Любой сайт ведёт логи: сервер записывает, кто заходил, с какого IP, что запрашивал. Плюс сессионные cookie и история действий в личном кабинете. Кажется, что это «просто технические данные», но с точки зрения 152-ФЗ это часто персональные данные — и с ними надо обращаться по правилам.
Когда логи — персональные данные
Логи сервера, как правило, содержат IP-адреса, время обращений, идентификаторы сессий. IP-адрес может признаваться персональными данными, особенно в связке с учётной записью или при статическом IP; судебная практика здесь противоречива. На практике логи с IP рекомендуется обрабатывать по правилам 152-ФЗ — это снижает риски. Подробнее о статусе IP и cookie — в статье про IP-адрес и cookie как персональные данные.
Принципы обработки логов
- Законность и справедливость (статья 5) — обработка должна иметь основание и быть честной по отношению к пользователю.
- Обязанность раскрыть сбор — пользователь должен знать, что технические данные собираются; это описывают в Политике конфиденциальности (статья 18.1).
- Цель — логи собирают для обеспечения работы сайта, безопасности и расследования инцидентов, а не «на всякий случай».
- Срок — хранить логи нужно не дольше, чем требует цель; затем удалять или обезличивать.
Что описать в Политике
- какие технические данные собираются (IP, логи, идентификаторы сессий);
- для каких целей (работа сайта, безопасность, противодействие злоупотреблениям);
- срок хранения и порядок уничтожения;
- кто имеет доступ к логам.
Сессии и личный кабинет
Данные о сессиях и действиях пользователя в личном кабинете — это персональные данные, связанные с конкретным человеком. Их обработка должна быть описана в Политике, а доступ к ним — ограничен. После закрытия сессии или удаления учётной записи соответствующие данные нужно уничтожать по общим правилам.
Что делать на практике
- Опишите сбор логов и технических данных в Политике.
- Не пишите в логи чувствительные данные без необходимости.
- Ограничьте доступ к логам и настройте регулярную очистку.
- Соблюдайте срок хранения — не копите логи годами.
Проверить, что и как описано в Политике вашего сайта и какие данные собираются, можно автоматически.