Посетитель оставляет телефон в форме обратного звонка. Кандидат прикрепляет резюме на странице вакансии. Маркетинг подключает новую метрику, а заявка после отправки автоматически попадает в CRM.
На сайте при этом давно размещена политика обработки персональных данных, и команда может считать, что базовые требования уже закрыты.
Для 152-ФЗ важен весь маршрут данных: что собирает сайт, для какой цели, на каком основании, куда информация попадает после отправки формы, какие сервисы получают ее по пути и совпадает ли фактическая обработка с документами.
Сайт услуг или работодателя удобнее проверять по реальным сценариям. Пользователь заходит на страницу, начинают работать cookie и метрики, затем он заполняет форму, сведения попадают в CRM или HR-систему, могут передаваться подрядчикам, храниться и впоследствии удаляться.
Сайт объединяет несколько процессов обработки ПДн
Даже на небольшом корпоративном сайте одновременно могут работать форма заявки, обратный звонок, подписка, отклик на вакансию, регистрация на мероприятие, онлайн-чат, веб-аналитика и интеграция с CRM. Часть систем поддерживает сама компания, часть обслуживают подрядчики.
У этих процессов могут различаться цели, состав данных, правовые основания и дальнейший маршрут информации.
Поэтому наличие политики в футере еще не говорит о соответствии сайта требованиям закона. Нужно сопоставить документ с тем, как сайт работает сейчас.
Для первичной сверки можно начать с аудита соответствия требованиям 152-ФЗ: восстановить реальные точки сбора и передачи данных, а затем сравнить их с документами.
Маршрут № 1. Клиент оставил заявку: что происходит с данными дальше
Возьмем обычную форму на сайте компании услуг. Пользователь указывает имя, телефон, email, оставляет комментарий и отправляет заявку.
Для маркетинга действие завершено. С точки зрения обработки ПДн дальше начинается несколько процессов.
Нужно определить, зачем требуется каждое поле, на каком основании компания обрабатывает сведения, какой документ размещен рядом с формой и куда данные передаются после отправки. Важно знать, попадают ли они в CRM, получает ли их сервис уведомлений, онлайн-чат или иной подрядчик, где происходит запись, сколько будут храниться сведения и кто внутри компании получит к ним доступ.
Расхождение часто возникает после технического изменения. Компания заменяет CRM, подключает новый сервис заявок или подрядчик добавляет интеграцию. Для посетителя форма выглядит по-прежнему, но маршрут ПДн уже изменился.
Не собирайте данные, которые не нужны для цели
Статья 5 152-ФЗ связывает обработку с конкретными, заранее определенными и законными целями. Состав собираемых данных тоже должен соответствовать этой цели.
Если человеку нужен обратный звонок, проверьте, нужны ли компании для этого должность, город, дата рождения и другие дополнительные сведения.
Когда поле не нужно для заявленной задачи, корректнее убрать его из формы, а не расширять текст согласия.
Особенно часто лишние поля остаются на старых корпоративных сайтах. Форма менялась постепенно, а объяснить, зачем сегодня собирается часть сведений, уже никто не может.
Маршрут № 2. Кандидат отправил резюме через сайт
На сайте работодателя возникает отдельный процесс.
После заполнения формы резюме может поступить HR по электронной почте, автоматически сохраниться в кадровой системе или ATS, попасть внешнему рекрутеру либо остаться в сервисе, через который работает страница вакансий.
Проверка строится по той же логике: какие данные собираются, для какой цели, на каком основании, куда передаются, где хранятся и кто имеет доступ.
Клиентскую заявку и отклик кандидата нельзя объединять в один процесс только потому, что обе формы расположены на одном сайте. У них разные категории субъектов, цели и дальнейшая обработка.
Страницу вакансий лучше проверять отдельно: какие поля запрашивает компания, куда приходит резюме, кому оно доступно и отражен ли кадровый процесс в документах по ПДн.
Маршрут № 3. Пользователь еще не заполнял форму, а обработка уже началась
До отправки заявки на сайте могут работать cookie, метрические и рекламные инструменты, технические идентификаторы и сторонние скрипты.
Не каждый cookie-файл автоматически содержит персональные данные. Но если технические идентификаторы и другие сведения позволяют прямо или косвенно определить пользователя, их обработка подпадает под требования 152-ФЗ.
В письме Роскомнадзора от 26.06.2024 № 08-242780 рассмотрены особенности обработки ПДн с помощью метрических программ. Регулятор указал, что программы, которые позволяют идентифицировать уникального посетителя и формировать сведения о его предпочтениях и поведении, предполагают обработку персональных данных.
