Персональные данные на сайте: чек-лист для малой компании по 152-ФЗ

Содержание

• Согласие на обработку персональных данных на сайте
• 1. Согласие должно быть сознательным и однозначным, доказывать его вам
• 2. Галочка: пустая или отмеченная заранее
• 3. Согласие оформляется отдельно: в политику или оферту его не вшивают
• 4. Сохраняйте доказательство согласия
• 5. Рассылку собирают отдельной формой
• 6. Отзыв с именем и фото - отдельное согласие
• Политика обработки персональных данных на сайте
• 7. Политика опубликована и открывается со страниц с формами
• 8. Cookie: страница, баннер и честное описание
• 9. Проверьте, что вы есть в реестре операторов Роскомнадзора
• Куда уходят данные
• 10. Какие зарубежные запросы делает страница
• 11. Где физически лежит база
• 12. Оповещения о заявках в мессенджер - без лишнего
• Хранение и защита
• 13. Сроки хранения заявлены, значит исполняются
• 14. Журналы и файлы клиентов не лежат в открытых папках
• 15. Один адрес и один ответственный для запросов людей
• 16. Что делать при утечке
• С чего начать на этой неделе

Чтобы персональные данные на сайте с формами заявок были в порядке, нужны шесть вещей: понятное согласие в форме, политика на страницах, где вы собираете данные, ясность, куда эти данные уходят (особенно за границу), сроки хранения, которые вы правда исполняете, закрытые от посторонних файлы клиентов и человек, который отвечает на запросы. Ниже шестнадцать пунктов. У каждого ссылка на норму закона и что сделать.

Обязанности ниже лежат на операторе персональных данных. На сайте это обычно ИП или организация, чьё имя стоит в реквизитах. Разработчик сделает то, что вы закажете, но что собирать и как хранить, решаете вы.

Согласие на обработку персональных данных на сайте

1. Согласие должно быть сознательным и однозначным, доказывать его вам

Часть 1 статьи 9 закона № 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Часть 3 той же статьи обязывает оператора доказать, что согласие получено или что у обработки есть другое законное основание. По части 2 человек вправе согласие отозвать. Другие основания, кроме согласия, перечислены в части 1 статьи 6: например, исполнение договора с этим человеком или заключение договора по его просьбе.

На практике рядом с кнопкой должно быть понятно, на что человек соглашается: кто собирает данные, зачем и какие. Полный текст согласия открывается по ссылке, мелким шрифтом его не прячут.

2. Галочка: пустая или отмеченная заранее

Слова «галочка» в статье 9 нет, и прямого запрета на заранее отмеченную галочку в её тексте тоже нет. Вопрос в доказательстве. Закон требует сознательного и однозначного согласия и возлагает доказательство на оператора. Галочка, которую человек поставил сам, - наглядный след такого решения. Если галочка отмечена заранее, придётся показывать сознательность согласия чем-то ещё: понятной подписью рядом с кнопкой, ссылкой на текст согласия, записью о каждой отправке.

В юридических публикациях встречается мнение, что заранее отмеченные галочки и формулы вроде «продолжая пользоваться сайтом, вы соглашаетесь» контролёры считают нарушением. Это вторичные источники, позицию самого Роскомнадзора именно по отмеченной галочке найти в первоисточнике не удалось. Какой вариант выбрать, решите с юристом и запишите решение вместе с оценкой риска.

3. Согласие оформляется отдельно: в политику или оферту его не вшивают

Часть 1 статьи 9 в редакции закона № 156-ФЗ от 24.06.2025 требует оформлять согласие отдельно от иной информации и документов, которые человек подтверждает или подписывает. «КонсультантПлюс» в новости о законе пишет, что это требование действует с 1 сентября 2025 года. Практический вывод: на сайте нужны два документа, политика (что компания делает с данными вообще) и согласие (на что именно соглашается человек). Подпись у галочки должна совпадать с текстом согласия: поменяли подпись - поменяйте и документ.

4. Сохраняйте доказательство согласия

Раз доказывает оператор, нужен след. Минимум: вместе с заявкой в журнале сайта сохраняется отметка, что согласие дано, дата и время отправки и адрес формы. Если меняете текст согласия, храните прежние редакции с датами.

5. Рассылку собирают отдельной формой

Согласие на ответ по заявке не превращается в согласие на рассылку. По части 1 статьи 18 закона «О рекламе» реклама по сетям электросвязи допускается только с предварительного согласия абонента или адресата. Если рекламораспространитель не докажет, что согласие получено, реклама считается распространённой без него. Электронная почта в этой части прямо не названа: перечень там открытый, через «в том числе». Но ФАС в письме о применении этой нормы разбирает и жалобы на рекламу, пришедшую на электронную почту.

