Опросы и анкеты: как собирать ответы законно

Маркетолог запускает опрос клиентов через Google Forms, кадровик собирает анкету от новых сотрудников, школа выясняет у родителей аллергии детей на завтраки - и в каждом случае встает один и тот же вопрос: законно ли это с точки зрения обработки персональных данных. Ответ зависит не от инструмента, а от того, что именно спрашивает анкета и что происходит с ответами дальше. Опрос с полем имя и телефон - это обработка персональных данных ничуть не меньше, чем форма заказа в интернет-магазине. Опрос, где невозможно понять, кто именно ответил, - как правило нет.

Дальше - предметно: какие платформы для опросов годятся для российских компаний, как встроить согласие в форму, какие вопросы нельзя задавать без отдельного согласия и что делать с ответами после того, как опрос закрыт.

Опрос - это обработка персональных данных, если по ответу можно узнать человека

Персональные данные - любая информация, которая прямо или косвенно относится к определенному физическому лицу (закон 152-ФЗ О персональных данных от 27.07.2006, статья 3). Для анкеты это простое правило: если в форме есть поле имя, телефон, email или даже связка должность плюс компания, по которой человека легко вычислить, вы собираете персональные данные и обязаны соблюдать закон - вне зависимости от того, называете вы это опросом, анкетой или формой обратной связи.

Правило работает и в обратную сторону. Опрос про то, нравится ли новый дизайн сайта, без единого идентифицирующего поля персональных данных не содержит, и требования 152-ФЗ к нему не применяются. Проблема в том, что большинство анонимных опросов на практике анонимны только на первый взгляд - к этому вернемся в разделе про email в конце анкеты.

На практике эта грань часто путается с удобством для покупателя. Например, интернет-магазин, который просит оценить курьера по шкале от одного до пяти и не собирает никаких контактов, ведет анонимный опрос. Тот же магазин, который сразу подставляет в форму имя и телефон из заказа, чтобы не заставлять человека вводить их заново, ведет уже персонифицированный опрос - даже если эти поля скрытые и покупатель их не видит.

Google Forms, Яндекс Формы и другие платформы: где физически хранятся ответы

Вопрос про Google Forms и персональные данные всплывает в каждом втором брифе на доработку сайта. Короткий ответ: технически форму создать можно, юридически - для персональных данных россиян это создает риск, который проще не создавать.

Причина не в самом сервисе, а в требовании закона о локализации баз данных персональных данных граждан РФ (часть 5 статьи 18 152-ФЗ): запись, систематизация, накопление и хранение таких данных должны вестись с использованием баз данных, физически расположенных в России. Google Forms хранит ответы на серверах Google за пределами РФ. Формально закон не запрещает использовать зарубежный интерфейс для ввода данных, если итоговая база все равно локализована в России, но на практике Google Forms такой возможности не дает: экспортировать каждый ответ напрямую в российское хранилище в момент отправки нельзя, данные какое-то время лежат на серверах Google. То же самое касается Typeform, SurveyMonkey и Jotform - это тоже зарубежные сервисы с хранением за пределами РФ, и разница с Google Forms здесь скорее в интерфейсе, чем в юридическом статусе. Нарушение требования о локализации - самостоятельное основание для претензий РКН, отдельное от того, произошла ли утечка данных: инспектору достаточно увидеть, что форма с полем телефон или email физически ведет на зарубежный домен.

С Яндекс Формами вопрос по 152 ФЗ решается проще: инфраструктура находится внутри страны, вопрос локализации снимается сам собой. Из практических альтернатив, которые убирают риск с локализацией и дают инструменты для встраивания согласия: Яндекс Формы, Testograf, Анкетолог, а также форма на собственном сайте, которая пишет ответы напрямую в базу данных на российском хостинге.

Если опрос с персональными данными уже запущен через Google Forms и часть ответов собрана, останавливать сбор среди ночи не обязательно - разумный порядок такой: выгрузить уже полученные ответы в таблицу на своей стороне, для новых респондентов переключить ссылку на форму на российской платформе, а копию в Google Forms закрыть для новых ответов и по возможности удалить после того, как данные надежно перенесены. Резкое удаление формы без выгрузки рискует потерей уже собранных ответов и само по себе вопрос с локализацией не решает - удалять нужно после переноса, а не вместо него.

