Почти на каждом сайте есть формы, аналитика и разные “удобные штуки” — кнопки мессенджеров, онлайн-чат, коллтрекинг, виджеты.
И в какой-то момент у владельца бизнеса появляется правильный вопрос: “А что у нас с персональными данными? Всё нормально?”
Нормально — это когда человеку понятно, что и зачем вы собираете, куда это попадает и как он может отказаться.
И самое важное: всё, что написано в согласии и политике, соответствует тому, как сайт работает на самом деле.
В этой статье — практичная логика без воды: что нужно сделать на сайте, чтобы корректно объяснить пользователю обработку данных,
собрать согласие “по-человечески” и закрыть типовые риски. Начнём не со штрафов, а с проверяемой схемы: форма → получатель → хранилище → доступ → удаление. Баннер и документы — только часть этой работы, а не гарантия отсутствия претензий.
Содержание
- Зачем вообще нужны политика и согласие (простыми словами)
- Что пользователь должен понять перед тем, как поставить галочку
- Какие данные сайт обычно собирает (не только “имя и телефон”)
- Цели обработки: как формулировать правильно и понятно
- Виды обработки: что писать и зачем это нужно
- Формы и чекбоксы: как сделать согласие аккуратно и без потери конверсии
- Яндекс.Метрика и аналитика: почему это тоже “обработка”
- Кнопки, виджеты, CRM, облако: где чаще всего “утекает смысл”
- Трансграничная передача: когда это возникает и почему многие сейчас убирают зарубежные сервисы
- Порядок работ: что проверять в первую очередь
- Мини-чек-лист перед запуском рекламы и SEO
- Источники и примеры документов
- Ответы на частые вопросы
- Итог и следующий шаг
Зачем вообще нужны политика и согласие (простыми словами)
У пользователя есть простое ожидание: если он оставляет контакты на сайте, он понимает, что с ним свяжутся.
Но если сайт “втихую” собирает дополнительные данные (через аналитику, виджеты, пиксели) и передаёт их в сервисы,
человек этого не видит — и не понимает.
Политика описывает правила обработки и должна быть доступна пользователю. Согласие фиксирует разрешение на конкретную обработку, когда именно оно выбрано законным основанием. Ознакомление с политикой не заменяет согласие, а согласие не заменяет политику.
Согласие — не единственное основание: статья 6 152-ФЗ предусматривает, например, обработку, необходимую для исполнения договора или его заключения по инициативе человека. Нельзя автоматически считать любую заявку договорным сценарием; отдельно оценивайте цели формы, аналитику и маркетинг.
С 1 сентября 2025 года согласие оформляется отдельно от иной информации и документов, которые подтверждает или подписывает пользователь. Поэтому объединённая галочка «принимаю оферту, политику и всё остальное» — не универсальное решение.
Что пользователь должен понять перед тем, как поставить галочку
Самая частая ошибка — перегрузить человека “юридическими словами” и надеяться, что галочку всё равно поставят.
Это плохой подход: он снижает доверие и иногда снижает конверсию сильнее, чем аккуратная честная формулировка.
Короткая подпись у чекбокса должна вести к отдельному тексту согласия. Из него и политики пользователь должен понимать:
- Какие данные вы получаете (например: имя, телефон, email, содержание обращения)
- Зачем (например: обработать заявку, ответить, проконсультировать, выполнить договор)
- Где это будет обрабатываться (например: на сайте, в CRM, в почте, в сервисе телефонии/чата)
- Где прочитать подробности (ссылка на политику) и как отозвать согласие (обычно это описано в политике)
Поэтому текст должен быть коротким, человеческим и соответствовать тому, что реально происходит.
Какие данные сайт обычно собирает (не только “имя и телефон”)
На практике персональные данные на сайте появляются из нескольких источников:
то, что пользователь вводит сам (формы), и то, что сайт “собирает автоматически” (cookies, аналитика, сервисы).
Формы и заявки
Имя, телефон, email, компания, комментарий, тема обращения, любые файлы, которые прикрепляют.
Коммуникации
Переписка в чате, сообщения в мессенджерах, письма на почту, записи звонков (если есть телефония/коллтрекинг).
Аналитика и cookies
Идентификаторы cookies, сведения об устройстве, браузере и действиях. Не любой cookie автоматически является персональными данными: важно, позволяет ли конкретная информация прямо или косвенно определить человека, в том числе вместе с другими сведениями.