В таких случаях оператору нужно информировать пользователя о сборе ПДн, обеспечить надлежащее правовое основание и отразить порядок обработки в документах. В том же письме Роскомнадзор отдельно обращает внимание на получение согласия при применении таких метрических программ.
Информацию пользователю необходимо предоставить до начала соответствующей обработки. Если правовым основанием выбрано согласие, метрические и рекламные инструменты, обрабатывающие ПДн на этом основании, должны запускаться только после его получения. Поэтому важно проверить не только наличие cookie-баннера, но и фактическую работу скриптов, возможность отказа и отзыва согласия.
При этом 152-ФЗ не устанавливает единую обязательную форму cookie-баннера. Конкретный механизм зависит от используемых технологий, состава данных и правового основания обработки. Общего уведомления об использовании cookie может быть недостаточно, если сайт одновременно собирает идентификаторы посетителей и анализирует их поведение.
Откройте сайт как новый пользователь и посмотрите, какие cookie устанавливаются, какие скрипты запускаются и какие метрические или рекламные системы получают сведения. Одновременно проверьте, какие данные и идентификаторы собираются, кому они передаются и соответствует ли этому информация в баннере и политике.
Для маркетинга риск возникает быстро: новый инструмент подключается за несколько минут, а фактическая обработка ПДн уже меняется.
Если юрист или ответственный за ПДн узнает о подключении через несколько месяцев, документы к этому моменту уже расходятся с сайтом.
Локализацию нельзя проверять только по хостингу сайта
По ч. 5 ст. 18 152-ФЗ при сборе персональных данных граждан РФ, в том числе через сайт, запись, систематизация, накопление, хранение, уточнение и извлечение таких данных с применением баз данных за пределами России не допускаются, кроме прямо предусмотренных законом случаев.
С 01.07.2025 действует обновленная редакция этой нормы. Исключения предусмотрены п. 2, 3, 4 и 8 ч. 1 ст. 6 152-ФЗ.
При проверке локализации учитывают первичную запись и дальнейшее хранение и обновление данных, включая копии. Такая позиция изложена в письме Минцифры от 12.05.2025 № П25-44929.
При этом последующая трансграничная передача ПДн сама по себе не запрещена, если оператор выполняет применимые требования законодательства, включая ст. 12 152-ФЗ.
За нарушение локализации установлена ответственность по ч. 8 ст. 13.11 КоАП РФ. Для юридических лиц предусмотрен штраф от 1 000 000 до 6 000 000 рублей. За повторное нарушение по ч. 9 диапазон составляет от 6 000 000 до 18 000 000 рублей. По этим составам ИП несут ответственность как юридические лица.
Российский хостинг сам по себе не подтверждает соблюдение локализации. Нужно проследить работу форм, CRM, чатов, сервисов рассылок, аналитики, CDN, интеграций и инфраструктуры подрядчиков.
В итоге компании нужно восстановить полный маршрут: куда попадают данные после отправки формы, где они затем хранятся и обновляются, какие копии создаются и какие сервисы участвуют в обработке.
Если эта схема неизвестна, отдельно разобрать инфраструктуру помогает проверка локализации персональных данных.
Иностранный сервис меняет правовую картину сайта
Отдельного внимания требует Google Analytics.
В письме Роскомнадзора от 26.06.2024 № 08-242780 использование Google Analytics рассматривается как сценарий, предполагающий трансграничную передачу персональных данных. Аналогичная позиция отражена в письме Минцифры от 12.05.2025 № П25-44929.
При применении такого инструмента нужно проверить требования ст. 12 152-ФЗ, в том числе обязанность уведомить Роскомнадзор о намерении осуществлять трансграничную передачу, если не действует установленное законом исключение.
Отдельно оценивается локализация. Если иностранный сервис при сборе записывает ПДн российских пользователей непосредственно в зарубежную базу, возникает риск нарушения ч. 5 ст. 18 152-ФЗ.
Здесь имеет значение фактическая схема: место записи, хранения и обновления сведений. Само наличие согласия пользователя проблему локализации не решает.
Еще один пример касается Cloudflare. Роскомнадзор рекомендовал владельцам российских интернет-ресурсов отказаться от этого CDN-сервиса в связи с применением технологии TLS ECH (Encrypted Client Hello). Рекомендация касается особенностей технологии и доступа к ресурсам и не означает, что любое использование Cloudflare автоматически нарушает требования локализации ПДн.