Для самозанятого или небольшой команды миграция с Google Forms звучит как лишняя работа ради одного опроса, но по факту занимает час: создать форму на Яндекс Формах или в Анкетологе, перенести вопросы, добавить чек-бокс согласия и поменять ссылку в рассылке или на сайте. Дольше обычно тянется не техническая часть, а формулировка текста согласия и политики обработки - их проще написать один раз и переиспользовать для следующих опросов.

Когда опрос действительно анонимный, а когда только называется так

Опрос не требует согласия субъекта и не создает обязанностей оператора, только если он анонимен на каждом этапе - от сбора до анализа результатов. Три условия должны выполняться одновременно.

• В форме нет полей имя, телефон, email, должность или любых других данных, по которым можно прямо установить личность.
• В форме нет технических идентификаторов, которые в связке с другими источниками позволяют деанонимизировать ответ - например, скрытого поля с ID пользователя из CRM или отправки через личный кабинет, где ответ автоматически привязывается к аккаунту.
• Организатор не сверяет ответы с внешней базой после сбора - например, не просит указать номер заказа для проверки, который потом сопоставляется с CRM и превращает анонимный опрос в персонифицированный.

Если хотя бы одно условие не выполняется, опрос перестает быть анонимным юридически, даже если по ощущениям он таким кажется. Дальше действуют обычные правила 152-ФЗ: нужна законная цель обработки, согласие или другое основание и, как правило, размещенная на сайте политика обработки персональных данных.

Как встроить согласие в форму опроса

Для формы опроса согласие оформляется так же, как для любой другой формы на сайте: текст с описанием цели обработки, ссылка на политику обработки персональных данных и чек-бокс, который пользователь ставит сам. Предзаполненная галочка не считается согласием, потому что закон требует, чтобы согласие было конкретным и осознанным (статья 9 152-ФЗ).

Формулировка цели должна быть узкой и честной: для анализа удовлетворенности сервисом или для проведения маркетингового исследования, а не универсальное для любых целей, связанных с деятельностью компании. Чем шире формулировка, тем сложнее объяснить инспектору РКН, зачем компании телефон респондента опроса об удобстве сайта.

Закон прямо перечисляет, что должно быть в письменном согласии на обработку персональных данных (часть 4 статьи 9 152-ФЗ) - для опроса это удобный ориентир, даже если строго письменная форма для обычного клиентского опроса не требуется. В тексте согласия имеет смысл закрыть шесть пунктов.

• кто оператор - название компании или ФИО самозанятого либо ИП;
• цель обработки - зачем именно нужны ответы;
• какие персональные данные собираются - конкретный перечень полей формы;
• какие действия с данными будут совершаться - сбор, хранение, анализ, передача подрядчику для обработки результатов;
• срок, на который дается согласие;
• как согласие отозвать - куда написать, если респондент передумал.

Технически чек-бокс согласия можно сделать обязательным полем формы, когда без галочки кнопка отправить неактивна, или вывести текст согласия отдельным блоком перед полями. Разница между чек-боксом, всплывающим окном и отдельной формой согласия подробно разобрана в материале про оформление галочки согласия на сайте - логика та же самая, опрос не исключение.

Email или телефон в конце анкеты ломает всю анонимность

Частый сценарий: первые десять вопросов анонимные, а в конце - предложение оставить email, если респондент хочет узнать результаты опроса, или указать телефон для участия в розыгрыше. С этого момента вся анкета, включая ответы на предыдущие вопросы, привязывается к конкретному человеку через ту же запись в базе данных. Юридически это уже не анонимный опрос, а полноценная обработка персональных данных со всеми обязанностями: согласием, политикой обработки, сроком хранения.

Проблема не в самом факте сбора контакта, а в том, что он объединен с содержательными ответами в одной строке таблицы. Решение простое технически и часто игнорируется на практике: разделить анонимную часть и сбор контактов на два разных шага. Например, после отправки анонимного опроса показывать отдельную форму сбора email для розыгрыша без передачи идентификатора предыдущего ответа. Тогда содержательные ответы остаются анонимными, а контакты собираются законно и отдельно, под собственное согласие.