Виджеты и внешние сервисы
Онлайн-чат, кнопки соцсетей и мессенджеров, карты, формы сторонних сервисов, CRM-виджеты, облачные платформы.
Смысл не в том, чтобы “запретить всё”. Смысл — понимать, что именно подключено, что именно собирается,
и объяснить это человеку простым языком в политике и в согласии.
Цели обработки: как формулировать правильно и понятно
“Цели” — это сердце согласия. Пользователь должен понимать, что его данные используются не “вообще”, а для конкретных задач.
Обычно цели на коммерческом сайте можно сформулировать так, чтобы они звучали нормально и не пугали:
- Предоставление услуг и консультаций (обработка заявки, подготовка ответа)
- Обратная связь и взаимодействие (уточняющие вопросы, звонок менеджера)
- Выполнение обязательств по договору (если пользователь становится клиентом)
- Информационные сообщения (если у вас есть рассылки/уведомления и пользователь отдельно согласился)
- Улучшение качества сайта и сервиса (аналитика посещаемости и поведения, если это описано)
Для прямого продвижения через средства связи статья 15 152-ФЗ требует предварительного согласия. В интерфейсе отделите необязательное согласие на рекламные сообщения от отправки заявки; дополнительно проверьте требования законодательства о рекламе. Отказ от рекламы не должен автоматически блокировать обращение.
Тогда пользователь понимает разницу: “ответить на заявку” — это одно, “получать предложения” — другое.
Лучше 4–6 нормальных целей, которые реально отражают вашу работу.
Виды обработки: что писать и зачем это нужно
“Виды обработки” звучит по-юридически, но смысл простой: что вы делаете с данными после того, как их получили.
Перечень действий нельзя копировать как универсальный: оставьте только операции, которые действительно выполняются, и определите основания для каждой передачи.
- Сбор и запись (пользователь отправляет форму, сайт принимает данные)
- Систематизация и хранение (данные попадают в CRM/почту/базу)
- Уточнение и использование (менеджер уточняет детали, готовит ответ)
- Передача сервисам, которые участвуют в обработке (например: CRM, сервис телефонии, чат)
- Обезличивание и анализ — только если обезличивание реально выполняется. Отсутствие паспортных данных само по себе не делает информацию обезличенной.
- Блокирование и удаление (когда данные больше не нужны или поступил запрос)
Это не про “страшный список”, а про честное описание процессов.
Если у вас заявки падают в CRM и дублируются на почту — это лучше назвать прямо.
Если вы используете аналитику — лучше указать, что вы анализируете поведение и посещаемость для улучшения сайта.
Формы и чекбоксы: как сделать согласие аккуратно и без потери конверсии
Если форма работает на основании согласия, отделите действие по его выдаче от принятия оферты и других условий. Чекбокс не отмечают заранее, а ссылка должна вести к самостоятельному тексту согласия. Политику оставляют доступной рядом.
Что проверить в интерфейсе и на сервере
- Без требуемого согласия заявка не проходит ни через обычную кнопку, ни через прямой запрос к обработчику. Проверки только в JavaScript недостаточно.
- Согласие связано с конкретной заявкой: фиксируются версия текста, момент и действие пользователя. Состав и срок хранения подтверждений определите с юристом, не собирая лишнего.
- Политика и отдельный текст согласия открываются на телефоне; подпись не перекрыта кнопкой и читается с клавиатуры.
- Проверены также попапы, квизы, быстрый заказ и встроенные CRM-формы.
Пример подписи, а не готового юридического документа
«Даю согласие на обработку персональных данных для рассмотрения обращения и обратной связи». Слова «согласие на обработку персональных данных» должны вести к вашему отдельному тексту. Эта подпись — пример интерфейса: не заменяет содержание согласия и не подходит автоматически любой форме.
Реклама — отдельный добровольный выбор
Сделайте дополнительный, необязательный чекбокс для рекламных сообщений с отдельными условиями и способом отказа. Разрешение ответить на заявку не означает разрешения отправлять акции во всех каналах.
Яндекс.Метрика и аналитика: почему это тоже “обработка”
Аналитика входит в общую карту обработки: проверьте идентификаторы, события и реальные настройки, а не только название счётчика. Размещение сервиса в России само по себе не решает вопросы правового основания, информирования и защиты данных.
Иллюстрация интерфейса, а не рекомендуемый текст согласия. Фраза «продолжая пользоваться сайтом, вы соглашаетесь» не доказывает корректное получение согласия. По скриншоту нельзя понять, какие скрипты уже запущены.