Но участие CDN в обработке данных посетителей все равно требует отдельной технической и правовой оценки.
Перед подключением иностранного сервиса компании нужно выяснить, какие данные он получает, участвует ли в первичном сборе, где обрабатывается информация и возникает ли передача за пределы России. Поэтому перечень внешних сервисов сайта должен быть известен не только ИТ.
Что спросить у подрядчика по сайту
Юрист не увидит значительную часть технической картины самостоятельно.
Если сайт сопровождает агентство, разработчик или ИТ-подрядчик, имеет смысл запросить у него схему: где размещены сайт и связанные базы, куда уходят данные из форм, какие CRM, аналитические системы, cookie, скрипты, CDN, чаты и виджеты подключены, какие сторонние домены получают запросы и кто имеет административный доступ.
Также отдельно стоит выяснить, есть ли среди этих компонентов иностранные сервисы.
Такой запрос не заменяет техническую проверку, но дает юристу и ответственному за ПДн фактическую основу для анализа.
На сложных сайтах, где интеграции давно не документировались, можно провести технический аудит информационных систем.
Один чек-бокс не подходит для всех процессов
На одном корпоративном сайте пользователь может оставить заявку на услугу, зарегистрироваться на мероприятие, подписаться на рассылку, отправить отклик на вакансию или просто пользоваться страницами, где работает аналитика.
Для каждой цели нужна своя правовая логика.
Проблема возникает, когда под всеми формами стоит одинаковый чек-бокс, который одновременно объединяет ознакомление с политикой, согласие на обработку ПДн и получение рекламы.
Политика обработки ПДн сама по себе не выступает правовым основанием. Пользователь может подтвердить ознакомление с ней, но такое действие не заменяет согласие на обработку или другое применимое основание.
С 01.09.2025 ч. 1 ст. 9 152-ФЗ прямо требует оформлять согласие на обработку ПДн отдельно от иной информации и документов, которые субъект подтверждает или подписывает.
При этом согласие требуется не для каждого действия на сайте. Обработка может строиться и на других основаниях из ст. 6 152-ФЗ. Если компания опирается именно на согласие, оно должно отвечать установленным требованиям.
Отдельно нужно разделять основную заявку и рекламные коммуникации.
По ч. 1 ст. 18 Федерального закона № 38-ФЗ «О рекламе» распространение рекламы по сетям электросвязи допускается при наличии предварительного согласия абонента или адресата. Доказывать получение такого согласия должен рекламораспространитель.
В судебной практике также оценивается конкретное волеизъявление адресата.
В постановлении Седьмого арбитражного апелляционного суда от 11.01.2024 № 07АП-9698/2023 по делу № А67-5768/2023 рассматривалось рекламное SMS-сообщение, отправленное без подтвержденного согласия абонента.
Суд пришел к выводу, что условия договора, на которые ссылалась компания, не подтверждали согласие адресата на получение соответствующей рекламы.
Поэтому заключение договора, отправка заявки или принятие пользовательского соглашения не подтверждают автоматически согласие на рекламные сообщения.
Под каждой формой проверяйте всю логику обработки
Для формы удобно последовательно установить цель, состав данных, правовое основание и документ, который видит пользователь. Затем проверить, в какую систему поступают сведения, кто их получает и сколько они хранятся.
Например, на странице услуги человек оставляет имя и телефон. Компания должна понимать, действительно ли оба поля нужны для ответа на заявку, на каком основании идет обработка, какой документ открывается по ссылке, куда затем поступают сведения и кто получает к ним доступ.
Для отклика на вакансию проводится такой же анализ, но уже применительно к кадровому процессу.
Поэтому одинаковый текст под всеми формами часто и создает расхождения. Формулировка должна соответствовать конкретному сценарию.
Сайт менялся. Документы могли остаться прежними
Новая форма, вакансия, метрика или CRM-интеграция меняют маршрут ПДн, хотя внешне сайт иногда почти не отличается от предыдущей версии. Поэтому проверять стоит фактические процессы, а не только тексты в футере.
Определите объем проверки сайта по 152-ФЗ
Расскажите, какие формы, cookie, метрики, CRM и внешние сервисы работают на сайте. Специалист Б-152 поможет определить приоритетные зоны и подходящий формат проверки.
Политика должна описывать сайт, который работает сегодня
Наличие политики в футере само по себе не подтверждает соответствие 152-ФЗ.
