Нужно ли согласие на обратный звонок на сайте: разбор 152-ФЗ

Виджет обратного звонка стоит почти на каждом сайте услуг: посетитель оставляет номер, через минуту ему перезванивают. Вопрос, нужно ли согласие на обратный звонок на сайте, звучит просто, но за ним прячутся сразу три разных: нужен ли чекбокс под формой callback, нужно ли согласие на запись разговора и не превращается ли запись голоса в биометрию, за которую спрашивают отдельно и строго. Разберём каждый по норме, покажем, где хватает основания без галочки, а где согласие всё же нужно, и что грозит, если основания нет вовсе.

Телефон это персональные данные, а callback это их обработка

Начнём с того, что часто упускают. Номер телефона относится к персональным данным: по нему можно связаться с конкретным человеком, а вместе с другими сведениями он его идентифицирует. Как только посетитель вводит номер в форму обратного звонка, владелец сайта начинает обрабатывать персональные данные и становится оператором по 152-ФЗ. Неважно, лежит номер в базе виджета, приходит вам на почту или падает в мессенджер: собрали и храните значит уже обрабатываете.

Отсюда и растёт частое заблуждение: раз это персональные данные, то под каждой формой callback обязателен чекбокс «согласен на обработку». На деле нет. Закон разрешает обрабатывать данные не только по согласию. Согласие это лишь одно из оснований, и для обратного звонка оно чаще всего не главное.

Основание важнее галочки: когда чекбокс не нужен

152-ФЗ перечисляет основания, при которых обработка законна. Согласие субъекта это только одно из них. Другое основание: обработка необходима для заключения или исполнения договора, стороной которого выступает сам человек, либо для действий по его инициативе.

Обратный звонок ложится ровно сюда. Посетитель сам оставляет номер и сам просит перезвонить, чтобы обсудить услугу или заказ. Это его инициатива и шаг к возможному договору. Значит, основание для обработки номера рождается из самого действия человека, а отдельная галочка «даю согласие на обработку персональных данных» под формой callback юридически не обязательна, пока номер используется только для того, ради чего его оставили: перезвонить по запросу.

Всё держится на слове «только». Инициатива человека даёт основание на обратный звонок по существу запроса, не шире. Стоит захотеть использовать тот же номер сверх этого, и режим меняется.

Согласие по статье 9 становится нужным, когда обработка выходит за рамки исходной цели. Типичные примеры:

• добавить номер в базу для рекламных рассылок и обзвонов;
• передать контакт партнёру или другому лицу;
• использовать номер для целей, которые человек не имел в виду, оставляя заявку на звонок.

Для таких целей нужно самостоятельное, конкретное и информированное волеизъявление под понятную цель. Общая галочка «со всем согласен» такую цель не закрывает. Отсюда простой вывод. Если callback это чистый «перезвоните мне», хватает основания и политики. Если вы заодно собираете базу для маркетинга, под неё нужна своя, честно сформулированная галочка согласия, отдельная от кнопки заказа звонка.

Политику обработки данных публиковать нужно всегда

Даже когда чекбокс не обязателен, одно требование не отпадает никогда. Оператор, который собирает персональные данные через интернет, обязан опубликовать документ о политике обработки персональных данных и обеспечить к нему неограниченный доступ. На практике это значит, что ссылка на политику должна быть заметной и открываться без регистрации, а поставить её рядом с формой обратного звонка будет только к месту.

Политика закрывает вопросы, которые встают у человека, когда он оставляет номер: кто оператор, зачем берут данные, на каком основании, сколько хранят, как отозвать согласие или потребовать удаления. Если такого документа в открытом доступе нет, это уже самостоятельное нарушение, и галочка под формой тут ни при чём.

Запись разговора это тоже обработка данных

Многие callback-сервисы и IP-телефония пишут разговоры «для контроля качества». Такая запись это тоже обработка персональных данных: в ней и номер, и голос, и содержание беседы, где человек нередко называет имя, адрес, детали заказа. Значит, для записи нужно законное основание, ровно как и для самого номера.

