Если на сайте есть хотя бы одна форма — заявка, обратный звонок, подписка, оформление заказа, чат поддержки, — ваша компания по закону является оператором персональных данных. Имя и телефон в форме — уже персональные данные, и на них распространяются требования Федерального закона № 152-ФЗ «О персональных данных».
Разбираемся, что именно должно быть на сайте, где чаще всего ошибаются и как быстро подготовить нужные документы. Саму политику и текст согласия можно сформировать бесплатно в генераторе политики 152-ФЗ.
Чек-лист: что нужно сайту по 152-ФЗ
- Политика обработки персональных данных, опубликованная в открытом доступе.
- Отдельное согласие на обработку в каждой форме, где собираются данные.
- Уведомление Роскомнадзора об обработке персональных данных и внесение в реестр операторов.
- Хранение данных граждан РФ на серверах в России — включая CRM, сервисы рассылок и чаты.
- Порядок работы с запросами на отзыв согласия и удаление данных.
Ниже — подробнее по каждому пункту.
1. Политика обработки персональных данных
Статья 18.1 закона обязывает оператора иметь документ, определяющий его политику в отношении обработки персональных данных, а если данные собираются через сайт — опубликовать его и обеспечить к нему неограниченный доступ. На практике это ссылка в подвале каждой страницы и рядом с каждой формой.
В политике должно быть:
- наименование и реквизиты оператора (ООО или ИП, ИНН, ОГРН, адрес, контакты);
- перечень собираемых данных и категории субъектов (клиенты, посетители сайта, соискатели);
- цели обработки — конкретные, а не «для улучшения сервиса»;
- правовые основания и сроки обработки;
- какие действия с данными совершаются и передаются ли они третьим лицам;
- меры защиты данных;
- порядок отзыва согласия и контакт для обращений.
Самая частая ошибка — скопированная чужая политика, в которой остались чужие реквизиты, цели и перечень данных. Такой документ не защищает, а скорее подтверждает формальный подход.
2. Согласие на обработку данных
По ст. 9 закона согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие также должно оформляться отдельно от других документов — его нельзя «зашить» в оферту или пользовательское соглашение.
Что это значит для форм на сайте:
- Чекбокс не проставлен заранее. Пользователь отмечает его сам.
- Согласие на обработку данных — отдельной галочкой. Не в одном пункте с «принимаю условия оферты» и не вместе с согласием на рекламную рассылку.
- Рядом — ссылка на текст согласия и политику. Человек должен понимать, на что именно соглашается.
- Форма без согласия не отправляется. И это касается всех форм, включая всплывающие окна и виджеты чата.
3. Уведомление Роскомнадзора
С 1 сентября 2022 года практически все организации и ИП, которые обрабатывают персональные данные, обязаны уведомить об этом Роскомнадзор до начала обработки. Подать уведомление можно в электронном виде на портале персональных данных Роскомнадзора. Удобнее всего — с авторизацией через Госуслуги: тогда не нужно отправлять бумажную копию.
Сведения в уведомлении и в политике должны совпадать: цели, перечень данных, место нахождения баз данных. Если что-то меняется (например, вы подключили новую CRM или начали собирать данные соискателей), уведомление нужно актуализировать.
4. Хранение данных в России
По ч. 5 ст. 18 закона персональные данные граждан РФ должны записываться, накапливаться и храниться в базах данных на территории России. Это касается не только хостинга сайта, но и всего, куда попадают заявки: CRM, сервиса рассылок, онлайн-чата, таблиц и таск-трекера, в котором менеджеры ведут клиентов.
Подробнее о том, что на практике означает локализация, — в статье «Данные в РФ: что это значит».
5. Отзыв согласия и запросы субъектов
Человек вправе в любой момент отозвать согласие. После этого оператор должен прекратить обработку и уничтожить данные в срок до 10 рабочих дней (с возможностью мотивированного продления ещё на 5 рабочих дней), если нет других законных оснований для их хранения.
Чтобы укладываться в сроки, нужен понятный процесс: куда поступает запрос, кто за него отвечает и как фиксируется исполнение. Удобно заводить на каждый такой запрос задачу со сроком и ответственным — тогда ни одно обращение не потеряется.
Чем грозит несоблюдение
Ответственность предусмотрена ст. 13.11 КоАП РФ. Отдельные составы есть за отсутствие опубликованной политики, за обработку данных без согласия, за неподанное уведомление, за нарушение локализации и за утечки. Для юридических лиц штрафы исчисляются сотнями тысяч рублей, за нарушение локализации — миллионами, а за повторные утечки с 2025 года предусмотрены оборотные штрафы.
Роскомнадзор проверяет сайты в том числе автоматически, а поводом для разбирательства часто становится жалоба недовольного клиента или конкурента. Актуальные размеры штрафов сверяйте с действующей редакцией КоАП: в последние годы они несколько раз повышались.
Типичные ошибки
| Ошибка | Как правильно |
|---|---|
| Политика скопирована с чужого сайта | Реквизиты, цели и перечень данных — ваши |
| Галочка согласия стоит по умолчанию | Пользователь ставит её сам |
| Согласие спрятано в оферте | Отдельный документ и отдельный чекбокс |
| Форма в попапе или виджете без согласия | Согласие во всех формах без исключения |
| Заявки уходят в зарубежную CRM или таблицу | Сервисы с серверами в РФ |
| Уведомление в РКН не подано или устарело | Подать и обновлять при изменениях |
Как быстро подготовить документы
В бесплатном генераторе политики 152-ФЗ достаточно указать реквизиты компании, адрес сайта и собираемые данные — и через минуту у вас будет готовая политика обработки персональных данных и текст согласия для чекбокса. Регистрация не нужна.
Генератор даёт качественную типовую основу. Если вы обрабатываете специальные категории данных (здоровье, биометрия), передаёте данные за рубеж или работаете с большими объёмами, стоит дополнительно проконсультироваться с юристом.
Что делать с заявками дальше
Политика и чекбокс — только начало. Важно, где дальше живут данные клиента. Орбита 365 размещена на серверах в России, а встроенный виджет поддержки для сайта уже содержит чекбокс согласия по 152-ФЗ. Обращения из виджета автоматически связываются с карточкой клиента в CRM, а роли и права доступа ограничивают, кто из сотрудников видит клиентскую базу.
Попробовать можно на бесплатном тарифе «Импульс» (до 5 пользователей) или в демо-среде. Другие бесплатные сервисы для бизнеса собраны в обзоре «Бесплатные онлайн-инструменты для предпринимателя».