При контрольных мероприятиях Роскомнадзор обращает внимание на структуру, содержание и актуальность документа.
Политику стоит сопоставить с категориями субъектов и ПДн, целями и основаниями обработки, действующими формами, вакансиями, cookie, метрическими программами, рассылками, подрядчиками и сроками обработки. Отдельно проверяют описание прав субъектов и соответствие документа текущему функционалу сайта.
Представим обычный путь развития корпоративного сайта. Сначала на нем работала одна форма. Потом добавили чат, маркетинг подключил метрику, HR разместил вакансии, появился новый технический подрядчик. Политика при этом не менялась.
Через год документ формально существует, но описывает уже другую версию сайта.
Если расхождений накопилось много, сначала лучше провести инвентаризацию, а после нее актуализировать документы по 152-ФЗ.
Отдельно необходимо проверить актуальность уведомления Роскомнадзора об обработке персональных данных. По ст. 22 152-ФЗ оператор обязан направить его до начала обработки, если не применяется установленное законом исключение. При появлении новых целей обработки, категорий субъектов и других изменениях сведений, подлежащих уведомлению, необходимо проверить обязанность актуализировать информацию в реестре операторов. Об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем их возникновения.
CRM входит в тот же маршрут обработки
Для посетителя заявка заканчивается после отправки формы. Для компании в этот момент начинается внутренняя обработка.
Данные могут автоматически записаться в CRM, поступить менеджеру по электронной почте, создать задачу в системе, передаться в телефонию или позднее попасть в маркетинговую базу.
Поэтому CRM нужно сопоставлять с формой, которая ее наполняет.
Сравните данные, которые запрашивает сайт, с тем, что реально записывается в CRM. Проверьте дополнительные поля, круг пользователей с доступом и интеграции, через которые сведения уходят дальше.
Если форма собирает один набор данных, политика описывает второй, а CRM хранит третий, юридическая модель уже расходится с технической.
На сайте работодателя отдельно проверьте HR-процессы
Страница карьеры выглядит как обычный раздел сайта, но после отправки резюме начинается отдельный процесс обработки ПДн кандидата.
Проверьте состав запрашиваемых данных, наличие лишних обязательных полей, место поступления и хранения резюме, доступ сотрудников и передачу информации внешнему рекрутеру. После этого сопоставьте фактический процесс с документами.
Для HR особенно важно разделять текущий подбор и другие сценарии дальнейшей работы с резюме.
Если кадровая практика давно не сверялась с документами, ее лучше включить в общий аудит соответствия требованиям 152-ФЗ, а не ограничиваться правкой текста под формой.
Подрядчик может получать доступ к ПДн без отдельной передачи файла
Подрядчик по сайту может иметь доступ к административной панели, настраивать CRM, видеть заявки, обслуживать чат, работать с аналитикой, логами или резервными копиями.
Поэтому при оценке передачи данных нужно смотреть фактические доступы, а не только случаи, когда компания специально отправляет контрагенту клиентскую базу.
Проблема возникает, если CRM, хостинг, рассылка, чат или подрядчик по сопровождению технически получают доступ к ПДн, но их роль в обработке не определена.
Сначала установите, какие действия выполняет контрагент и какие данные видит. После этого проверяйте договорную модель.
Если контрагент обрабатывает ПДн по поручению оператора, применяются требования ч. 3 ст. 6 152-ФЗ к поручению и распределению обязанностей сторон.
Что проверить самому, что уточнить у подрядчика, что передать юристу
Кто проверяет | Что посмотреть |
Владелец сайта / маркетинг / HR | Формы, поля, вакансии, рассылки, чаты, метрики, новые сервисы и изменения сайта |
ИТ или подрядчик | Хостинг, базы, CRM, скрипты, cookie, CDN, интеграции, маршруты передачи и административные доступы |
Юрист / ответственный за ПДн | Цели, основания, согласия, политику, рекламу, локализацию, роли подрядчиков и соответствие документов фактическим процессам |
Задача состоит в том, чтобы соединить эти три части.
Юрист без ИТ может не увидеть скрытый скрипт. ИТ не определяет правовое основание обработки. Маркетинг знает цель подключения сервиса, но не всегда представляет, куда технически уходят данные.
Большая часть расхождений появляется именно между подразделениями.
Что можно проверить самостоятельно за 30 минут
Откройте сайт как новый пользователь и пройдите путь от первой загрузки страницы до отправки формы.
