Персональные данные на сайте в 2026: политика, отдельное согласие и уведомление РКН

Представим обычный сайт небольшой компании. Посетитель нажимает «Заказать звонок», оставляет телефон, а заявка одновременно попадает в почту руководителя, CRM и уведомление менеджеру. В подвале есть ссылка на политику, рядом с кнопкой стоит галочка. Кажется, вопрос с персональными данными закрыт.

Но кто оператор этих данных, на каком основании их собирают, где хранятся копии заявок, что происходит после отзыва согласия и подавала ли компания уведомление в Роскомнадзор? Эти вопросы возникают даже у сайта из пяти страниц. Ниже разберём рабочую последовательность проверки без лишних юридических страшилок.

Сначала найдите все места, где сайт получает данные

Начинайте не с шаблона политики, а с карты реальных процессов. Форма обратного звонка – только самый заметный канал сбора. За её пределами могут находиться чат, запись на консультацию, подписка, заказ, анкета кандидата, аналитика, сквозная передача UTM-меток и интеграции с сервисами.

Откройте сайт с компьютера и телефона, пройдите каждый путь, по которому посетитель может оставить информацию. Запишите, какие поля видит человек, в какой системе появляется заявка и кто может её открыть.

• Формы: заказ звонка, обратная связь, корзина, подписка, отклик на вакансию и всплывающие окна.
• Получатели: CMS, корпоративная почта, CRM, мессенджеры, подрядчики и облачные сервисы.
• Технические данные: IP-адрес, cookies, идентификаторы аналитики и журналы событий – оцените, относятся ли они к конкретному человеку.
• Сроки: как долго остаются заявки, резервные копии и выгрузки из CRM, кто отвечает за удаление.

Нужно ли согласие на каждую заявку?

Не всегда. Статья 6 закона № 152-ФЗ предусматривает несколько самостоятельных оснований обработки. Например, данные могут быть необходимы для заключения или исполнения договора по инициативе самого человека. Поэтому универсальное правило «у каждой кнопки обязательно должна быть галочка» юридически неточно.

Если компания опирается именно на согласие, с 1 сентября 2025 года оно должно быть оформлено отдельно от других подтверждаемых или подписываемых документов. Фраза «Нажимая кнопку, вы принимаете политику и соглашаетесь со всем» смешивает разные вещи. Политика описывает порядок работы с данными, а согласие фиксирует волю человека для конкретной цели.

• Определите правовое основание отдельно для обратной связи, договора, рассылки и других целей.
• Когда используется согласие, сделайте его отдельным и понятным, без заранее установленной галочки.
• Не объединяйте согласие на обработку заявки с согласием на рекламную рассылку: цели различаются.
• Укажите, кто получает данные и для чего; ссылку на политику разместите рядом с соответствующей формой.

Как проверить форму на практике

Откройте форму как обычный посетитель. Достаточно ли имени и телефона? Есть ли понятное объяснение цели, отдельное согласие там, где оно служит основанием обработки, и ссылка на актуальную политику? Проверьте и мобильную версию: там подписи часто теряются.

• Проверьте, что галочка не отмечена заранее.
• Проверьте, что без обязательного поля форма не отправляется.

Какие события стоит сохранять

Для согласий, которые компания обязана подтвердить, полезно фиксировать время, версию текста, цель и сам факт действия пользователя. Технический журнал должен быть защищён от свободного просмотра и не собирать избыточные сведения. Сам по себе лог ещё не доказывает, что формулировка согласия законна.

Проверяйте не только браузер: сервер не должен принимать заявку без обязательного подтверждения, если оно требуется для выбранного основания. Автоматическое создание сделки в CRM, почтовые уведомления и передача данных подрядчику тоже должны соответствовать заявленным целям.

Политика обработки ПДн – не формальность в подвале

Статья 18.1 закона № 152-ФЗ требует обеспечить неограниченный доступ к политике оператора. Для сайта, который собирает персональные данные через интернет, документ должен быть доступен и со страниц, на которых идёт сбор. Одна ссылка в подвале может быть полезной для навигации, но проверьте доступность политики непосредственно из формы.

Документ должен описывать то, что компания действительно делает: реальные цели, категории субъектов и данных, основания обработки, сроки, порядок прекращения, контакт оператора, получателей и исполнителей обработки. Скопированная политика соседнего сайта с чужими реквизитами хуже отсутствия красивого оформления.

• Совпадают ли название оператора, контакты и реальные подразделения/сервисы с документом?
• Есть ли отдельные цели для заявки, исполнения договора, рассылки и подбора сотрудников, если они используются?
• Указаны ли реальные способы получения данных, условия хранения и обращения человека по поводу его данных?
• Описаны ли действия с данными после достижения цели и отзывом согласия, где применимо?

Кому и когда нужно уведомление в РКН

По статье 22 закона № 152-ФЗ оператор обычно уведомляет Роскомнадзор до начала обработки. Исключения есть, но они узкие; обычная компания с формой заявки и CRM редко может автоматически считать себя исключением.

• Проверьте запись организации в реестре операторов.
• Сверьте уведомленные цели и фактическую обработку.