Как проверить баннер, а не только его наличие
- Откройте сайт в новом профиле браузера и посмотрите запросы на вкладке Network и хранилища в Application до выбора пользователя.
- Если для выбранных необязательных сервисов основание — согласие, убедитесь, что они не запускаются до него. Кнопка «Отказаться» должна менять загрузку, а не только скрывать уведомление.
- Проверьте повторный визит, изменение выбора и отзыв согласия; учтите скрипты в теме, плагинах и менеджере тегов.
- После изменений проведите тестовую заявку и проверьте цели. Отделяйте отсутствие согласия от поломки счётчика при анализе отчётов.
Не передавайте содержимое заявки в обычные события
Не помещайте телефон, email или имя в URL, UTM-метки, названия целей и параметры событий. Яндекс отдельно описывает ограничения передачи идентификационных данных; специальные CRM-функции требуют отдельной настройки и проверки условий.
Для полей Вебвизора предусмотрен класс ym-disable-keys, для скрытия контента — ym-hide-content. Проверьте настройки записи полей и результат на тестовых данных: автоматическое распознавание не заменяет контроль свободного текста. Основа — официальная настройка Вебвизора.
Кнопки, виджеты, CRM, облако: где чаще всего “утекает смысл”
Если на сайте стоят виджеты и внешние сервисы, данные часто “перетекают” дальше: из формы — в CRM, из чата — в сервис поддержки,
из кнопки мессенджера — в переписку, из коллтрекинга — в кабинет телефонии. Всё это нужно учитывать.
Самые частые источники неожиданной обработки
- Онлайн-чат (собирает сообщения, контакты, иногда историю посещений)
- Коллтрекинг (подмена номеров, cookies, источник звонка, записи разговоров)
- CRM-формы (данные отправляются сразу в CRM или через сторонний сервис)
- Кнопки мессенджеров и соцсетей: обычная ссылка и загружаемый сторонний виджет — разные сценарии. Отдельно проверяйте запросы до клика и передачу после перехода.
- Облачные платформы и конструкторы (сайт и формы могут храниться “где-то в облаке”, важно понимать где именно)
- Плагины и виджеты “в один клик” (иногда тянут лишние скрипты и передают больше данных, чем вы думаете)
Здесь главное — не пытаться сделать “универсальный текст на все случаи”. Всё индивидуально:
у одного сайта заявки падают в почту, у другого — в CRM, у третьего — в мессенджер, у четвёртого — в облачный сервис.
Поэтому сначала фиксируем реальную схему, потом приводим тексты и согласия к этой схеме.
Если ответ длинный и неочевидный — это сигнал, что надо упорядочить процесс и доступы.
Рабочая карта обработки вместо списка плагинов
Пример ниже условный, не кейс клиента. Заполните такую таблицу для каждого канала: она показывает, каких фактов ещё не хватает.
| Канал | Что собирает | Куда поступает | Что подтвердить |
|---|---|---|---|
| Форма обратной связи | Контакт и текст обращения | Обработчик сайта → почта или CRM | Основание, версия согласия, серверная проверка, место хранения |
| Онлайн-чат | Сообщения, контакт, идентификаторы | Сервис чата и его интеграции | Получатель, договор, запросы до открытия чата, срок хранения |
| Аналитика | События, идентификаторы, запись поведения при включении | Счётчик и подключённые интеграции | Реальный состав данных, загрузка по выбору, отсутствие контактов в событиях |
Добавьте владельца процесса, страну базы, срок хранения и способ удаления. Не прикладывайте к публичным отчётам реальные заявки или скриншоты CRM с контактами клиентов.
Трансграничная передача: когда это возникает и почему многие сейчас убирают зарубежные сервисы
Трансграничная передача — передача персональных данных на территорию иностранного государства указанным в законе иностранным получателям. Иностранный бренд, доменная зона или подключённый CDN сами по себе ещё не описывают этот процесс: нужны сведения о данных, получателях и инфраструктуре.
Локализация и дальнейшая передача — разные проверки
Часть 5 статьи 18 152-ФЗ ограничивает использование зарубежных баз при сборе персональных данных граждан РФ, с предусмотренными законом исключениями. Российский хостинг страницы не доказывает выполнение требования: форма может писать напрямую в зарубежную CRM. Отдельно проверяются почта, резервные копии и интеграции.
Если запланирована трансграничная передача, статья 12 предусматривает отдельное уведомление Роскомнадзора до её начала, не вместо общего уведомления об обработке. Проверьте получателя, государство и применимый порядок, включая возможные ограничения; одна ссылка в политике или галочка пользователя не заменяет эти обязанности.