Типичная ловушка: адрес из любой заявки сам попадает в список подписчиков. Подписка должна идти из отдельной формы с отдельной галочкой, а адреса из других форм в рассылку не попадают. Раз в год стоит сверить список подписчиков с журналом согласий.

6. Отзыв с именем и фото - отдельное согласие

Если вы публикуете отзывы клиентов с именем и фотографиями, это распространение персональных данных. Статья 10.1 требует на него отдельного согласия: оно оформляется отдельно от иных согласий (ч. 1), а молчание или бездействие человека согласием не считается ни при каких обстоятельствах (ч. 8). Для отзыва нужна своя галочка, отдельная от общей, и порядок, как быстро снять отзыв по просьбе автора.

Политика обработки персональных данных на сайте

7. Политика опубликована и открывается со страниц с формами

Часть 2 статьи 18.1 требует опубликовать документ о политике оператора или иначе обеспечить к нему неограниченный доступ. Оператор, который собирает данные через интернет, публикует его на страницах своего сайта, с которых идёт сбор. Значит, ссылка на политику нужна в подвале и рядом с каждой формой, а не только на странице «Контакты».

Из чего обычно собирают политику. Кто оператор и как с ним связаться. Цели обработки, и по каждой отдельно: чьи данные, какие, на каком основании, сколько хранятся. Кому поручена обработка: хостинг, CRM, счётчики, сервис звонков. Какие меры защиты приняты. Права человека и куда писать. Что с cookie. Дата редакции. Политику пересматривают каждый раз, когда на сайте появляется новый сервис, новая форма или новый срок хранения. Формулировки готовых шаблонов из интернета юрист должен проверить: их пишут под чужую компанию.

8. Cookie: страница, баннер и честное описание

Отдельной нормы про cookie в статьях закона, перечисленных в источниках, нет. Управление Роскомнадзора по Архангельской области и НАО в новости об итогах проверок за первый квартал 2023 года называет среди нарушений электронные формы сбора данных без механизма получения согласия, неопубликованную политику и отсутствие информирования пользователей об использовании cookie. Считаются ли сами cookie персональными данными, юристы спорят, а позиции регулятора в первоисточнике по этому вопросу найти не удалось. Практичный минимум: страница о cookie (какие, зачем, как отключить), баннер со ссылкой на неё и упоминание в политике. Баннер не должен обещать того, чего сайт не делает.

9. Проверьте, что вы есть в реестре операторов Роскомнадзора

Часть 1 статьи 22 обязывает оператора до начала обработки уведомить Роскомнадзор о намерении обрабатывать персональные данные, кроме случаев из части 2. Пункты 1-6 части 2 утратили силу с 1 сентября 2022 года. Среди оставшихся исключений есть обработка исключительно без средств автоматизации. Сайт с формой и CRM - обработка автоматизированная, поэтому это исключение к ней, по всей видимости, не подходит. Нужно ли уведомление именно вам, подтвердит юрист.

Проверить себя просто: на портале Роскомнадзора pd.rkn.gov.ru в разделе «Реестр операторов» есть сам реестр и «Проверка состояния уведомления». Подать уведомление можно на бумаге или в электронном виде, по части 3 статьи 22. Если после запуска нового сервиса порядок обработки изменился, а уведомление осталось прежним, обновите его.

Куда уходят данные

10. Какие зарубежные запросы делает страница

Когда посетитель открывает страницу, его браузер обращается ко всем адресам, чьи файлы вы подключили: шрифты, наборы иконок, видео, карты, чат, счётчики, капчи. Если эти серверы за границей, посетитель передаёт им свой IP-адрес и сведения о браузере. Часть 3 статьи 12 требует до начала трансграничной передачи уведомить Роскомнадзор, причём отдельно от уведомления о намерении обрабатывать данные. Считается ли подгрузка шрифта с зарубежного сервера такой передачей, вопрос к юристу. Но если подгрузки можно избежать, это дешевле любого спора.

На практике шрифты и иконки подключают со своего сервера, видеоплеер подгружают только по нажатию, а у скриптов внешних сервисов проверяют страну сервера. Что подтягивает страница, видно во вкладке «Сеть» в инструментах браузера: попросите разработчика прислать список доменов.

Отдельный случай - скрипты сервисов, которыми вы больше не пользуетесь. Договор с сервисом аналитики или чата закончился, а скрипт остался в шаблоне и продолжает собирать данные посетителей. Уберите его и из кода, и из политики.

11. Где физически лежит база

Часть 5 статьи 18 в редакции закона № 23-ФЗ от 28.02.2025 запрещает при сборе персональных данных граждан России, в том числе через интернет, записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России. Исключения - случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6. Минцифры в письме о применении закона № 23-ФЗ указывает, что эта редакция вступила в силу 1 июля 2025 года.

