон, email, адрес доставки, история заказов, привязанная к профилю. Отдельно стоит помнить, что идентификаторы устройства и cookie в связке с профилем тоже попадают в эту категорию — то есть сбором данных считается не только форма заказа.
Базовый набор документов
- Политика обработки персональных данных — публичный документ, доступный из приложения по ссылке. Не декоративный: в нём указываются цели обработки, перечень данных, сроки хранения и способ отзыва согласия.
- Согласие пользователя — активное действие, а не заранее отмеченная галочка. Формулировка «оформляя заказ, вы соглашаетесь» для рассылок не подходит: согласие на маркетинговые сообщения должно быть отдельным.
- Уведомление в Роскомнадзор о намерении обрабатывать персональные данные. Подаётся через сайт ведомства, пошлины нет. Если вы уже подавали его как оператор сайта, повторно по приложению обычно не требуется — но проверьте, что заявленные цели покрывают новый канал.
Хранение на серверах в России
Требование локализации означает, что база с данными российских пользователей должна физически находиться в РФ — первичный сбор и хранение идут на российских серверах. Практически это вопрос выбора хостинга: размещение у российского провайдера закрывает требование. Если приложение синхронизируется с зарубежным сервисом (например, внешней CRM или рассылочной платформой), это отдельный вопрос — трансграничная передача требует своих оснований.
Что должно быть в самом приложении
- Ссылка на политику в доступном месте — обычно в профиле или в подвале.
- Отдельная отметка согласия при оформлении заказа и отдельная — при подписке на уведомления.
- Возможность отписаться от рассылок в один шаг, без письма в поддержку.
- Возможность удалить профиль и данные по запросу пользователя.
- Сбор только того, что действительно нужно: если для самовывоза адрес не требуется, не спрашивайте его.
Роли, когда приложение делает подрядчик
Вы остаётесь оператором данных — это ваши клиенты. Исполнитель, который разместил приложение и обслуживает его, выступает обработчиком по вашему поручению. Поручение должно быть оформлено в договоре с перечнем действий и требованиями к защите — без него ответственность за нарушение всё равно ляжет на вас, а спрашивать с подрядчика будет не на основании чего. Другие пункты, которые стоит проверить, собраны в чек-листе по договору.
Про ответственность
Штрафы за нарушения в этой области в последние годы заметно выросли, а за утечки введены отдельные, оборотные санкции. Но практический риск для небольшого магазина обычно не в проверке, а в жалобе клиента, которому не дали отписаться от рассылки. Поэтому механика отписки и удаления профиля — не формальность, а самая полезная часть списка.
Точные формулировки и суммы стоит сверять с действующей редакцией закона или с юристом: требования регулярно меняются, и этот материал даёт ориентиры, а не заменяет правовую консультацию.
Аренда на месяц, 3 месяца или год — от 10 000 ₽/мес, всё обслуживание включено. Полный выкуп с исходным кодом — от 190 000 ₽. На витрине 10 живых демо.
Смотреть тарифы Живые демо