Сайт компании обычно передает данные сразу в несколько систем. Клиент заполняет форму, телефон попадает в CRM, информация о визите фиксируется системой аналитики, обращение дублируется в коллтрекинг или сервис обратного звонка. Для бизнеса каждый такой процесс требует понятного правового основания и соответствующего оформления.

Проверять поэтому стоит весь путь информации: форма на сайте → сервер → CMS → CRM → аналитика → подрядчики → хранение и удаление данных.

Для первичной проверки сайта достаточно пройти 15 пунктов:

1. Найдены все формы и точки сбора персональных данных.

2. Определен фактический перечень собираемых сведений.

3. Для каждого вида данных указана цель обработки.

4. Компания проверена в реестре операторов Роскомнадзора.

5. Сведения в уведомлении соответствуют текущим процессам.

6. На сайте размещена актуальная политика обработки персональных данных.

7. Ссылки на документы доступны из нужных пользовательских сценариев.

8. Формы содержат корректный механизм получения согласия.

9. Согласие на обработку ПД оформлено отдельно.

10. Согласие на рекламу отделено от обычной заявки.

11. Проверены cookies, аналитика, чаты, коллтрекинг и другие скрипты.

12. Установлено фактическое местонахождение баз данных.

13. Проверены CRM, облачные сервисы и трансграничная передача.

14. Зафиксированы подрядчики и уровни доступа.

15. Определен порядок действий при инциденте с персональными данными.

Закон не формирует перечень запрещенных для сайта сервисов по торговым маркам. Ключевое значение имеет маршрут данных. С 1 июля 2025 года при сборе персональных данных граждан РФ через интернет запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России по общему правилу не допускаются.

Поэтому на сайте точно не должно остаться варианта, при котором персональные данные российского пользователя при первичном сборе сразу записываются в иностранную базу данных, минуя допустимую схему локализации.

В первую очередь проверить и при необходимости отключить:

• Google Analytics — Роскомнадзор в контрольной практике прямо связывал использование Google Analytics с трансграничной обработкой и передачей персональных данных. Для российского сайта сервис следует отключить до проверки фактического маршрута данных, правового основания и соблюдения требований ст. 12 и 18 152-ФЗ.

• Facebook¹ Pixel / Meta¹ Pixel — иностранный рекламно-аналитический пиксель. Роскомнадзор отдельно указывал FacebookPixel среди обнаруженных на российских сайтах сервисов при проверке вопросов трансграничной передачи данных. Если пиксель передает идентификаторы, события или сведения пользователя в иностранную инфраструктуру, такой сценарий требует отключения либо отдельного юридического и технического обоснования
  * Meta¹ Platforms Inc., владелец Facebook¹ и Instagram¹, признана в России экстремистской организацией. Деятельность компании по реализации продуктов Facebook¹ и Instagram¹ запрещена на территории РФ.

• Google Forms — особенно формы, через которые пользователь напрямую отправляет имя, телефон, email, резюме или сведения о заказе. Если первичная запись этих данных происходит в зарубежную базу, такую форму следует заменить.

• Typeform и аналогичные иностранные конструкторы форм — применять тот же принцип: установить, куда первым записывается отправленная пользователем информация.

• HubSpot Forms, Mailchimp Forms и другие иностранные формы CRM и рассылок — особенно если контакт сразу создается на стороне иностранного сервиса.

• Hotjar, Microsoft Clarity и другие системы записи сессий и поведенческой аналитики — проверить состав собираемой информации, серверы и фактический маршрут передачи.

• Intercom, Zendesk и другие зарубежные чаты — проверить особенно внимательно, если через виджет посетитель сообщает имя, телефон, email или содержание обращения.

• зарубежные CRM и callback-сервисы, которые получают данные непосредственно из формы сайта.

Отдельная группа — Google Tag Manager, Google reCAPTCHA, встроенные YouTube-видео, Google Maps и другие внешние скрипты. Само наличие такого кода нельзя автоматически приравнивать к нарушению. Нужно установить, какие технические сведения он отправляет, куда они передаются и являются ли они персональными данными в конкретной конфигурации. При отсутствии такой информации безопаснее отключить интеграцию до аудита.

Замена Google Analytics на российскую систему аналитики также не закрывает остальные требования 152-ФЗ. Роскомнадзор в своей практике обращал внимание и на отсутствие надлежащего оформления обработки данных при использовании «Яндекс Метрики».

Для пользователя названия документов должны быть конкретными и соответствовать их содержанию.

Использовать понятные формулировки:

• Политика в отношении обработки персональных данных — основная ссылка в футере сайта;

• Согласие на обработку персональных данных — отдельный документ для формы, если обработка строится на согласии;

• Согласие на получение рекламных и информационных сообщений — отдельное согласие для рекламы, рассылок и соответствующих коммуникаций;

• Политика использования файлов cookie или Настройки cookie — если на сайте предусмотрен отдельный документ или механизм управления cookies.