Порядок действий

• Установите, кто именно оператор: юридическое лицо, ИП или другое ответственное лицо, а не разработчик сайта по умолчанию.
• Составьте перечень целей, категорий данных, информационных систем и лиц, которым поручена обработка.
• Откройте реестр операторов Роскомнадзора и проверьте сведения по своему оператору.
• Если уведомление нужно и ещё не подано, используйте актуальную форму на официальном портале РКН, проверьте способ подписания и отправки.
• Сохраните подтверждение подачи. После регистрации сравните публичные сведения с реальной схемой обработки.

Если изменились сведения, перечисленные в статье 22, закон предусматривает уведомление об изменениях не позднее 15-го числа следующего месяца; при прекращении обработки – в течение 10 рабочих дней. Наличие записи в реестре не освобождает от остальных обязанностей.

Где хранятся заявки, кто их видит и куда уходят копии

Проверьте маршрут тестовой заявки с заведомо вымышленными данными. Часто форма на сайте лишь первая точка: далее заявка сохраняется в CMS, отправляется по SMTP, копируется в CRM и появляется в нескольких почтовых ящиках. Иногда отдельная копия остаётся на резервном сервере, о котором никто из маркетинга не помнит.

Для персональных данных граждан России действует специальное требование к использованию баз данных при сборе, включая интернет-сайты (часть 5 статьи 18 закона № 152-ФЗ, редакция с 1 июля 2025 года). Нельзя делать вывод о соблюдении правила только по географии веб-сервера: фактические базы, CRM, обработчики заявок и сторонние сервисы нужно разбирать отдельно с учётом предусмотренных законом исключений.

• Определите, где первоначально записываются данные и какие базы их хранят.
• Ограничьте доступ сотрудников и подрядчиков по реальной необходимости; удалите общие учётные записи.
• Проверьте передачу заявок в мессенджеры и почту, настройки CRM, наличие договора-поручения с обработчиком, когда он необходим.
• Установите сроки хранения, обработку запросов об удалении и порядок доступа к резервным копиям.
• Проверьте, что тестовые заявки не попадают в открытые каналы, публичные таблицы и доступные всем файлы.

Штрафы: что грозит за разные нарушения

Размер зависит от конкретного состава, статуса нарушителя и обстоятельств. По статье 13.11 КоАП РФ для юридических лиц предусмотрены, например, 30–60 тыс. ₽ за неразмещение обязательной политики (часть 3), 100–300 тыс. ₽ за невыполнение обязанности уведомить РКН (часть 10), 150–300 тыс. ₽ за определённые нарушения законных оснований или целей обработки (часть 1).

Штраф 300–700 тыс. ₽ из части 2 относится к случаям, когда закон требует согласия именно в письменной форме либо специальных сведений в таком согласии. Нельзя автоматически приравнивать к нему любую ошибку веб-галочки. Для повторных нарушений и утечек предусмотрены отдельные, иногда значительно более крупные санкции. Это разные составы, а не «миллион за один чекбокс».

Проверьте себя за 10 минут

Эта экспресс-проверка не заменяет анализ документов и систем, но быстро покажет, с чего начать. Ничего не удаляйте, не меняйте серверные настройки и не вводите реальные данные клиентов ради теста.

• 1 минута: откройте сайт в режиме инкогнито и найдите политику из каждой формы, в том числе на телефоне.
• 2 минуты: посмотрите, не отмечены ли согласия заранее и не объединены ли заявка и рекламная рассылка.
• 2 минуты: составьте список всех полей, которые просит сайт. Уберите из списка действительно ненужные для цели.
• 2 минуты: найдите запись оператора в реестре РКН и отметьте, соответствуют ли цели текущим процессам.
• 2 минуты: выясните у ответственного, куда поступает тестовая заявка и кто видит данные в CMS, почте и CRM.
• 1 минута: назначьте владельца задачи и выпишите три первых исправления.

Как привести сайт в порядок без полной переделки

Начать можно с инвентаризации существующих форм и сервисов, затем согласовать с профильным специалистом юридические основания и содержание документов, после этого внести технические изменения и проверить всю цепочку доставки заявки. Часто не требуется переписывать сайт или менять CMS: достаточно правильно настроить формы, ссылки, логику обязательных подтверждений и разграничение доступа.

Феерично Digital может помочь с технической стороной такого проекта: разобраться в маршруте заявок, исправить формы, связать их с нужными системами и проверить работу после изменений. Для вопросов содержания юридических документов и законности оснований обработки нужен профильный юрист. Техническая настройка сайта не является гарантией соблюдения закона во всей компании.

Для начала можно посмотреть наши услуги цифрового старта и настройки сайта. Если заявки идут сразу в несколько сервисов, отдельно оцениваем интеграции и автоматизацию. Объём работ и стоимость определяются после разбора конкретной схемы.

Нормативная основа: Статья 9 закона № 152-ФЗ (согласие), статья 18.1 (политика), статья 22 (уведомление), статья 13.11 КоАП РФ (ответственность).
* Сведения приведены по редакциям, действовавшим на дату статьи, они не заменяют юридическую консультацию.