Логика оснований здесь та же. Если запись идёт в рамках работы с обращением клиента и ради качества обслуживания по его же заявке, она держится на том же основании, что и обратный звонок. Отдельного письменного согласия на саму запись закон в этом случае не требует. Но остаётся гигиеническое требование информирования, и его стоит соблюдать.

На практике абонента предупреждают о записи в самом начале разговора: то самое «разговор может записываться». Отдельной статьи с номером и своей санкцией под это нет; предупреждение вытекает из общей обязанности быть прозрачным перед человеком, чьи данные вы обрабатываете. Оно снимает претензию «меня записали втайне» и ложится в принцип информированности. Считайте это правилом гигиены: за молчание о записи отдельного штрафа нет, но предупреждение убирает лишние поводы для жалоб.

Запись разговора это не биометрия, пока вы не опознаёте по голосу

Самый пугающий миф вокруг записи звонков звучит так: раз пишем голос, значит собираем биометрию, а за биометрию спрашивают отдельное письменное согласие и по всей строгости. Разберём по норме, потому что путаница здесь обходится дорого.

Закон определяет биометрические персональные данные как сведения о физиологических и биологических особенностях человека, которые оператор использует для установления личности. Всё держится на словах «используемые для установления личности». Биометрию создаёт не сам факт записи голоса, а цель, ради которой этот голос обрабатывают.

Обычная запись разговора «для контроля качества» под это определение не подпадает. Вы не строите по записи голосовой слепок и не опознаёте человека по тембру, вы просто храните беседу как обычные персональные данные. Голос становится биометрией лишь тогда, когда оператор применяет голосовую идентификацию или аутентификацию: сравнивает образец голоса с эталоном, чтобы установить или подтвердить личность звонящего. Это отдельная технология со своими требованиями, и сама по себе запись её не включает.

Для callback вывод простой. Пока вы просто записываете звонки и не опознаёте людей по голосу, режим биометрии и связанное с ним письменное согласие не включаются. Пугать себя формулой «запись звонка равно биометрия» не нужно. А вот если вы внедряете голосовую идентификацию, это уже другая тема с другими требованиями, и разбирать её стоит отдельно; ориентир по строгому режиму мы даём в материале о согласии на биометрию.

Что грозит, если основания и политики нет

Теперь про санкции, без нагнетания. Ситуаций тут две, они самостоятельные, и складывать их между собой не нужно.

Первая: обработка номера вообще без законного основания или использование его не по той цели, ради которой человек его оставил. Например, номер из формы обратного звонка ушёл в базу для рекламного обзвона, а основания под это нет. Это состав по части 1 статьи 13.11 КоАП.

Вторая ситуация: на сайте нет политики обработки персональных данных в открытом доступе или до неё нельзя добраться. Это отдельный состав по части 3 статьи 13.11 КоАП, для юридических лиц штраф от 30 000 до 60 000 ₽, а первым нарушением возможно и предупреждение вместо штрафа.

Это вилка по КоАП, а не юридическое заключение: конкретный размер и саму меру определяет орган с учётом обстоятельств, и часто дело обходится предупреждением. Важнее другое. За обычный callback с записью звонка не наступает ответственность «как за биометрию» и не применяется повышенный состав про письменное согласие: для номера телефона и обычной записи разговора это завышение квалификации. Реальные риски здесь скромнее, чем пугают в интернете, и снимаются парой правок.

Как проверить свои виджеты и политику

Пройдите по сайту глазами человека, который оставляет номер, и сверьтесь по порядку:

1. Найдите все точки сбора номера: виджет обратного звонка, всплывающие окна «перезвоним за 30 секунд», формы заявки, кнопки мессенджеров. Их часто больше, чем кажется.
2. Проверьте, есть ли рядом с каждой формой видимая ссылка на политику обработки персональных данных и открывается ли она без регистрации.
3. Решите по каждой форме, для чего реально используется номер. Только перезвон по запросу это одно основание; попадание в маркетинговую базу требует отдельной честной галочки согласия.
4. Если звонки записываются, убедитесь, что абонента предупреждают о записи в начале разговора.
5. Отдельно проверьте, не подтягивает ли виджет callback сторонние скрипты, которые собирают что-то ещё помимо номера.

