Как собирать данные клиентов и спать спокойно, даже если Роскомнадзор не спит
Самая частая ошибка бизнеса в 2026-м — думать, что «мы же всего лишь собираем имя и телефон, какие ещё персональные данные». Спойлер: штраф прилетает одинаково и за «всего лишь телефон», и за огромную CRM.
Суть простая: хочешь собирать данные клиентов на сайте — играешь по 152‑ФЗ и подзаконке. Не хочешь разбираться — платишь до миллионов рублей и слушаешь Роскомнадзор. Давай по-нормальному: что именно надо сделать, чтобы формы, куки и CRM были законными, а не минным полем.
Начнём с главного: что именно ты собираешь. Любая форма на сайте — это потенциальная юридическая ловушка. Имя, телефон, email, город, IP-адрес, куки, поведение в аналитике — всё это персональные данные, если по ним человека можно идентифицировать. Чем меньше ты спрашиваешь, тем проще жить: закон прямо говорит, что нельзя собирать данные «на всякий случай» — только то, что нужно для конкретной цели.
Вот типичный набор, который бизнес собирает на сайте:
— формы заявки и обратной связи;
— подписки на рассылки;
— регистрация в личном кабинете;
— онлайн-оплата;
— аналитика, пиксели, ретаргетинг и прочие маркетинговые радости.
И каждый такой пункт — уже обработка персональных данных, со всеми вытекающими.
Дальше — самое неприятное для перфекционистов: сначала бумажки, потом «красивый лендинг». Закон требует, чтобы оператор персональных данных (то есть ты) не просто «честно старался», а подготовил документы и официально сообщил государству, что он вообще собирается трогать чужие данные.
Что нужно из базового набора:
— политика обработки персональных данных, опубликованная на сайте отдельной страницей;
— внутренние положения о работе с персональными данными и неразглашении (да, это уже внутренняя кухня, но она нужна на случай проверки);
— приказ о назначении ответственного за работу с персональными данными — это может быть директор, юрист, айтишник или ты сам, если ты ИП;
— уведомление в Роскомнадзор о начале обработки персональных данных, чтобы тебя внесли в реестр операторов.
Фокус в том, что уведомление нужно отправить до того, как ты начал собирать данные, а не «когда-нибудь потом, когда вырастем». В уведомлении указывают, кто вы, какие данные собираете, зачем, как храните и кому передаёте. Подписать можно на бумаге или через электронную форму с квалифицированной подписью. Без этого ты формально оператор, который «тайно» обрабатывает данные — и это уже отличный повод для штрафа.
Теперь переходим к самому видимому — формам на сайте. Вот тут многие и попадаются: думают, что «если пользователь нажал кнопку, значит согласился».
Нет, не значит.
У тебя должно быть явное, осознанное, добровольное согласие пользователя на обработку его персональных данных. Это не чекбокс «я согласен со всем на свете», спрятанный серым текстом под кнопкой. Это:
— отдельный чекбокс «Я согласен на обработку персональных данных»;
— галочка по умолчанию не стоит, пользователь сам её ставит;
— рядом — ссылка на политику обработки персональных данных, а не на главную страницу сайта;
— текст так написан, чтобы нормальный человек мог понять, на что он соглашается.
Вишенка на торте: для рекламы — отдельное согласие. То есть:
— один чекбокс — на обработку персональных данных (чтобы вообще можно было хранить и использовать их в рамках цели);
— второй чекбокс — на получение рекламных сообщений: рассылки, SMS, звонки и прочее.
Перепутать или склеить эти два согласия в одну фразу — очень быстрый способ заинтересовать контролёров.
Куки, пиксели, аналитика — ещё одна любимая зона штрафов. Если на сайте стоят аналитика, реклама, ретаргетинг, это значит, что ты собираешь данные через cookies и аналогичные технологии. Пользователя об этом надо предупредить прямо и не стесняясь.
Что должно быть:
— баннер / всплывающее уведомление о том, что на сайте используются cookie-файлы и аналитика;
— ссылка из этого баннера на отдельный раздел политики или отдельный документ, где расписано, какие куки используются и зачем;
— пользователь должен иметь возможность хотя бы формально отказаться от необязательных cookies (в идеале — отдельные категории, но это уже уровень заботливых).
Параллельно надо проверить, на каких условиях работают внешние сервисы: аналитика, CRM, рассылки, виджеты чатов. Если они гоняют данные за пределы России или хранят их на зарубежных серверах, у тебя появляются дополнительные обязательства. Закон про локализацию данных требует, чтобы персональные данные россиян хранились в первую очередь на серверах в России. А если ещё и трансграничная передача — нужно отдельное упоминание в политике и согласии.
Отдельная песня — где ты всё это добро хранишь. Закон не интересует, насколько тебе «так удобнее в Excel». Интересует:
— хранятся ли данные на серверах в России;
— есть ли защита канала передачи (да, ставим SSL, включаем HTTPS, а не «подумаем потом»);
— ограничен ли доступ: не так, что у каждого стажёра полный доступ к клиентской базе;
— не валяются ли данные в открытых таблицах, личных почтах и чатах.
Плюс есть ещё внутренняя гигиена: регламенты, кто и как работает с базой, как назначается доступ, что делать при утечке. Роскомнадзор очень любит спрашивать не только «где ваша политика», но и «а покажите, как вы на практике это соблюдаете».
Ещё один важный момент, который многие игнорируют: клиент имеет право передумать. То есть:
— в политике и согласии должно быть прописано, как он может отозвать своё согласие;
— у него должна быть реальная возможность написать/позвонить/нажать ссылку «отписаться» — и чтобы вы действительно удалили или заблокировали его данные, а не сделали вид;
— срок хранения данных не «вечно», а конкретный: пока действует договор, пока не отозвано согласие, столько-то лет для отчётности и т. д..
Отдельно добавили перца изменения 2025 года: сейчас штрафы за нарушения в сфере персональных данных могут доходить до 20 млн рублей. И под прицел попадает уже не только сайт, но и CRM, и мессенджеры, и любые другие точки, где вы собираете контактные данные клиентов. Причём презумпция простая: если вы где-то собираете данные и не можете показать ни согласия, ни политику, ни уведомление в Роскомнадзор — это ваша проблема, а не «клиент сам всё оставил».
Вся картина в итоге очень простая, как ни странно. Закон не против того, чтобы ты знал, как зовут твоих клиентов и что они покупают. Закон против того, чтобы ты делал это тихо, без правил, «на авось» и потом ещё названивал им с рассылками «потому что где-то взяли номер». А нормальная конфигурация выглядит так: минимальные данные, чёткие цели, ясное согласие, понятная политика, уведомление в Роскомнадзор, хранение в России и адекватная защита.
Самый здравый подход — считать, что клиент тебе не «что-то там заполнил», а дал в руки чужие данные под честное слово. И вот чем аккуратнее ты выполняешь это «честное слово» документами, чекбоксами и серверами, тем меньше шансов увидеть Роскомнадзор не в новостях, а в своей почте.