Форма обратной связи с полями «Имя» и «Телефон» — это уже обработка персональных данных, а владелец сайта — оператор со всеми вытекающими обязанностями. Не служба безопасности крупного банка, а мастерская по ремонту техники, стоматология на две кушетки, студия маникюра. Закон не делает скидку на размер бизнеса и на то, что форму ставил подрядчик пять лет назад и с тех пор её никто не открывал.
С конца мая 2025 года штрафы за нарушения в этой области выросли принципиально: суммы измеряются миллионами, а за повторную утечку предусмотрен оборотный штраф — доля годовой выручки компании, а не фиксированная цифра. Проверка при этом чаще всего начинается не с выездного визита, а с открытой страницы сайта: инспектору достаточно браузера, чтобы увидеть, есть ли у вас документ о политике обработки, как устроена галочка согласия и что происходит при отправке формы.
Разберу по порядку, что именно должно быть на сайте, что оформляется внутри компании и в какой последовательности это делать, если сейчас нет ничего.
Директор агентства РостСайт Владимир Кривов отвечает на четыре вопроса о персональных данных:
- Какие документы должны лежать на сайте в открытом доступе?
- Как правильно устроена галочка согласия и почему предзаполненная — нарушение?
- Нужно ли подавать уведомление в Роскомнадзор, если у вас всего одна форма?
- Что делать в первые сутки, если данные клиентов утекли?
Статус оператора возникает без вашего заявления
Оператором становятся не по заявлению, а по факту: как только вы определяете, зачем и как обрабатываете чужие имена, телефоны и почты, обязанности возникают автоматически. Сюда попадает всё разом: заявки с сайта, база рассылки, записи разговоров в телефонии, номера в мессенджере, таблица с клиентами у менеджера на рабочем столе, резюме соискателей в почте.
Отсюда первое практическое действие — инвентаризация. Выпишите столбиком все места, где у вас лежат чужие данные, и по каждому ответьте на четыре вопроса: какие именно поля, откуда пришли, зачем нужны, кто из сотрудников и подрядчиков имеет к ним доступ. Список обычно получается длиннее ожидаемого, и половина строк в нём — данные, которые давно никому не нужны.
Данные, которые вам не нужны, — это чистый риск без единой выгоды. Форма заявки на замер, спрашивающая дату рождения, не поможет продать, зато увеличит цену любой утечки. Сокращение полей до необходимого минимума — самая дешёвая мера защиты из существующих.
Четыре документа в открытом доступе сайта
На сайте, который собирает данные через интернет, должен быть опубликован документ о политике обработки персональных данных — с постоянной ссылкой из подвала, доступной с любой страницы, открывающейся без регистрации и без скачивания файла. Требование к нему одно, но неудобное: он должен описывать вашу реальную практику, а не быть скачанным откуда-то шаблоном с чужим названием компании внутри.
Проверьте по своему документу три вещи. Совпадают ли перечисленные в нём цели обработки с тем, что вы делаете на самом деле, — если в тексте нет рассылки, а рассылку вы шлёте, документ работает против вас. Перечислены ли реальные категории данных и сроки хранения. Указаны ли актуальные реквизиты оператора и способ отозвать согласие — с адресом, куда человек направляет обращение, и понятным сроком ответа.
Второй документ — форма согласия на обработку, текст которой человек принимает при отправке заявки. Третий, если вы шлёте письма и сообщения, — отдельное согласие на получение рекламы: реклама по сетям связи допускается только с предварительного согласия адресата, и согласие на обработку данных его не заменяет. Четвёртый блок — информирование о файлах cookie, если сайт собирает аналитику: понятное уведомление и возможность отказаться, а не всплывающая полоса, которая исчезает от любого клика по странице.
О галочке согласия и о том, как её ломают
Согласие должно быть конкретным, информированным и сознательным. На практике это разворачивается в набор технических требований к форме, и почти каждый сайт нарушает хотя бы одно.
- Чекбокс не должен быть отмечен заранее. Предзаполненная галочка — не действие пользователя, а значит, и не согласие.
- Рядом с чекбоксом — читаемый текст со ссылкой на политику и на текст согласия, открывающейся в новой вкладке. Не серым шрифтом восьмого кегля.
- Рекламная рассылка выносится в отдельную галочку. Одна общая на всё — сшивание разных целей, которое проверяющий разберёт быстро.
