Сайту с формой заявки по 152-ФЗ нужны 6 документов и одно уведомление в Роскомнадзор, а на ответ человеку, запросившему свои данные, закон отводит 10 рабочих дней. Минимальный штраф для компании за отсутствие политики обработки персональных данных обычно начинается от 60 000 ₽, а за сбор данных без согласия суммы кратно выше.
Персональные данные - это любая информация, относящаяся к определённому человеку. Имя и телефон в форме заявки, e-mail, cookie-идентификатор и запись разговора с колл-центром попадают под закон в равной степени.
I. Что требует 152-ФЗ от сайта
- Законное основание обработки. Для маркетинговых форм это согласие субъекта, оформленное отдельно и добровольно.
- Информирование. Человек должен до отправки формы понимать, кто обрабатывает данные, зачем, сколько хранит и как отозвать согласие.
- Ограничение цели. Данные, собранные для расчёта стоимости, нельзя без нового согласия использовать для рассылок.
- Безопасность. Доступ к базе только у сотрудников по списку, шифрование канала (HTTPS), журналирование доступа.
- Локализация. Первичный сбор и хранение данных россиян - на серверах в России, зарубежные сервисы могут использоваться только вторично.
- Срок хранения. Данные удаляются или обезличиваются, когда цель обработки достигнута, обычно это фиксируется как 1-3 года.
II. 6 обязательных документов
| Документ | Где размещается | Зачем |
|---|---|---|
| Политика обработки персональных данных | Открытая ссылка в футере | Публичный документ, его отсутствие проверяется первым |
| Согласие на обработку данных | Чекбокс у формы | Основание для обработки контактов из заявки |
| Согласие на рекламную рассылку | Отдельный чекбокс | Без него рассылки и звонки - отдельный состав нарушения |
| Приказ о назначении ответственного | Внутренний документ | Требование к оператору данных |
| Положение о защите данных и перечень мер | Внутренний документ | Описывает, кто и как имеет доступ |
| Журнал учёта носителей и допусков | Внутренний документ | Подтверждает выполнение мер безопасности |
Четыре из шести документов внутренние - их не публикуют на сайте, но при проверке запрашивают в первую очередь. Подготовка комплекта силами юриста обычно занимает 3-10 рабочих дней.
III. Как оформить форму заявки
- Чекбокс согласия не должен быть проставлен заранее - галочку ставит сам человек.
- Текст рядом с чекбоксом содержит ссылку на политику, открывающуюся в новой вкладке.
- Согласие на обработку и согласие на рекламу - два разных чекбокса, а не один общий.
- В форме собираются только те поля, которые реально нужны: телефон и имя, а не паспорт и адрес «на всякий случай».
- Кнопка отправки блокируется, пока согласие не отмечено - это фиксирует добровольность.
- Факт согласия логируется: дата, время, версия текста политики, IP. Хранить такой лог разумно 3 года.
Отдельно стоит продумать чат-боты, виджеты обратного звонка и квизы. Они собирают тот же телефон, но часто ставятся на сайт как сторонний скрипт, и текст согласия в них по умолчанию либо отсутствует, либо ссылается на политику разработчика виджета, а не вашу. При аудите сайтов это встречается едва ли не чаще, чем ошибки в основной форме: сама форма оформлена корректно, а всплывающий виджет в правом нижнем углу собирает номера вообще без согласия. Проверьте каждый канал сбора контактов отдельно - обычно их на сайте оказывается 3-5, а не один.
Ещё один недооценённый источник данных - счётчики аналитики и пиксели рекламных систем. Они пишут cookie и идентификаторы устройства, а это тоже относится к персональным данным при возможности связать их с человеком. Практический минимум: баннер об использовании cookie с возможностью отказаться от необязательных, упоминание аналитических систем в политике и указание срока хранения данных, обычно 12-24 месяца.
Частая ошибка - формулировка «нажимая кнопку, вы соглашаетесь». Для рекламных рассылок и звонков этого обычно недостаточно: нужно активное действие пользователя, то есть отмеченный им чекбокс.
IV. Уведомление в Роскомнадзор
Компания, собирающая контакты через сайт, подаёт уведомление о намерении обрабатывать персональные данные. Подаётся оно через портал регулятора, рассматривается обычно в течение 30 дней, после чего оператор попадает в открытый реестр. Госпошлины за подачу нет, а вот работа без уведомления - самостоятельный состав нарушения.
При изменении сведений - смена адреса, целей обработки, ответственного лица - подаётся информационное письмо. Разумный срок реакции: 10 рабочих дней с момента изменения. Отдельно уведомляют регулятор об утечке: закон требует сообщить о факте инцидента в течение 24 часов, а о результатах внутреннего расследования - в течение 72 часов.
