Сбор персональных данных через веб-формы: что проверить маркетингу и бизнесу
Форма заявки, подписка на рассылку, калькулятор стоимости, регистрация в личном кабинете или cookie-баннер выглядят как обычные элементы сайта. Но для компании каждый из них может быть частью процесса обработки персональных данных.
Основные риски возникают не из-за самой веб-формы, а из-за того, как вокруг нее выстроен процесс: какие сведения собираются, зачем они нужны, на каком основании обрабатываются, куда передаются, что написано в политике и совпадает ли это с тем, что происходит на сайте фактически.
Для маркетинга это особенно чувствительная зона. Сайт может одновременно собирать контакты, данные для аналитики, сведения о поведении пользователя и информацию для рекламных коммуникаций. И для разных операций могут применяться разные требования.
Форма на сайте уже становится частью процесса обработки ПДн
Для анализа аудитории и продаж компании собирают через сайты пол, возраст, геолокацию, контакты, историю покупок, сведения об источнике перехода, устройстве и поведении пользователя на страницах.
Сам по себе маркетинговый интерес не отменяет требований 152-ФЗ.
У обработки должно быть законное основание. Поэтому форма заявки или регистрации не должна существовать отдельно от документов и логики, объясняющих пользователю, зачем собираются сведения и что компания будет с ними делать.
Если компания использует согласие, важно, чтобы оно выражало осознанное волеизъявление пользователя. Автоматически установленные галочки создают риск, поскольку пользователь не совершает отдельного действия для подтверждения выбора. С 1 сентября 2025 года согласие на обработку ПДн также должно оформляться отдельно от иной информации и документов, которые пользователь подтверждает или подписывает.
За обработку персональных данных в случаях, не предусмотренных законодательством, либо за обработку, несовместимую с целями их сбора, для юридических лиц предусмотрена ответственность по части 1 статьи 13.11 КоАП РФ — штраф до 300 тыс. рублей.
Если сайт давно работает, а формы, согласия и подключенные сервисы добавлялись постепенно, разумно начинать с аудита соответствия обработки персональных данных требованиям 152-ФЗ: он позволяет сопоставить то, что написано в документах, с фактической обработкой.
Проверьте формы до того, как их проверят снаружи
Можно отдельно сверить формы сбора, основания обработки, согласия, политику, подрядчиков и маршруты передачи данных и понять, где сайт уже расходится с требованиями и внутренними документами.
Проверить сайт и процессы сбора ПДн
Согласие на заявку и согласие на рассылку работают по-разному
Одна из типичных ошибок возникает, когда компания пытается одним действием пользователя закрыть сразу несколько разных целей.
Человек может оставить телефон, чтобы получить расчет стоимости или обратный звонок. Это само по себе еще не означает, что этот же контакт можно автоматически включить в маркетинговые рассылки.
Отправка заявки сама по себе не подтверждает согласие на последующее получение рекламы. Для распространения рекламы по сетям электросвязи требуется предварительное согласие абонента или адресата. Если обработка ПДн для рекламной цели основана на согласии, оно также должно отвечать требованиям статьи 9 152-ФЗ. Поэтому на практике заявку и согласие на рекламные коммуникации лучше разделять, например с помощью отдельного непредустановленного чекбокса.
Пользователь должен понимать, на какую обработку он соглашается, и иметь возможность отказаться от дополнительной цели, не теряя доступ к основной функции формы.
Если тексты согласий и политика давно не пересматривались, можно актуализировать комплект документов по 152-ФЗ под фактические цели и сценарии обработки.
Чем больше полей, тем выше риск избыточного сбора
Еще одна распространенная проблема — собирать на всякий случай больше данных, чем действительно нужно.
Если компания хочет отправлять человеку новости по email, ей стоит уметь объяснить, зачем для этого нужны дополнительные сведения вроде должности, даты рождения или других параметров.
152-ФЗ исходит из того, что объем данных должен соответствовать цели обработки.
Поэтому хороший практический вопрос для любой веб-формы звучит так: сможем ли мы обосновать необходимость каждого поля?
Если ответ отрицательный, форму лучше пересмотреть до того, как она станет источником накопившейся базы избыточных данных.
Политика должна описывать реальный сайт, а не типовой бизнес
Опубликованная политика обработки персональных данных — не декоративная страница в футере.
Она должна соответствовать реальным процессам компании.
Если сайт собирает данные через форму обратной связи, аналитику, регистрацию, маркетинговые инструменты и сторонние сервисы, а политика описывает только «обработку контактных данных для ответа на обращение», возникает расхождение между документом и фактической работой сайта.