- Факт согласия нужно уметь подтвердить: сохраняйте дату, время, версию текста и то, какие поля были отправлены. Иначе доказывать нечего.
- Отзыв согласия должен работать так же просто, как его дача. Если отписаться можно только звонком в рабочее время — это не работающий механизм.
Отдельно про кнопки соцсетей, чужие виджеты чатов и внешние счётчики: каждый такой скрипт передаёт данные посетителя третьей стороне, и вы за это отвечаете. Все обработчики — хостинг, CRM, сервис рассылок, коллтрекинг, подрядчик по рекламе — должны быть перечислены в документе, а поручение на обработку прописано в договоре с ними.
Уведомление в Роскомнадзор и локализация баз
Уведомление о намерении обрабатывать персональные данные подаётся в надзорный орган через его сайт, в электронном виде, с подписью руководителя. Прежние послабления, позволявшие многим не подавать его вовсе, сжались до узких исключений — сегодня практически любой сайт с формой заявки под обязанность попадает. Подача бесплатна и занимает вечер, а вот работа без поданного уведомления — самостоятельный состав нарушения, который виден из реестра, даже если у вас всё остальное в порядке.
Второе требование, о котором забывают чаще всего: базы, в которых собираются и хранятся данные граждан России, должны находиться на серверах на территории страны. Это касается не только хостинга сайта, но и CRM, сервиса рассылок, облачных таблиц, конструктора форм и чата на сайте. Если заявки с сайта падают в зарубежный сервис — вопрос не в том, оштрафуют ли, а в том, когда это заметят.
Внутри компании понадобится минимальный комплект: приказ о назначении ответственного за организацию обработки, перечень обрабатываемых данных и целей, правила доступа сотрудников, журнал обращений субъектов, сроки уничтожения. Всё это скучные бумаги на несколько страниц, но именно их запрашивают первыми, и именно их невозможно сделать задним числом за один день.
Часы после утечки считают от обнаружения
Утечка — не обязательно взлом. Чаще это уволенный менеджер, выгрузивший базу себе, письмо со списком клиентов, отправленное не тому адресату, или открытая всем по ссылке таблица. Порядок действий при таком инциденте установлен, и он жёсткий по срокам: первичное уведомление регулятора — в течение суток с момента обнаружения, отчёт по результатам внутреннего расследования — в течение трёх суток. Считают часы от обнаружения, а не от того, когда вы разобрались в причинах.
Поэтому решение принимается заранее, а не в момент паники. Назначьте, кто именно уведомляет и с какого адреса. Держите наготове перечень систем и того, что в них лежит, — без него вы не сможете за сутки описать объём происшествия. Заведите привычку раз в квартал отключать доступы уволенным и пересматривать, у кого есть выгрузка базы: подавляющее большинство утечек в малом бизнесе происходит через людей, а не через уязвимости.
Оговорюсь честно: я маркетолог, а не юрист, и написанное здесь — практический ориентир, а не юридическое заключение. Формулировки закона меняются, а трактовки уточняются судебной практикой, поэтому итоговые документы стоит показать профильному специалисту.
Как закрыть шесть пунктов по персональным данным
Разбирать это добро лучше по шагам, а не пытаться закрыть всё за один день.
- Соберите список всех форм на сайте и всех мест хранения данных. Уберите поля, без которых вы обходитесь.
- Проверьте, где физически лежат заявки, база рассылки и CRM. Переезд на российскую инфраструктуру — самая долгая часть, начинайте с неё.
- Приведите в порядок документы и опубликуйте политику постоянной ссылкой в подвале, на каждой странице.
- Почините формы: снятая по умолчанию галочка, отдельное согласие на рассылку, сохранение подтверждений отправки.
- Подайте уведомление в надзорный орган и оформите внутренний комплект — приказ, перечень, правила доступа.
- Назначьте ответственного и пропишите порядок действий на случай инцидента с указанием часов.
Разовая уборка не работает — работает регулярный пересмотр. Раз в полгода на сайте появляются новый виджет, новая форма и новый подрядчик с доступом к базе, и каждый из них меняет картину. Заведите себе календарную отметку и проходите этот список заново — час работы дважды в год стоит несопоставимо дешевле любого разбирательства.
Комментарии