На сайте есть форма заявки, обратный звонок, личный кабинет, подписка на новости и сервис аналитики. Каждый элемент собирает или передаёт сведения о посетителе. Ошибка бизнеса обычно состоит не в отсутствии одного волшебного документа, а в том, что формы, политика, согласия, подрядчики и фактические настройки сайта описывают разные процессы.
Комплект нужно собирать от реального пути данных. Сначала определить, что сайт получает, зачем и куда это отправляет. После этого становится понятно, какие документы нужны именно этому проекту.
Начните с карты данных
Проверьте каждую точку сбора. Это формы обратной связи и заказа, регистрация, чат, cookies, аналитика, платёжный модуль, виджеты карт, телефонии и социальных сетей. Для каждой точки зафиксируйте пять вещей.
- какие сведения получает сайт;
- у кого они собираются;
- для какой цели используются;
- в какие системы и каким подрядчикам передаются;
- когда данные удаляются.
Имя, телефон и электронная почта очевидно относятся к персональным данным. IP-адрес, идентификатор устройства и cookie тоже требуют оценки, если позволяют прямо или косвенно определить пользователя. Само техническое название файла ничего не решает. Важна возможность связать сведения с человеком в конкретной системе.
Такая карта быстро показывает лишний сбор. Если для ответа на вопрос достаточно телефона, дата рождения и адрес не нужны. Статья 5 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» требует, чтобы состав и объём данных соответствовали заявленным целям.
Публичная политика
Когда персональные данные собираются через интернет, часть 2 статьи 18.1 Закона № 152-ФЗ требует опубликовать политику на страницах сайта, где происходит сбор, и обеспечить доступ к ней.
Политика должна совпадать с работой сайта. В ней указывают оператора, категории субъектов и данных, цели и основания обработки, действия с данными, сроки хранения, порядок уничтожения, права пользователей, способы обращения и применяемые меры защиты. Если данные уходят в CRM, сервис рассылки или облачное хранилище, это должно быть учтено в схеме обработки.
Ссылка только в глубине футера может оказаться недостаточной для конкретной формы. Пользователь должен видеть документ до отправки данных. Сама политика не заменяет согласие, когда основанием обработки выбрано именно согласие.
Согласие у формы
С 1 сентября 2025 года статья 9 Закона № 152-ФЗ прямо требует оформлять согласие отдельно от других сведений и документов, которые подтверждает или подписывает человек. Поэтому согласие не следует прятать внутри пользовательского соглашения, оферты или общего текста под кнопкой.
Рабочая форма позволяет подтвердить отдельное действие пользователя и сохранить доказательство. Нужно фиксировать текст согласия, его версию, дату, время и технические сведения, позволяющие связать действие с заявкой. Заранее отмеченная галочка не показывает свободное волеизъявление.
Не каждой форме обязательно согласие. Например, часть данных может обрабатываться для заключения и исполнения договора. Но основание нужно выбрать до запуска формы, а не после претензии пользователя. Если сайт одновременно принимает заказ и подписывает человека на рекламу, это две разные цели. Согласие на рекламные сообщения оформляют отдельно.
Уведомление Роскомнадзора
По общему правилу статьи 22 Закона № 152-ФЗ оператор уведомляет Роскомнадзор до начала обработки. Закон содержит исключения, поэтому решение принимают после разбора всех процессов, а не только сайта.
В уведомлении указывают цели, категории данных и субъектов, способы обработки, меры защиты и место нахождения базы данных. Эти сведения должны совпадать с политикой, внутренними документами и фактическими системами. После изменения целей, адреса или информационной инфраструктуры сведения в реестре также проверяют и при необходимости обновляют.
Российская база и внешние сервисы
Часть 5 статьи 18 Закона № 152-ФЗ требует при сборе данных граждан России использовать для записи, систематизации, накопления, хранения, уточнения и извлечения базы данных на территории России, кроме предусмотренных законом случаев.
Поэтому недостаточно знать страну хостинга сайта. Нужно проверить, где находится первичная база CRM, куда отправляет заявку конструктор формы, кто обслуживает чат и что делает система аналитики. Внешний сервис может получить данные раньше российской базы, даже если итоговая карточка клиента затем появляется в российской CRM.
Передача подрядчику также требует правового оформления. Если сервис обрабатывает данные по поручению оператора, договор должен определить перечень данных и действий, цели, конфиденциальность, меры защиты и обязанность подтверждать их соблюдение.
Внутренние документы
Публичная политика закрывает только видимую часть работы. Юридическому лицу нужны локальные акты, которые распределяют ответственность внутри компании. Состав зависит от процессов, но обычно проверяют следующие документы.
- положение об обработке и защите персональных данных;
- приказ о назначении ответственного;
- перечень лиц с доступом;
- правила хранения и уничтожения;
- порядок ответа на обращения субъектов;
- порядок действий при инциденте;
- формы согласий и журнал их версий;
- поручения обработки подрядчикам.
Документ без реального процесса не защищает оператора. Если в положении указан один срок удаления, а резервные копии хранятся бессрочно, проблему создаёт именно расхождение.
Практическая проверка перед запуском
Откройте сайт как новый пользователь и пройдите все сценарии. Проверьте доступность политики, отдельность согласий, ссылки у каждой формы, сохранение доказательства и возможность отозвать согласие. Затем сопоставьте результат с уведомлением Роскомнадзора, договорами подрядчиков и настройками баз.
Для первого разбора можно пройти подбор документов для сайта. Он покажет вероятный комплект по ответам о формах, рекламе, аналитике, подрядчиках и специальных категориях данных. Итоговый состав всё равно нужно сверить с фактической архитектурой проекта.
Команда DEPA проводит аудит сайта и готовит документы в рамках направления персональные данные. Передать ссылку на сайт и описать задачу можно через форму обращения.