Поэтому копирование шаблона не решает задачу.
Для каждой цели обработки в документах нужно определить категории и состав ПДн, категории субъектов, способы и действия с данными, сроки обработки и хранения, а также порядок уничтожения.
За невыполнение обязанности по опубликованию документа, определяющего политику оператора в отношении обработки персональных данных, для юридических лиц предусмотрена ответственность по части 3 статьи 13.11 КоАП РФ — штраф до 60 тыс. рублей.
При комплексной настройке таких процессов имеет смысл смотреть шире одной политики: соответствие 152-ФЗ и подготовка к контролю Роскомнадзора включает не только публичные документы, но и саму модель обработки.
Cookie тоже нельзя рассматривать отдельно от остальной обработки
Cookie и системы аналитики часто подключаются маркетингом как технический инструмент, хотя фактически они могут участвовать в идентификации пользователя и отслеживании его поведения.
Если сведения, получаемые с помощью cookie и систем аналитики, позволяют прямо или косвенно определить пользователя, такую обработку нужно учитывать в общей модели обработки персональных данных.
152-ФЗ не устанавливает отдельной обязательной формы или содержания cookie-баннера. Поэтому важно не только наличие баннера, но и правовое основание обработки, информирование пользователя и соответствие технической логики сайта заявленной модели.
Если обработка конкретных данных основана на согласии, сайт должен позволять корректно получить и подтвердить такое согласие.
Иногда интерфейс предлагает пользователю сделать выбор, но соответствующие аналитические или рекламные скрипты уже начинают обработку данных до этого выбора. В таком случае внешний интерфейс и фактическая техническая логика сайта расходятся.
Самая незаметная зона риска — иностранная аналитика и маркетинговые сервисы
Документы под формами — только одна часть проверки. Нужно понимать, куда данные отправляются технически.
Компания может собирать заявку на российском сайте, но использовать зарубежную аналитику, CRM, сервис рассылки, чат, виджет обратной связи или другую платформу, через которую сведения уходят дальше.
Поэтому полезно составить карту потоков:
форма на сайте → система, которая получает данные → место первичной записи → дальнейшие получатели → внешние сервисы.
Особенно это важно после усиления требований к локализации.
При сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся за пределами России, не допускаются, кроме предусмотренных законом исключений. За первичное нарушение требований локализации для юридических лиц предусмотрен штраф от 1 до 6 млн рублей по части 8 статьи 13.11 КоАП РФ.
Поэтому при использовании иностранных маркетинговых платформ нужно выяснить, какие операции с данными выполняет сервис и где находятся используемые для этого базы данных.
Отдельно оценивается трансграничная передача. Если персональные данные передаются иностранному получателю на территорию иностранного государства, необходимо проверить применимость статьи 12 152-ФЗ, наличие правового основания и обязанность по уведомлению Роскомнадзора.
Для таких сценариев есть отдельное направление по локализации персональных данных в России.
Разберите маршрут данных до подключения следующего сервиса
Если в маркетинговом стеке уже есть иностранная аналитика, CRM, виджеты, рассылки или другие внешние платформы, можно отдельно проверить первичный сбор, дальнейшую передачу и договорную модель.
Проверить маршрут персональных данных
Российский сайт еще не означает, что все данные остаются в России
Местонахождение самого сайта и маршрут пользовательских данных — разные вещи.
Форма может визуально находиться на российском домене, а ее техническая часть использовать внешний сервис.
Маркетинговое подразделение при этом может даже не воспринимать подключенный виджет или счетчик как передачу персональных данных другому участнику.
Поэтому проверять нужно не только интерфейс сайта, но и фактическую архитектуру: какие скрипты подключены, куда идут запросы и какие сервисы получают информацию о пользователях.
Такая инвентаризация полезна не только для локализации. Она помогает понять, какие подрядчики фактически участвуют в обработке и правильно ли оформлены отношения с ними.
Если вопрос уже выходит за рамки документов и требует проверки информационных систем, доступов и технического контура, здесь уместен технический аудит ИСПДн.
Договор с сервисом тоже должен соответствовать реальной роли подрядчика
Если внешняя платформа получает персональные данные и обрабатывает их в интересах оператора, нужно определить, возникает ли обработка по поручению и соответствуют ли договорные условия требованиям 152-ФЗ.
Самого факта оплаты SaaS-сервиса недостаточно, чтобы договорный контур считался оформленным.
Стоит проверить, какие данные получает поставщик, зачем они ему нужны, какие операции он выполняет и действует ли только по указаниям компании или использует сведения для собственных целей.
Это особенно актуально для CRM, email-платформ, сервисов аналитики, коллтрекинга и других инструментов маркетингового стека.