Тот же принцип касается скрытых полей - UTM-меток, ID сессии, cookie. Если сервис для опросов автоматически подставляет в результат IP-адрес или идентификатор браузера, формально это тоже персональные данные, которые косвенно идентифицируют человека. Анонимность опроса стоит проверять не только по видимым полям формы, но и по тому, что реально попадает в итоговую выгрузку.

Практический прием, который экономит время: делать вторую форму заранее, до запуска опроса, а не дописывать поле email в последний момент - именно спешка чаще всего приводит к тому, что контакт добавляют в ту же таблицу. Вторая форма может быть простой: два поля, email и согласие, без привязки к номеру ответа из первой анкеты.

Вопросы, которые нельзя задавать в анкете без отдельного согласия

Отдельная категория риска - содержательные вопросы анкеты, а не только поля имя и телефон. Закон выделяет специальные категории персональных данных: сведения о здоровье, религиозных или философских убеждениях, национальности, политических взглядах, интимной жизни и судимости (статья 10 152-ФЗ). Их обработка по общему правилу запрещена, а исключения - например, письменное согласие субъекта - применяются узко.

Практический вывод для составителя анкеты: вопросы вроде отношения к другим религиям, родного языка или наличия хронических заболеваний резко поднимают юридическую планку опроса, даже если сама анкета в остальном про удовлетворенность сервисом. Если такой вопрос действительно нужен, например клинике для медицинского анкетирования, его стоит выносить в отдельную форму с отдельным явным согласием, а не смешивать с обычным клиентским опросом. Подробнее о том, почему подобные вопросы требуют особого подхода, - в статье про религиозные убеждения и национальность в анкетах.

Похожая ловушка встречается в кадровых анкетах при найме: вопрос про наличие инвалидности или хронических заболеваний иногда добавляют для отчетности по квотам, не задумываясь, что это уже специальная категория персональных данных о здоровье. Если такой вопрос в анкете действительно нужен, для него требуется отдельное явное согласие соискателя, а не общая галочка внизу формы отклика на вакансию.

Возраст респондентов тоже имеет значение. Если опрос адресован в том числе несовершеннолетним, например школьный опрос про питание, правила согласия и объем допустимых вопросов дополнительно сужаются - это отдельная тема, но игнорировать ее при составлении анкеты для детской аудитории не стоит.

Бумажные анкеты и опросы на мероприятиях

Опросы на выставках, конференциях и в офлайн-точках продаж часто проводят на бумаге - и здесь возникает ложное ощущение, что раз данные не оцифрованы, закон 152-ФЗ не действует. Это не так: закон распространяется и на обработку без использования средств автоматизации, если такая обработка организована в виде системы - например, анкеты складываются в общую папку, сортируются по дате или региону, а потом кто-то переносит контакты в CRM или Excel. Разовая случайная запись под 152-ФЗ не подпадает, а систематический сбор анкет на стойке регистрации - подпадает.

Практически для бумажной анкеты действуют те же правила, что и для формы на сайте: если есть поле имя или телефон, нужен текст согласия прямо на бланке, а не устное упоминание от промоутера. Короткая строка под полями с email и телефоном - согласен на обработку персональных данных для цели опроса, подпись - и ссылка или QR-код на политику обработки персональных данных, доступную тут же.

После мероприятия анкеты обычно переносят в цифровой вид для анализа. С этого момента к ним применяются уже цифровые требования: хранение на серверах в России, если данные заносятся в CRM или таблицу, срок хранения и удаление после того, как результаты подведены. Сами бумажные бланки после переноса стоит уничтожать, а не складывать в шкаф на неопределенный срок - это тот же принцип ограничения хранения, что и для цифровых данных.

Сколько хранить ответы опроса и что делать с данными после сбора

Закон требует хранить персональные данные не дольше, чем это нужно для заявленной цели обработки (статья 5 152-ФЗ, принцип ограничения хранения). Для опроса это означает: если цель звучит как получить обратную связь по новому продукту в течение квартала, то и хранить связанные с ответами персональные данные дольше квартала плюс разумный срок на подведение итогов формально не нужно. Например, опрос удовлетворенности сервисом, объявленный на квартал, не дает оснований держать персональные данные респондентов еще год после того, как отчет по опросу готов.