Прогнать этот чек-лист по всему сайту разом проще автоматически, чем вручную открывать страницу за страницей. На странице проверки сайта по 152-ФЗ сканер находит формы и внешние виджеты и показывает, где рядом с точкой сбора нет ссылки на политику или где политики не хватает вовсе. Разбор конкретного случая это не заменит, но подскажет, с какой формы и какого документа начинать.

Как привести callback в порядок

Если проверка что-то выявила, план короткий:

• Разместите политику обработки персональных данных и дайте на неё видимую ссылку в подвале и рядом с формами обратного звонка. Что должно быть внутри документа, разобрано в материале о содержании политики конфиденциальности.
• Оставьте форму callback без обязательного чекбокса согласия, если номер идёт только на перезвон по запросу. Не плодите галочки там, где основание и так есть.
• Своя, честно сформулированная галочка согласия нужна только под цели, которые выходят за перезвон: рассылки, обзвоны, передача контакта третьим лицам. Пишите цель конкретно, а не «согласен со всем».
• Если разговоры пишутся, добавьте в начало звонка короткое уведомление о записи.
• Не оформляйте обычную запись звонков как биометрию: пока вы не опознаёте людей по голосу, отдельное письменное согласие на запись не требуется.

Как устроен сбор данных через формы в целом, с примерами, когда галочка нужна, а когда нет, мы разбираем в статье про сбор персональных данных через формы на сайте.

Частые вопросы

Нужен ли чекбокс согласия под формой обратного звонка? Если номер используется только для перезвона по запросу самого человека, отдельная галочка согласия не обязательна: основанием служит инициатива субъекта и шаг к договору. Чекбокс нужен, если тот же номер идёт в маркетинговую базу или передаётся третьим лицам.

Надо ли предупреждать о записи телефонного разговора? Да, это правильная практика. Абонента информируют о записи в начале разговора коротким «разговор может записываться». Прямой статьи со своим штрафом за молчание нет, но предупреждение выполняет принцип информированности и заранее снимает жалобы на скрытую запись.

Запись звонка это биометрия? Нет, если вы не опознаёте человека по голосу. Биометрией голос становится, только когда оператор использует его для установления личности через голосовую идентификацию. Обычная запись «для контроля качества» под режим биометрии не подпадает.

Нужна ли политика, если на сайте только виджет обратного звонка? Да. Как только вы собираете номера через интернет, вы обязаны опубликовать политику обработки персональных данных и обеспечить к ней открытый доступ, независимо от наличия галочки под формой.

Самозанятого штрафуют так же, как компанию? Нет. Самозанятый отвечает как физическое лицо, и суммы по статье 13.11 КоАП для него заметно ниже, чем для юридического лица. Точные вилки по типам лиц приведены в таблице выше.

Коротко

Номер из формы обратного звонка это персональные данные, а callback это их обработка, поэтому у вас должно быть основание и опубликованная политика. Отдельный чекбокс согласия под формой обычно не нужен: перезвон по запросу человека сам по себе даёт основание, а согласие требуется только для целей сверх перезвона, вроде рассылок. Запись разговора это тоже обработка, о ней стоит предупреждать в начале звонка, но обычная запись «для качества» не является биометрией, пока вы не опознаёте людей по голосу. За обработку без основания предусмотрен штраф по части 1 статьи 13.11 КоАП, за отсутствие политики в доступе по части 3, для юрлиц это вилки в сотни тысяч и десятки тысяч рублей соответственно; конкретную меру и размер определяет орган с учётом обстоятельств, и часто дело обходится предупреждением. Проверить свои виджеты и политику можно за минуту вручную по чек-листу или автоматически.