Посмотрите, как работает cookie-баннер, какие метрики и сторонние скрипты подключены, какие формы собирают ПДн и зачем нужно каждое поле. Проверьте тексты и ссылки рядом с формами, отделено ли рекламное согласие от основной заявки, куда уходят заявки и резюме и соответствует ли политика текущему функционалу.
Этой первичной проверки часто достаточно, чтобы понять, какие вопросы нужно передать подрядчику и юристу.
Что обычно ломается после обновления сайта
Добавили новый лендинг. Маркетинг запустил страницу с формой, но документы и маршрут данных никто не проверил.
HR разместил вакансии. Резюме начали поступать через сайт, хотя кадровый процесс не отражен в политике и внутренних документах.
Подключили новую метрику. Для разработчика это небольшое изменение кода, а для обработки ПДн может появиться новый процесс и новый получатель данных.
Сменили CRM. Форма осталась прежней, но информация теперь поступает в другую систему.
Подрядчику дали административный доступ. Договор на поддержку сайта есть, а фактический доступ к ПДн отдельно не оценивался.
Во всех этих случаях бизнес или техническая часть меняются быстрее, чем правовая модель сайта.
Как контролировать изменения без полного аудита после каждого релиза
Не каждое изменение сайта требует полноценного аудита. Но новый сервис, форма, интеграция или подрядчик должны попадать в privacy-проверку, если меняются состав данных, цель, система, метрика, место хранения или порядок передачи ПДн.
Если сервисов много, эту карту можно вести в Privacy Box: фиксировать цели, системы, категории данных, сервисы и ответственных без постоянного восстановления картины по переписке.
Чек-лист сайта компании по 152-ФЗ
Перед внутренней проверкой пройдите десять точек:
Найдите все формы, через которые сайт собирает ПДн.
Отдельно проверьте страницу вакансий.
Определите цель каждой формы.
Сопоставьте объем данных с этой целью.
Определите правовое основание обработки.
Учтите cookie и метрики.
Проследите маршрут данных после отправки формы.
Проверьте CRM, хостинг и сторонние сервисы.
Сопоставьте политику с текущим функционалом сайта.
Настройте повторную privacy-проверку после существенных изменений.
Если часть ответов неизвестна, не начинайте с переписывания политики. Сначала восстановите фактический маршрут ПДн.
Определите объем проверки сайта
Если сайт несколько раз менялся, а формы, CRM, метрики и документы обновляли разные команды, одной проверки политики может не хватить.
Проверьте сайт по требованиям 152-ФЗ
Часто задаваемые вопросы
Достаточно ли разместить на сайте политику обработки ПДн?
Нет. Политика должна соответствовать реальным формам, cookie, метрикам, CRM, подрядчикам и другим процессам сайта.
Нужно ли пользователю соглашаться с политикой?
Нет. Политика сама по себе не выступает правовым основанием обработки. Пользователь может подтверждать ознакомление с ней, но это не заменяет согласие или другое применимое основание.
Нужно ли проверять страницу вакансий?
Да, если через нее компания собирает данные кандидатов. Нужно определить состав данных, цель, систему хранения, доступы и соответствие этого процесса документам.
Если метрическая программа дает возможность идентифицировать уникального посетителя и анализировать его поведение, ее использование может предполагать обработку ПДн.
Роскомнадзор в письме от 26.06.2024 № 08-242780 указал на необходимость информировать пользователей о такой обработке и получать согласие.
Поэтому при использовании Яндекс.Метрики нужно проверить, какие сведения обрабатываются, какое правовое основание применяется и как пользователь получает информацию об обработке. Cookie-баннер может применяться для этих целей, но его конкретная форма законом не установлена.
Почему иностранная аналитика может создавать риск?
Здесь одновременно учитываются требования локализации и трансграничной передачи. При сборе ПДн граждан РФ применяется ч. 5 ст. 18 152-ФЗ, а при передаче сведений иностранным получателям — ст. 12.
Поэтому компании нужно понимать, где происходит запись, хранение и обновление данных, какие сервисы участвуют в сборе и возникает ли трансграничная передача.
Что спросить у подрядчика, который обслуживает сайт?
Выясните, куда уходят данные из форм, какие CRM, скрипты, метрики, CDN и внешние сервисы подключены, где размещаются базы и кто имеет административный доступ.
Когда пересматривать документы сайта?
После существенного изменения, которое влияет на обработку ПДн: новой формы или вакансии, подключения метрики, CRM, рассылки, подрядчика или интеграции.
Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFG7Ygz6
