Приватность по замыслу: что хранить и где

Приватность по замыслу — защита данных, заложенная в схему заранее: минимум полей, цель и срок у каждого. По 152-ФЗ данные граждан РФ хранят в базах в России.

Самое рискованное в вашей базе

В базе вашего проекта может лежать всё что угодно, но самое опасное это данные о людях: имена, телефоны, обращения. Утечка каталога услуг ничем не грозит, утечка заявок это беда для людей и для вас. Поэтому разговор о приватности в этой части идёт последним: теперь вы знаете, как данные устроены, и можете решить, что и как хранить.

Урок не юридическая консультация. Законы меняются (требования к согласию, например, в 2025 году ужесточили), и для настоящего проекта тексты и порядок проверяет юрист. Здесь вы научитесь задавать правильные вопросы и закладывать ответы в схему.

Приватность по замыслу

Идею предложила канадский комиссар по приватности Энн Кавукян в 1990-х: защиту данных нужно закладывать в устройство системы, а не приклеивать после первой утечки. Европейский закон GDPR закрепил это в статье 25: защита по замыслу и по умолчанию. Семь принципов Кавукян сводятся к следующему:

1. Действовать заранее, а не после инцидента.
2. Самые приватные настройки включены по умолчанию.
3. Приватность встроена в устройство системы.
4. Польза не приносится в жертву: хорошая защита и хорошая работа сайта совместимы.
5. Защита на весь срок жизни данных: от сбора до удаления.
6. Прозрачность: человек видит, что с его данными происходит.
7. Уважение к человеку: его интересы на первом месте.

Для схемы базы это превращается в пять практических шагов.

Пять шагов в схеме

1. Минимум. Не собирайте то, что не нужно для цели. Что не собрано, то не утечёт, не придётся защищать, хранить и удалять. Форме записи на консультацию нужны имя и способ связаться. Дата рождения «на всякий случай» это не цель. Включайте и выключайте поля в схеме ниже: счётчик покажет, сколько лишнего вы держали бы у себя.

2. Цель у каждого поля. Для каждого поля вы должны уметь сказать, зачем оно. Закон требует, чтобы цели были заранее определены, а данные использовались только для них. Телефон, взятый для ответа на заявку, нельзя без нового основания пустить в рекламную рассылку.

3. Срок и удаление. Каждой группе данных нужен срок хранения и условие, при котором их удаляют или обезличивают: «три года после заявки, затем удаляется». Данные без срока копятся вечно, а ответственность за них остаётся. Закон тоже говорит: хранить не дольше, чем нужно для цели. Срок должен быть записан, а удаление автоматическим (задача по расписанию), иначе его никто не вспомнит.

4. Отделение и защита. Персональные данные кладут отдельно: заявки в свою таблицу. В логах, аналитике и письмах держат только номер заявки, а не имя и телефон. Доступ даётся по ролям: бухгалтеру не нужны контакты, редактору не нужны заявки (подробнее об авторизации в части 6). Соединение с базой и диск шифруют, а пароли посетителей хранят не сами, а хешами (медленная функция вроде argon2 или bcrypt и соль), как рассказано в уроке об аутентификации. Полезный перечень мер есть в памятке OWASP (в источниках).

5. Согласие как запись. В форме есть галочка, и на этом многие останавливаются. Но когда человек придёт и спросит «на что я соглашался?», вам нужно показать запись: дату и время, версию текста, с которым он согласился, и цель. Поэтому согласие это строка в таблице, а не булево поле: consents(request_id, given_at, text_version, purpose).

Цель сбора: оставить заявку. Включите поля, которые собирала бы ваша форма. Отметки в схеме это упрощение для урока, а не юридическая консультация.

• Имя персональные
  Чтобы знать, как обращаться.
• Телефон персональные
  Чтобы связаться по заявке.
• Электронная почта персональные
• Город персональные
• Комментарий (свободный текст) высокий риск
  Люди пишут туда что угодно, в том числе то, что вы не просили: подробности о здоровье, о семье.
• Дата рождения персональные
  Для заявки не нужна: «на всякий случай» это не цель.
• Номер паспорта высокий риск
  Высокий риск: по нему можно совершать действия от имени человека. Для заявки не нужен.
• Состояние здоровья специальная категория
• Какая услуга интересует не персональные
  Не персональные данные сами по себе, но вместе с именем становятся частью заявки.

6 полей собираем

5 персональных

2 высокого риска

0 специальных категорий

Лишнее для цели: Комментарий (свободный текст), Дата рождения, Номер паспорта. Что не собрано, то не утечёт и не придётся защищать, хранить и удалять.

