Персональные данные на сайте: формы, документы и уведомления

Кто отвечает за обработку

По статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор определяет цели обработки, состав данных и действия с ними. Для сайта компании это нужно выяснить до заполнения документов. Название разработчика или хостинга само по себе не отвечает на вопрос, кто решает, зачем собирать данные посетителей.

Составьте список действий на сайте: обращение через форму, обратный звонок, регистрация, заказ, подписка. Укажите, какие сведения нужны для каждого действия и кто их получает. Имя, телефон и почта в заявке относятся к конкретному человеку; содержимое сообщения и приложенных файлов тоже нужно учитывать.

Для каждой цели определите правовое основание. Согласие входит в перечень оснований статьи 6, но в нем есть и другие, в том числе обработка, необходимая для исполнения договора с субъектом данных. Поэтому одно согласие на все действия сайта нельзя выбирать по внешнему виду чужой формы. Основание и состав данных должны соответствовать вашей задаче.

Куда уходят телефон и почта

Посмотрите вместе с разработчиком обработчик формы и ее подключения. Записывается ли заявка в базу сайта, приходит ли письмо, создается ли запись в системе управления клиентами (CRM)? Проверьте получателей, доступ сотрудников, резервные копии и срок хранения. Удаление письма не удаляет запись из CRM или копии базы.

Ниже показан условный путь заявки. Ваш сайт может использовать только часть этих звеньев или другие сервисы. Подставьте свои системы и выясните, какие данные получает каждая из них. Отдельно проверьте аналитику, чат, виджеты и обращения браузера к внешним сервисам. Они могут работать до отправки формы.

Сайт с российским хостингом тоже требует проверки подключенных сервисов. Узнайте место баз данных и получателей у провайдеров; адрес сайта, язык интерфейса или страна регистрации домена не подтверждают место хранения.

Как проверить форму с согласием

Если обработка в выбранной форме основана на согласии, посетитель должен понимать, на что соглашается, и самостоятельно принять решение. С 1 сентября 2025 года часть 1 статьи 9 требует оформлять согласие отдельно от другой информации и документов, которые подтверждает или подписывает человек. Я советую дать текст согласия по отдельной ссылке рядом с его отметкой, чтобы его можно было прочитать до отправки.

Политика обработки описывает работу оператора. Отметкой посетитель выражает согласие на описанную рядом обработку. Надпись «согласен с политикой» не заменяет проверку содержания согласия и правового основания обработки. Согласие на рекламные сообщения также проверяйте отдельно от обращения за ответом на вопрос.

В коде формы обратного звонка я убрал отметку по умолчанию и добавил проверки в браузере и на сервере. Серверная проверка стоит до передачи заявки на отправку письма. Для другой формы, включая заказ или регистрацию, такую проверку нужно подтвердить отдельно, потому что настройка одного компонента не защищает остальные обработчики.

Проверьте, как можно подтвердить получение согласия. Часть 3 статьи 9 возлагает доказывание на оператора. В собственном QQkod я предусмотрел сохранение даты запроса с согласием и версии текста после подтверждения почты. Для вашего сайта заранее определите, какое событие фиксируется и как сохраненный текст связан с ним. Способ подтверждения нужно оценить с учетом вашей обработки.

• Откройте текст согласия до отправки и сравните его с полями формы и целью обработки.
• На тестовой копии проверьте запрос без согласия, в том числе напрямую на сервер. Если эта обработка основана на согласии, данные не должны уйти по обычному сценарию.
• После принятого согласия проверьте результат формы и сохранение подтверждения. Тестовые письма и записи направляйте в согласованные тестовые системы.

Какие документы опубликовать на сайте

Часть 2 статьи 18.1 обязывает оператора, который собирает данные через интернет, опубликовать документ о политике обработки и сведения о реализуемых требованиях к защите, обеспечить к ним доступ. Проверьте доступность документа со страниц, где посетитель вводит данные.

В политике должны быть сведения о вашей обработке. Сверьте оператора, цели, категории данных, действия, сроки, порядок прекращения обработки и обращения человека. Текст от другого сайта может описывать получателей, которых у вас нет, или пропускать подключенные вами сервисы.

Документы на сайте нужно связать с работой компании: кто имеет доступ, как обрабатываются обращения об удалении или отзыве согласия, какие данные сохраняются по другим основаниям. Статья 18.1 и требования безопасности статьи 19 охватывают организационные и технические меры. Публикация страницы с политикой сама по себе не подтверждает выполнение этих мер.

152-ФЗ на сайте Минтруда: основания, согласие и обязанности оператора

Уведомление об обработке персональных данных

Часть 1 статьи 22 предусматривает уведомление Роскомнадзора до начала обработки. Исключения перечислены в части 2 этой статьи. Если вы собираете обращения через сайт с автоматизированной обработкой, не считайте наличие политики и согласия заменой уведомления. Сначала проверьте применимость требования к вашей обработке.

Для подготовки потребуются сведения об операторе и фактической обработке: цели, категории людей и данных, основания, действия, используемые меры и место баз данных. Собирать их удобнее после проверки пути заявки. Так описание системы будет опираться на существующие подключения, а не на стандартные фразы из образца.

Для собственного QQkod я готовил и отправлял уведомление об обработке, а также отдельные уведомления о трансграничной передаче. После запроса Роскомнадзора уточнял сведения. При подаче сохраните документ и подтверждение отправки, затем следите за запросами и результатом рассмотрения. Отправку формы, запись в реестре и решение по трансграничной передаче проверяйте как разные события.

Официальная форма уведомления об обработке персональных данных

Если данные получает иностранный сервис

Выясните, получает ли иностранный сервис персональные данные и кто именно является получателем. Само иностранное название программы не описывает передачу. Важны передаваемые сведения, юридическое лицо или другой получатель, страна, место хранения и условия обработки.

Часть 5 статьи 18 регулирует использование баз данных при сборе персональных данных граждан России, включая сбор через интернет. Действующая с 1 июля 2025 года редакция запрещает перечисленные в ней операции при сборе с использованием баз за пределами России, с установленными законом исключениями. Поэтому подключение иностранного сервиса проверяйте и по правилам сбора, и по правилам дальнейшей передачи.

Часть 3 статьи 12 требует до начала деятельности по трансграничной передаче направить отдельное уведомление. До его подачи часть 5 этой статьи требует получить сведения от иностранного получателя. Помимо названия сервиса, нужны предусмотренные законом сведения о получателе, защите и условиях обработки.

Условия начала передачи проверяйте по действующей статье 12, перечню стран Роскомнадзора и ходу рассмотрения вашего уведомления. Поправки от 26.07.2026 № 265-ФЗ изменили положения о перечне стран. Если Роскомнадзор запросил сведения, проверьте срок ответа и приостановку рассмотрения. При запрете или ограничении проверьте, как решение влияет на работу с сервисом. Направление уведомления не отменяет требования к базам данных при сборе и правовому основанию обработки.

Официальная форма отдельного уведомления о трансграничной передаче