Любая форма заявки на сайте означает обработку персональных данных и несколько обязанностей по закону. Разбираем, что требует 152-ФЗ, по тексту самого закона.
Коротко
- Персональные данные определены предельно широко.
- Сбор через сайт — это уже обработка.
- Политику нужно опубликовать на сайте.
- Уведомление подаётся до начала обработки.
Что закон называет персональными данными
Определение из статьи 3 закона: «персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».
| Элемент определения | Что из него следует |
|---|---|
| «Любая информация» | Перечня данных в законе нет |
| «Прямо или косвенно» | Достаточно косвенной связи с человеком |
| «Определённому или определяемому» | Важна возможность установить лицо |
Из широты определения следует главное: закон не даёт закрытого списка, что считать персональными данными, а описывает признак — соотносимость с человеком. Подробнее о том, как это применяется к полям формы, — в статье про то, какие данные считаются персональными.
Когда компания становится оператором
Статья 3 определяет оператора как государственный или муниципальный орган, «юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными».
| Признак | Как выглядит у обычной компании |
|---|---|
| Организует обработку | Поставила форму заявки на сайт |
| Определяет цели | Решила, зачем собирает контакты |
| Определяет состав данных | Выбрала поля формы |
| Определяет действия | Решила, что данные попадут в CRM |
Перечень действий, которые закон относит к обработке, тоже широкий. Статья 3 включает в обработку «сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение». То есть само получение заявки и её сохранение — уже обработка, независимо от того, что происходит дальше.
Согласие субъекта
Статья 9 задаёт сразу несколько требований к согласию: субъект даёт его «свободно, своей волей и в своем интересе», согласие «должно быть конкретным, предметным, информированным, сознательным и однозначным», может быть дано «в любой позволяющей подтвердить факт его получения форме». С изменениями 2025 года добавлено: согласие «должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных».
| Требование | Что проверять в форме |
|---|---|
| Конкретное и предметное | Названа цель и состав данных |
| Информированное | Человек видит, на что соглашается |
| Однозначное | Активное действие, а не умолчание |
| Оформлено отдельно | Не вместе с другими документами |
| Подтверждаемое | Факт получения можно доказать |
Последняя строка опирается на часть 3 той же статьи: «Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных… возлагается на оператора». То есть хранить нужно не только данные, но и факт согласия. Как это устроено в форме заявки — в статье про согласие на обработку данных в форме.
Политика в отношении обработки
Статья 18.1 часть 2 формулирует обязанность для сайтов отдельно: оператор, «осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта… с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу».
| Что требуется | Деталь формулировки |
|---|---|
| Опубликовать документ | Политику в отношении обработки |
| Опубликовать сведения о защите | О реализуемых требованиях |
| На страницах сбора данных | Там, где стоит форма |
| Обеспечить доступ | Документ должен открываться |
Третья строка — то, что обычно упускают. Норма говорит не «где-нибудь на сайте», а о страницах, с использованием которых осуществляется сбор. Что входит в сам документ — в статье про политику обработки персональных данных.
Уведомление уполномоченного органа
Статья 22 часть 1: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи».
Главное изменение последних лет — в самой части 2. Из девяти исключений шесть утратили силу по закону от 14.07.2022 № 266-ФЗ. В тексте остались только три: государственные информационные системы, созданные для защиты безопасности государства и общественного порядка; обработка «исключительно без использования средств автоматизации»; и случаи, предусмотренные законодательством о транспортной безопасности. Прежние исключения — вроде обработки данных работников или данных, полученных в связи с договором, — из текста убраны.
Что это значит для сайта, который собирает заявки, — вопрос применения нормы к конкретной ситуации, и здесь уместен юрист. Но сам текст закона больше не содержит исключения, под которое такая обработка раньше подводилась. Порядок и состав сведений — в статье про уведомление в Роскомнадзор.
Где должны находиться базы данных
Статья 18 часть 5 в редакции 2025 года: при сборе персональных данных, в том числе через интернет, «запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются», за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6.
| Что затрагивает | Почему |
|---|---|
| Хостинг сайта с формой | Запись и хранение данных |
| CRM и её сервер | Накопление и извлечение |
| Сервис рассылок | Хранение базы подписчиков |
| Внешние формы и квизы | Запись на стороне сервиса |
Эта норма чаще всего всплывает при выборе сервисов, а не хостинга. Решение о том, попадает ли ваш набор инструментов под исключения статьи 6, — правовая оценка, и её стоит получать у юриста, а не выводить из статьи в блоге. Технически же вопрос решается на этапе выбора: про хостинг — в статье про то, как выбрать хостинг, про рассылки — в статье про выбор сервиса рассылок.
Частые вопросы
Что закон относит к персональным данным?
Статья 3 определяет их как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу. Закрытого перечня в законе нет.
Становится ли компания оператором из-за формы на сайте?
Оператором закон называет лицо, которое организует или осуществляет обработку и определяет её цели, состав данных и действия с ними. Применение этого определения к конкретной компании — вопрос для юриста.
Где нужно размещать политику обработки персональных данных?
Статья 18.1 требует опубликовать документ на страницах сайта, с использованием которых осуществляется сбор данных, и обеспечить возможность доступа к нему.
Когда подаётся уведомление в уполномоченный орган?
Статья 22 требует уведомить до начала обработки. Из девяти исключений части 2 шесть утратили силу в 2022 году.
Можно ли хранить данные клиентов на зарубежном сервере?
Статья 18 часть 5 не допускает запись, хранение и ряд других действий с данными граждан России в базах за пределами страны, кроме случаев, указанных в статье 6.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