Начать аудит проще с самого сайта. Выпишите все точки, где посетитель передает сведения о себе:

• заявка на услугу;

• обратный звонок;

• регистрация;

• оформление заказа;

• личный кабинет;

• подписка;

• онлайн-чат;

• квиз;

• форма записи;

• форма для соискателей;

• загрузка файлов.

Персональными считаются сведения, которые относятся прямо или косвенно к определенному или определяемому физическому лицу. Поэтому аудит должен охватывать имя, телефон, email, адрес, данные заказа и другие сведения, связанные с конкретным пользователем.

Отдельно проверьте технические идентификаторы и данные аналитики. Их правовой статус оценивается с учетом состава информации, способов ее обработки и возможности связать сведения с конкретным человеком.

Статья 5 152-ФЗ связывает объем обрабатываемых данных с заявленными целями. Компания должна понимать, зачем ей каждое поле формы.

Для расчета стоимости услуги обычно достаточно имени, телефона и параметров заявки. Дата рождения, домашний адрес или паспортные сведения требуют отдельной обоснованной цели.

Практическое правило простое: возле каждого поля формы должна существовать конкретная цель обработки.

Такой документ быстро показывает расхождения между реальной работой сайта и юридическими документами.

Статья 22 152-ФЗ предусматривает уведомление Роскомнадзора оператором до начала обработки персональных данных с учетом установленных законом исключений. Роскомнадзор предоставляет для этого реестр операторов и электронные формы уведомлений.

Проверить стоит четыре позиции:

• присутствует ли компания или ИП в реестре;

• соответствует ли указанная цель фактической обработке;

• совпадают ли категории персональных данных;

• актуальны ли сведения о базах, способах обработки и трансграничной передаче.

Новый сайт, CRM, направление бизнеса или дополнительный способ обработки могут потребовать актуализации ранее переданных сведений.

Статья 18.1 152-ФЗ обязывает оператора обеспечить доступ к документу, определяющему политику в отношении обработки персональных данных. При сборе данных через сайт документ должен быть доступен на соответствующих страницах сайта.

В политике следует отразить реальные процессы компании:

• сведения об операторе;

• цели обработки;

• категории субъектов;

• категории и перечень данных;

• основания обработки;

• действия с данными;

• способы обработки;

• сроки обработки и хранения;

• порядок прекращения обработки и уничтожения;

• передачу данных другим лицам;

• меры защиты;

• порядок обращения субъекта.

Ссылка на политику обычно размещается в футере и рядом с пользовательскими формами.

После подключения новой CRM, квиза, чата, коллтрекинга или другого сервиса документ стоит сверить с изменившейся схемой обработки.

Одно из ключевых изменений действует с 1 сентября 2025 года. Федеральный закон от 24.06.2025 № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» дополнил ст. 9 152-ФЗ правилом: согласие на обработку персональных данных оформляется отдельно от другой информации и документов, которые подтверждает или подписывает пользователь.

Для сайта это означает пересмотр конструкций, где под одной кнопкой объединены согласие на обработку данных, оферта, пользовательское соглашение и рекламная рассылка.

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оператор также отвечает за возможность доказать факт его получения.

Для электронной формы важно сохранять сведения, позволяющие подтвердить действие пользователя: используемую редакцию согласия, дату, время и предусмотренные системой технические данные.

Если посетитель передал телефон для расчета стоимости, а компания планирует направлять на этот номер рекламу, появляется отдельная цель.

Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» устанавливает в ст. 18 предварительное согласие адресата для распространения рекламы по сетям электросвязи. Обязанность доказать получение такого согласия лежит на рекламораспространителе.

Поэтому на сайте целесообразно разделять:

• обработку данных для выполнения заявки;

• получение рекламных сообщений.

Особенно внимательно этот блок следует проверить компаниям с SMS, email-маркетингом, рекламными звонками и автоматическими CRM-цепочками.

Юридический аудит сайта включает технический аудит подключений.

Проверьте:

• системы веб-аналитики;

• менеджеры тегов;

• CRM;

• онлайн-чаты;

• callback-сервисы;

• коллтрекинг;

• сервисы email- и SMS-рассылок;

• виджеты записи;

• платежные решения;

• внешние формы;

• карты и социальные виджеты.

Задача состоит в определении фактического маршрута данных. Владелец сайта должен понимать, какие сведения получает каждый сервис, где расположена база и кто получает доступ к информации.

Для cookies действует тот же принцип: оценивается содержание и назначение информации, а также возможность отнести ее к определенному пользователю. Поэтому один универсальный текст cookie-баннера проблему учета сервисов не решает.