Срок хранения заявок: 3 года

Где лежит база

Сервер в России Сервер за рубежом Облако, страна неизвестна

Срок: Срок должен следовать из цели: например, пока идёт работа по заявке и пока возможны споры. Запишите его и то, что произойдёт по его истечении.
Место: Первичная запись данных идёт на сервер в России: так требует закон для данных граждан РФ.

Текстовая альтернатива: схема показывает, что каждое лишнее поле формы (дата рождения, паспорт, свободный комментарий) увеличивает число персональных данных и риск, не помогая цели. Для каждой группы данных нужны срок хранения с условием удаления и место хранения: первичная запись данных граждан РФ должна идти на сервер в России.

Проверьте себя: почему поле «Комментарий» опаснее остальных?

Свободный текст люди заполняют чем угодно, в том числе подробностями о здоровье и семье, о которых вы не просили. Данные получаются неожиданно чувствительными, а защита рассчитана на обычные. Рядом с полем помогает подсказка, что писать не нужно.

Что лежит в копиях

Когда человек просит удалить его данные, строки из таблицы мало. Данные живут ещё в резервных копиях, в логах сервера (ошибка «не удалось отправить SMS на +7…» записала телефон в файл), в аналитике, в письмах и выгрузках. У каждой копии должен быть свой срок хранения, а в логи персональные данные лучше не писать совсем. Составьте реестр вместе с копиями: он как раз для этого.

Что говорит закон

Закон «О персональных данных» (152-ФЗ) работает так. Персональные данные это любые сведения, которые прямо или косвенно относятся к определённому человеку: имя, телефон, почта, но также фотография и адрес. Оператор это тот, кто решает, зачем и как обрабатывать данные: если форма на вашем сайте собирает имена, оператор вы, даже если вы самозанятый. Что из этого следует для базы:

• Основание. Обычно это согласие человека: конкретное, осознанное, данное отдельным действием. Требования к его оформлению в 2025 году уточнили, в частности согласие оформляют отдельно от других документов. Проверьте текущую редакцию.
• Цель, минимум и срок. Закон прямо требует определённые цели, данные не больше, чем нужно, и хранение не дольше необходимого. То, что вы сделали в шагах 1–3, и есть исполнение этих требований.
• Права человека. Он вправе узнать, что вы о нём храните, потребовать исправить или удалить и отозвать согласие. Поэтому удаление нужно уметь сделать.
• Хранение в России. При сборе персональных данных граждан РФ, в том числе через интернет, запись, хранение и извлечение данных нужно вести в базах, расположенных на территории России. Зарубежный сервер как первичное хранилище не подходит; копия за рубежом или передача данных за границу это отдельный порядок, и его выясняют у юриста заранее. Поэтому слайдер «где лежит база» в схеме ругается на зарубежный сервер, а на облако без указания страны ещё громче: вы просто не знаете, чем рискуете.
• Особые случаи. Здоровье, политические взгляды, религия и некоторые другие сведения относятся к специальным категориям с более строгими правилами. Биометрия отдельно. Если они вам не нужны, не просите.
• Другие правила. Нужно ли уведомлять Роскомнадзор о начале обработки и какие тексты вывесить на сайт, зависит от вашей ситуации. Это вопрос к юристу (подробнее в части 15).

Если у вашего сайта есть посетители из Европы, действует ещё и GDPR: он применяется к данным людей в ЕС независимо от того, где находится сайт. Принципы те же самые (цель, минимум, срок, прозрачность), только штрафы и права строже.

Практика

Вы в эпохе 2022 года: хранение данных превращается из пожелания в требование проверяющих. Составьте опись данных вашего проекта и добавьте согласие в схему.

В странице таблица реестра с четырьмя строками (имя, телефон, комментарий, люди с сайта) и поле для SQL. Заполните реестр, скажите, что вы решили не собирать, где лежит первичная запись и как отделены персональные данные, и создайте таблицу согласий с датой, версией текста и целью.

Что было не так раньше

В 2010-х заявки с сайта обычно уходили письмом на личную почту владельца, в открытом виде, и копились там годами: никто не знал, сколько, у кого есть доступ и когда это удалить. Формы любили «обязательные» поля на всякий случай, а согласием считалась фраза мелким шрифтом внизу страницы. Сегодня это не просто плохая привычка, а риск: данные утекают из ящика так же, как из базы, а доказать согласие нечем. Реестр и таблица согласий решают обе задачи.