Если договорные условия не соответствуют фактической обработке, их можно включить в общую разработку и актуализацию документов по 152-ФЗ.
Почему даже небольшой сайт может попасть в поле зрения регулятора
Еще одна слабая стратегия — исходить из того, что Роскомнадзор интересуется только крупными компаниями.
Роскомнадзор использует автоматизированную систему мониторинга прав субъектов персональных данных в сети Интернет — АС МПДн. Она применяется для выявления на интернет-ресурсах признаков возможных нарушений законодательства о персональных данных.
Это означает, что часть потенциальных несоответствий может выявляться дистанционно. При этом результаты автоматизированного мониторинга могут потребовать дальнейшей проверки и оценки специалистом.
Практический вывод здесь не в том, что каждый сайт обязательно получит предписание.
Он в другом: часть проблем можно выявить дистанционно, еще до прямого взаимодействия с компанией. Поэтому отсутствие предыдущих запросов от регулятора не подтверждает корректность текущей модели обработки.
Если такие изменения приходится отслеживать постоянно, а не разово перед проверкой, абонентская поддержка по 152-ФЗ позволяет поддерживать документы и процессы в актуальном состоянии по мере изменения сайта и сервисов.
Что маркетингу и бизнесу стоит проверить на сайте
Для проверки сайта удобно использовать следующий чек-лист.
Все формы сбора данных. Нет ли предустановленных согласий и понятно ли пользователю основание обработки.
Отдельную маркетинговую цель. Не включается ли человек в рекламные коммуникации автоматически вместе с отправкой основной заявки.
Количество полей. Нужны ли все запрашиваемые данные именно для заявленной цели.
Политику и согласия. Совпадают ли документы с тем, что сайт и подключенные сервисы делают на практике.
Подрядчиков и внешние платформы. Соответствуют ли договоры фактической обработке и правильно ли определены роли сторон.
Ответственного за организацию обработки ПДн. Назначен ли он и закреплены ли его полномочия. Если компании нецелесообразно выделять внутреннего специалиста, существует аутсорсинг ответственного за организацию обработки персональных данных.
Доступы к CRM, почте и маркетинговым сервисам. Кто может просматривать, изменять и выгружать данные, используется ли двухфакторная аутентификация и журналирование.
Подготовку сотрудников. Люди, работающие с ПДн, должны понимать внутренние правила и порядок действий. Для этого можно использовать обучение по защите персональных данных.
Маршрут данных. Где происходит первичный сбор и уходят ли сведения иностранным сервисам или получателям.
Главная проблема — несогласованность маркетинга, сайта и документов
Большинство описанных рисков возникает не потому, что компания сознательно решила нарушить требования.
Чаще сайт развивался быстрее privacy-процессов.
Маркетинг добавил новую форму. Подрядчик подключил аналитику. Отдел продаж сменил CRM. Появился сервис рассылки. Через несколько месяцев опубликованная политика и первоначальная схема обработки уже не описывают реальную систему.
Поэтому проверять соответствие полезно не только перед запуском сайта, но и после заметных изменений маркетингового стека.
Аудит соответствия требованиям 152-ФЗ позволяет сопоставить фактические процессы, сайт, документы, подрядчиков и маршруты данных и найти расхождения до того, как они обнаружатся при внешней проверке.
Когда форм, систем, подрядчиков и целей становится много, Privacy Box можно использовать для систематизации процессов обработки ПДн, реестров, ответственных и изменений без постоянной ручной сверки нескольких таблиц.
Если сайт меняется быстрее документов
При регулярном подключении новых форм, аналитики, CRM и внешних сервисов разовая проверка быстро устаревает. Здесь задача уже не только в исправлении конкретной формы, а в том, чтобы выстроить процесс согласования изменений.
Обсудить настройку privacy-процесса
Главное
Правомерный сбор данных через веб-формы — это не вопрос одной галочки под кнопкой «Отправить».
Нужно связать между собой цель обработки, набор полей, правовое основание, согласия, политику, cookie и аналитику, внешние сервисы, договоры, локализацию и фактический маршрут информации.
Чем сложнее маркетинговая инфраструктура, тем выше вероятность, что отдельные элементы перестанут совпадать друг с другом.
Поэтому наиболее полезная проверка начинается не с переписывания политики, а с вопроса: что реально происходит с данными после того, как пользователь нажал кнопку на сайте?
Для разовой проверки можно начать с аудита соответствия 152-ФЗ, для исправления документов — с их разработки и актуализации, а при иностранных сервисах отдельно проверить локализацию персональных данных.