V. Штрафы и сроки реакции
| Нарушение | Юридическое лицо | Комментарий |
|---|---|---|
| Нет политики в открытом доступе | от 60 000 ₽ | Проверяется автоматически, без выезда |
| Обработка без согласия | от 150 000 ₽ | Растёт при повторности |
| Нарушение локализации баз | от 1 000 000 ₽ | Один из самых дорогих составов |
| Несообщение об утечке | Отдельный крупный штраф | Срок реакции 24 часа |
| Игнор запроса субъекта данных | от 30 000 ₽ | Ответ обязан быть в 10 рабочих дней |
Практический вывод: комплект документов и корректная форма обходятся в несколько десятков тысяч рублей разово, а один штраф по среднему составу перекрывает эту сумму в 3-5 раз. Плюс приостановка обработки данных фактически останавливает поток заявок, и потери от простоя обычно больше самого штрафа.
VI. Данные, которые вы отдаёте подрядчикам
Если заявки принимает не только ваш сайт, но и подрядчик по трафику, колл-центр или CRM-сервис, каждый из них - отдельный обработчик. С ними нужно поручение на обработку в договоре, где описаны перечень данных, цели и меры защиты. Это касается и модели лидов с оплатой за результат: контакт человека передаётся вам, и основание передачи должно быть зафиксировано.
Проверьте два момента: откуда подрядчик берёт контакт и что человек видел в момент отправки формы. Если заявка собрана на чужой посадочной странице без корректного согласия, риск ложится и на вас как на получателя. Заодно это влияет на качество обращений - как их оценивать, разобрано в материале про оценку качества лидов.
Терминологию по приёмке обращений стоит закрепить в договоре отдельно, чтобы не спорить постфактум: базовое определение есть в тексте про валидную заявку.
VII. Короткий итог
152-ФЗ для сайта сводится к простому набору: политика в футере, два раздельных чекбокса у формы, четыре внутренних документа, уведомление в Роскомнадзор и логирование согласий. На подготовку уходит 3-10 рабочих дней, на ответ человеку по его запросу - 10 рабочих дней, на сообщение об утечке - 24 часа. Минимальный штраф начинается от 60 000 ₽ и быстро растёт при повторности, поэтому дешевле закрыть вопрос до первой проверки, а не после.
Наши работы
Сайты, которые студия уже запустила
Четыре проекта N3MIROFF, которые можно открыть прямо сейчас и посмотреть, как они работают.
Агротех с ИИ
SkyFarm ↗
Редизайн сайта систем выращивания: первый экран с контейнерной фермой, схема работы из трёх шагов, карусель продуктов и экран приложения.
Сайт салона
ayvazzovsky.com ↗
Салон сложного окрашивания в Москве: онлайн-запись, видео работ, портфолио и команда. Переехал с Тильды на свой хостинг.
Онлайн-академия
ayvazzovsky.academy ↗
Видеоуроки колористики: каталог, посадочные страницы уроков, личный кабинет и промокоды.
Event-агентство
navsegda-event.ru ↗
НАВСЕГДА: корпоративы и конференции - услуги, кейсы, этапы работы и расчёт мероприятия.
Витрина магазина
Monkey Market ↗
Премиальная витрина магазина кроссовок с заказом в Telegram.
Хотите поток заявок без юридических дыр в форме?
Посмотрим, как сейчас собираются контакты на вашем сайте, и настроим канал обращений с корректным оформлением согласий.
Частые вопросы
Нужна ли политика конфиденциальности, если на сайте только форма обратного звонка?
Да, номер телефона - это персональные данные, поэтому политика обязательна, а у формы нужен чекбокс согласия. Отсутствие политики в открытом доступе проверяется дистанционно, и штраф для компании обычно начинается от 60 000 ₽.
Сколько времени даётся на ответ человеку, запросившему свои данные?
Закон отводит 10 рабочих дней на ответ по запросу субъекта персональных данных, срок может быть продлён ещё на 5 рабочих дней с уведомлением заявителя. По требованию об удалении данных реагировать нужно в те же сроки.
Достаточно ли одного чекбокса на согласие и на рассылку?
Нет, это разные цели обработки, поэтому чекбокса должно быть два: согласие на обработку данных для ответа на заявку и отдельное согласие на рекламные сообщения. Объединение целей в одну галочку - типовое замечание при проверке.
Можно ли хранить базу заявок в зарубежном сервисе?
Первичный сбор и хранение данных граждан России должны происходить на серверах в России, а зарубежный сервис допустим только как вторичный. Нарушение локализации - один из самых дорогих составов, штраф для юрлица начинается от 1 000 000 ₽.
Что делать при утечке базы клиентов?
Сообщить в Роскомнадзор о факте инцидента в течение 24 часов, провести внутреннее расследование и направить его результаты в течение 72 часов. Параллельно фиксируются доказательства, ограничивается доступ к системе и уведомляются затронутые люди.
Разберём вашу форму и источник заявок
Оставьте заявку - проверим оформление формы, укажем слабые места и покажем, как получать обращения с оплатой за результат.
Получить целевые заявки → Telegram