Точного числа дней или месяцев для хранения ответов опроса закон не называет - это тот случай, когда позиции на практике расходятся: одни компании ориентируются на срок самого исследования, другие держат обезличенные архивы годами для сравнения динамики. Универсального ответа нет, но правило простое: пока данные не обезличены и позволяют установить личность, срок хранения должен быть обоснован конкретной целью, а не удобством не удалять лишний раз.

После того как результаты подведены, есть два пути. Первый - удалить персональные данные из ответов и оставить только агрегированную статистику без привязки к конкретным людям. Второй - обезличить данные, если нужно сохранить возможность повторного анализа: заменить идентифицирующие поля на условные номера так, чтобы восстановить личность респондента без дополнительной информации было нельзя. Как это делается технически, разобрано в статье об обезличивании персональных данных.

Отдельный вопрос - где физически хранится база с ответами, пока опрос активен. Требования к защите зависят от объема и категории данных: чем чувствительнее вопросы анкеты и чем больше респондентов, тем выше формальный уровень защищенности, который нужно обеспечить. Как его определить для своего случая, показано в разборе постановления 1119 об уровнях защищенности персональных данных.

Нужно ли подавать уведомление в РКН из-за одного опроса

Отдельного уведомления в Роскомнадзор именно на один конкретный опрос закон не предусматривает. Уведомление подается в целом об обработке персональных данных компанией как оператором. Если организация уже ведет клиентскую базу, обрабатывает заявки с сайта или данные сотрудников, она с высокой вероятностью уже должна быть в реестре операторов, а разовый опрос просто добавляет еще одну цель обработки в уже существующее уведомление, а не создает новую обязанность с нуля.

На практике проще всего свериться с текстом уже поданного уведомления: если среди целей обработки указано что-то вроде маркетинговых исследований или изучения мнения клиентов, отдельный опрос уже покрыт. Если формулировки узкие - например, только обработка заказов - и опрос выходит за эти рамки, уведомление стоит актуализировать до запуска, а не после того, как ответы уже собраны.

Другое дело, если опрос - единственная форма сбора персональных данных, которую вообще ведет компания или самозанятый, и раньше уведомление не подавалось. Тогда стоит проверить, подпадает ли деятельность под одно из узких исключений, например обработку исключительно обезличенных данных для статистических целей, или уведомление все же требуется. Полный перечень критериев и порядок подачи - в материале о том, кто должен подавать уведомление об обработке персональных данных.

Что делать: чек-лист перед запуском опроса

Перед тем как разослать ссылку на анкету, стоит пройтись по короткому списку.

1. Проверить, есть ли в форме поля, по которым можно установить личность: имя, телефон, email, должность вместе с компанией. Если да, опрос не анонимный.
2. Для неанонимного опроса выбрать платформу с хранением данных в России - Яндекс Формы, Анкетолог, Testograf или форму на собственном сайте - вместо Google Forms.
3. Добавить перед кнопкой отправки текст согласия с конкретной целью и ссылкой на политику обработки персональных данных и чек-бокс без предзаполненной галочки.
4. Исключить из анкеты вопросы о здоровье, религии, национальности и политических взглядах, если они не обязательны для цели опроса, а если обязательны - вынести их в отдельную форму с отдельным согласием.
5. Если в конце анкеты планируется собирать email или телефон для розыгрыша или для результатов, вынести это в отдельный шаг, не привязанный к содержательным ответам.
6. Определить заранее срок хранения ответов и что произойдет с данными после подведения итогов: удаление или обезличивание.
7. Проверить, отражает ли действующее уведомление в РКН новую цель обработки, если компания уже состоит в реестре операторов.

Отдельно готовить документы под каждый новый опрос не обязательно - обычно достаточно актуальной политики обработки персональных данных на сайте и корректного чек-бокса согласия в самой форме. Если на сайте таких документов еще нет или формы собирают данные без согласия, стоит привести их в порядок: 152fzpro.ru занимается доработкой сайтов и документов под 152-ФЗ, включая формы опросов и текст согласия.