11.10.2026
Персональные данные: как не превратить форму обратной связи в билет на проверку
Знаете, что самое забавное в работе с персональными данными? То, что форма «Имя + телефон» кажется такой безобидной. А потом приходит запрос от Роскомнадзора: «А где у вас политика? А где согласие? А почему данные уехали на зарубежный сервер?». И внезапно «простая форма» становится поводом для серьёзного разговора — и не с клиентом, а с проверяющими.
Я столько раз видел сайты, где под кнопкой «Отправить» стоит крошечная галочка без пояснений, а политика конфиденциальности спрятана в подвал так глубоко, что её проще не найти, чем прочитать. И каждый раз хочется сказать: «Ребята, это не квест, это ФЗ‑152». Закон не про то, чтобы усложнить жизнь, а про то, чтобы пользователь понимал: что вы собираете, зачем и что с этим делаете.
Что обязательно должно быть на коммерческом сайте
Если вы собираете хоть какие‑то данные (даже email для рассылки), вот минимальный набор, без которого спокойно спать не получится:
- Политика конфиденциальности. Отдельная страница, не просто «кусочек текста» в подвале. В ней чётко: какие данные собираете (email, телефон, ФИО, IP, cookie), зачем (для заказа, рассылки, аналитики), как храните, кому передаёте (CRM, сервисы рассылок, курьерские службы), сколько храните и как пользователь может всё это отозвать.
- Отдельное согласие на обработку данных. С сентября 2025 года его нельзя прятать в оферту. Это отдельный документ, а в форме — чекбокс с формулировкой: «Я даю согласие на обработку персональных данных в соответствии с Политикой конфиденциальности». Чекбокс по умолчанию пустой.
- Страница «Реквизиты и контакты». Наименование, ИНН, ОГРН, юридический адрес, email и телефон для связи. Это требование ФЗ‑149, и оно помогает не только регулятору, но и клиенту: если что‑то пошло не так, он знает, куда писать.
- Cookie‑баннер. Если на сайте есть аналитика (Яндекс Метрика, Google Analytics) или рекламные пиксели, при первом визите должно всплывать уведомление: «Мы используем cookie для улучшения работы сайта. Продолжая использовать сайт, вы соглашаетесь с нашей политикой». И обязательно — ссылка на раздел про cookie или на политику конфиденциальности.
Я понимаю: хочется сделать форму максимально короткой, а юридические страницы — максимально незаметными. Но короткая форма без правильных документов часто заканчивается длинным разговором с регулятором. Лучше сразу заложить в проект понятную и прозрачную работу с данными — это не только про соблюдение закона, но и про доверие: клиент видит, что вы серьёзно относитесь к его приватности.
Практические советы, чтобы всё было по делу
- Не собирайте лишнее. Если для заказа хватает телефона и адреса — не просите паспортные данные «на всякий случай». Принцип минимизации данных прямо прописан в ФЗ‑152, и проверяющие на это смотрят.
- Храните данные в РФ. Если первичный сбор и хранение идут через иностранные сервисы (Google Sheets, Notion, зарубежные CRM), это риск. Для граждан РФ данные должны быть локализованы на серверах в России либо нужно корректно оформить уведомление о трансграничной передаче.
- Разделяйте цели. Согласие на обработку для выполнения заказа — одно, для рассылки — другое. Не смешивайте их в одну кучу: пользователь должен понимать, на что именно он соглашается.
- Дайте возможность отозвать данные. В политике должен быть простой механизм: «Как отозвать согласие и удалить данные», с указанием email или формы.
Так что если хочется, чтобы сайт был не только красивым, но и спокойным с точки зрения законодательства — давайте сразу по правилам. Это не занудство, а профессиональная гигиена: как проверять SSL перед запуском. Только тут на кону не только безопасность соединения, а репутация и бюджет.
Это часть серии про требования РКН. Смотрите больше ➜