С 1 июля 2025 года действует редакция ч. 5 ст. 18 152-ФЗ, введенная Федеральным законом от 28.02.2025 № 23-ФЗ «О внесении изменений в Федеральный закон "О персональных данных" и отдельные законодательные акты Российской Федерации».

При сборе персональных данных граждан РФ через интернет операции записи, систематизации, накопления, хранения, уточнения и извлечения должны выполняться с соблюдением требования о базах данных на территории России, кроме предусмотренных законом случаев.

Российский хостинг основной страницы сам по себе еще не показывает весь маршрут. Форма может отправлять сведения непосредственно во внешний сервис, CRM или облачную систему.

Отдельно стоит проверить, на кого зарегистрирован корпоративный домен и у кого находятся доступы к кабинету регистратора. С 1 сентября 2026 года для регистрации, продления и ряда других операций с доменами .RU, .РФ и .SU вводится идентификация администратора через ЕСИА. Подробно новый порядок разобран мной в материале «Регистрация домена через Госуслуги с 1 сентября 2026: как купить и продлить домен .RU, .РФ и .SU»

Трансграничная передача регулируется ст. 12 152-ФЗ. До ее начала оператор направляет в Роскомнадзор отдельное уведомление о намерении осуществлять такую передачу.

26 июля 2026 года вступил в силу Федеральный закон от 26.07.2026 № 265-ФЗ «О внесении изменений в статью 12 Федерального закона "О персональных данных" и отдельные законодательные акты Российской Федерации». Он обновил отдельные положения ст. 12, включая правила оценки иностранных получателей и государств при трансграничной передаче. Закон по общему правилу вступил в силу со дня официального опубликования; для его статьи 2 установлен отдельный срок — 1 сентября 2027 года.

Поэтому для каждого иностранного SaaS-сервиса важно установить:

• получает ли он персональные данные;

• в какой стране находится получатель;

• какие сведения передаются;

• на каком основании;

• выполнена ли процедура по ст. 12;

• отражен ли процесс в документах оператора.

Изображение

Alt: Маршрут персональных данных с сайта и трансграничная передача

Что должно быть на изображении: пользователь → сайт → российская база → CRM. Отдельной веткой показать иностранный сервис и обозначить точку трансграничной передачи.

Разработчик, CRM-подрядчик, колл-центр, Digital команда, SEO агентство и техническая поддержка могут получать доступ к клиентской базе.

Для каждого подрядчика следует определить:

• какие данные доступны;

• для какой цели;

• какие действия выполняются;

• где хранятся сведения;

• как регулируется обработка;

• кто имеет доступ;

• как прекращается доступ после завершения работ.

Параллельно стоит проверить учетные записи сотрудников, роли в CRM, двухфакторную аутентификацию, резервные копии, HTTPS, обновления CMS и журналирование действий. Статья 19 152-ФЗ возлагает на оператора обязанность принимать необходимые правовые, организационные и технические меры защиты.

Инцидент с персональными данными требует заранее определенного внутреннего процесса.

По ст. 21 152-ФЗ при установленном факте неправомерной или случайной передачи данных, повлекшей нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов, а результаты внутреннего расследования передает в течение 72 часов.

Поэтому у компании должны быть назначены ответственные и понятный маршрут эскалации: кто фиксирует событие, кто ограничивает доступ, кто проводит расследование и кто взаимодействует с Роскомнадзором.

• нарушение локализации: для юридических лиц от 1 до 6 млн рублей, повторное — от 6 до 18 млн рублей;

• отсутствие или несвоевременная подача уведомления об обработке ПД: для юридических лиц от 100 до 300 тыс. рублей;

• нарушение обязанности уведомить Роскомнадзор об утечке: от 1 до 3 млн рублей;

• утечка данных от 1 000 до 10 000 субъектов: от 3 до 5 млн рублей;

• от 10 000 до 100 000 субъектов: от 5 до 10 млн рублей;

• свыше 100 000 субъектов: от 10 до 15 млн рублей.

При повторных крупных утечках для юридических лиц предусмотрен оборотный штраф от 1 до 3% выручки, минимум 20 млн и максимум 500 млн рублей.

Проверку сайта эффективнее проводить совместно с юристом, разработчиком, специалистом по продвижению и сотрудником, отвечающим за CRM и маркетинговые системы. Юрист определяет правовые основания обработки данных, разработчик показывает их фактические маршруты, специалист по продвижению перечисляет подключенные счетчики, рекламные и аналитические системы, а ответственный за CRM проверяет формы, интеграции и передачу данных между сервисами.

После подключения нового сервиса этот маршрут стоит проверять повторно. Тогда документы сайта будут отражать реальную систему обработки данных, а не ее состояние на момент запуска проекта.

Обработка строится вокруг конкретной цели и правового основания. Телефон, переданный для ответа на запрос, используется в рамках соответствующего процесса. Для дополнительных целей, например рекламных сообщений, компания отдельно определяет предусмотренное законом основание.