Вывод для малой компании: выпишите все сервисы, куда попадают данные посетителей, и по каждому узнайте, где находится база. Хостинг сайта, CRM, конструктор форм и квизов, сервис рассылки, сервис звонков, мессенджеры, подключённые к CRM. Ответ «не знаю» - повод написать в поддержку сервиса.

12. Оповещения о заявках в мессенджер - без лишнего

Бот, который присылает уведомления о заявках, отправляет данные в мессенджер. Если мессенджер зарубежный, разумно передавать минимум. В строительной компании из статьи про проверку заявок решили так: в уведомлении только имя без фамилии, от телефона видны две последние цифры, остальное менеджер смотрит по ссылке на сделку в CRM. Так решила компания, прямо закон этого не требует.

Хранение и защита

13. Сроки хранения заявлены, значит исполняются

По части 7 статьи 5 данные хранят не дольше, чем этого требуют цели обработки, если срок не установлен федеральным законом или договором. По достижении целей данные уничтожают или обезличивают. Часть 4 статьи 21 даёт на уничтожение не больше тридцати дней с даты достижения цели, если нет других оснований. Срок, который вы назвали в политике, дальше обязывает вас.

Для заявки с сайта срок может звучать, например, так: до достижения цели, но не более трёх лет с последнего обращения. Для отклика на вакансию он может быть короче. Это примеры: срок выбирает оператор под свою цель, а юрист проверяет, что он обоснован. Выпишите места, где лежат данные: сайт, журнал заявок, CRM, почта, файлы резюме и расчётов, резервные копии, журнал защиты от ботов с IP-адресами. Для каждого - кто и когда чистит. Иначе легко получить ситуацию, когда сам чистится один журнал, а CRM и почта копят данные годами, потому что это ничья работа. Поставьте дату в календарь и назначьте человека.

14. Журналы и файлы клиентов не лежат в открытых папках

Часть 1 статьи 19 обязывает оператора принимать правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа. Типичная ошибка: файлы, которые посетители прикладывают к формам (резюме, чертежи, расчёты), журнал заявок, архивы базы и журналы с IP-адресами лежат в папке, доступной по прямой ссылке. Если имя файла состоит из даты и названия, его можно подобрать.

Проверка на десять минут: попросите разработчика показать, где хранятся загруженные файлы и журналы, и откройте адрес любого такого файла в приватном окне браузера. Открылся без входа - закрывайте. Журналы, архивы и копии базы держат вне папки сайта. Права доступа в самой CRM настраиваются отдельно, об этом - в статье про права доступа в Битрикс24: доступ к данным получает только тот, кому он нужен для работы.

15. Один адрес и один ответственный для запросов людей

Человек пишет: «Удалите мои данные». Если согласие было единственным основанием, после его отзыва вы прекращаете обработку и уничтожаете данные не позже чем через тридцать дней с получения отзыва (ч. 5 ст. 21). Часть 2 статьи 9 оговаривает, что обработка может продолжаться без согласия, если есть другие основания, например договор. Чтобы письмо не потерялось в общем ящике, в политике указывают адрес для таких запросов, а внутри компании назначают, кто на него отвечает и как проверяет, где у человека лежат данные: в CRM, в журнале заявок, в рассылке.

16. Что делать при утечке

Часть 3.1 статьи 21 обязывает оператора при неправомерной или случайной передаче данных, которая повлекла нарушение прав людей, уведомить Роскомнадзор в течение двадцати четырёх часов: что случилось, предполагаемые причины и вред, принятые меры, кто отвечает за взаимодействие. В течение семидесяти двух часов нужно сообщить результаты внутреннего расследования. Для малой компании это значит, что порядок действий надо знать заранее: кто решает, что случилась утечка, кто готовит уведомление, где его подают. Распишите это на одном листе и положите туда, где его найдут без вас.

С чего начать на этой неделе

1. Откройте форму на сайте с телефона: подпись у галочки, ссылка на политику и согласие, как отмечена сама галочка.
2. Откройте политику и согласие: два документа или один, есть ли дата редакции, перечислены ли все сервисы.
3. Найдите себя в реестре операторов на pd.rkn.gov.ru.
4. Попросите разработчика прислать список внешних адресов, которые подгружает главная, и список мест, где лежат загруженные файлы и журналы.
5. Выпишите сервисы с данными клиентов и узнайте, где находится база каждого.
6. Назначьте человека и дату чистки по заявленным срокам.

Тексты политики и согласия пусть читает юрист. Как заявка проходит путь от формы до сделки, разобрано в статье про проверку заявок, а как сделать форму, после которой ответы клиента попадают в карточку сделки, - в статье про квиз на сайте. Юридическую часть я не веду. Посмотреть, как заявки с вашего сайта попадают в Битрикс24 и кто из сервисов их видит по дороге, можно на бесплатном разборе. Связка сайта с Битрикс24 входит в интеграции, а короткий вопрос можно задать напрямую.