Практический порядок
- Зафиксируйте запросы браузера и серверные интеграции. По одному IP нельзя достоверно установить всю географию хранения.
- Получите у поставщика сведения о юридическом лице, базах данных и привлечённых обработчиках.
- С юристом определите допустимый сценарий: сохранить сервис при выполнении требований, заменить или отключить.
- После замены проверьте доставку заявок, цели, архивы и удаление ненужных копий.
Порядок работ: что проверять в первую очередь
Чтобы не утонуть в деталях, идите в понятном порядке. Он помогает быстро увидеть “дыры” и не переписывать документы по три раза.
Шаг 1. Инвентаризация
- Все формы и поля
- Все виджеты и внешние сервисы
- Куда уходят заявки и где они хранятся
- Кто имеет доступ
- Какие счётчики стоят (Метрика, другие)
Шаг 2. Приводим политику к реальности
- Описываем данные, цели и сервисы, которые реально участвуют
- Пишем понятно, без “для любых целей”
- Добавляем понятный способ связи для вопросов и отзыва согласия
Шаг 3. Формы и согласия
- Чекбокс не отмечен заранее
- Текст короткий, рядом с кнопкой
- Доступны политика и отдельный текст согласия; согласие не объединено с офертой
- Если основание — согласие, проверены серверная валидация и подтверждение его получения
- Маркетинг отделяем отдельным согласием (если он вообще есть)
Шаг 4. Обязанности оператора и доступы
По статье 22 152-ФЗ уведомление Роскомнадзора подаётся до начала обработки, кроме предусмотренных законом исключений. Наличие компании в реестре — не сертификат соответствия: сопоставьте заявленные цели и сведения с реальным процессом. Проверьте ответственных, права сотрудников, сроки хранения и процедуру ответа на обращения субъектов.
Шаг 5. Cookies и аналитика
- Баннер соответствует реальности
- Нет дублей счётчиков и старых тегов
- Проверены события/цели, чтобы не “ослепить” отчёты
Бонус: чек-лист перед запуском рекламы и SEO
Скопируйте список в задачу разработчику. Для каждого пункта укажите результат проверки, подтверждение и ответственного. Это рабочая самопроверка, не заключение о юридическом соответствии.
- Состав: перечислены все формы, поля, квизы и виджеты; лишние поля удалены.
- Маршрут: установлены получатели, базы и копии, включая серверные интеграции и почту.
- Основания: определены отдельно для обращения, договора, аналитики и рекламы.
- Документы: политика соответствует процессам; согласие оформлено отдельно, если оно требуется.
- Форма: нужный чекбокс пустой, без него сервер не принимает заявку; ссылки открываются на мобильном.
- Подтверждение: версия согласия и действие пользователя связаны с заявкой без избыточного сбора.
- Реклама: добровольный выбор отделён; отказ и отписка проверены.
- Cookies: проверены запросы до выбора, отказ, повторный визит и изменение решения.
- Аналитика: контакты не попадают в обычные события, URL и UTM; запись полей настроена и проверена.
- Оператор: проверены применимость уведомления РКН и актуальность поданных сведений.
- География: установлены места хранения; локализация и трансграничная передача оценены отдельно.
- Эксплуатация: определены доступы, сроки хранения и порядок удаления; после правок проверены заявки и цели.
Источники и примеры документов
Основные правовые ориентиры — 152-ФЗ: статьи 6, 9, 12, 18, 18.1 и 22. Наши документы ниже относятся к процессам SeoУслуги: не копируйте их как готовые шаблоны для другой компании.
Частые вопросы
Достаточно ли политики и галочки под формой?
Нет. Нужно установить основание, реальные маршруты и обязанности оператора. Если обработка основана на согласии, оно оформляется отдельно, а получение нужно подтверждать.
Нужно ли согласие на любую обработку?
Нет, статья 6 предусматривает и другие основания. Но основание для договора нельзя автоматически переносить на рекламную рассылку или все функции аналитики.
Можно ли считать российский хостинг решением всех вопросов?
Нет. Проверьте, куда фактически пишет обработчик формы и где находятся CRM, почта и другие хранилища. География веб-страницы — только часть схемы.
Почему красивый cookie-баннер может ничего не менять?
Потому что скрипты могут загрузиться раньше баннера, а кнопки — лишь закрывать его. Проверяйте запросы и изменение поведения, а не только внешний вид.
Итог: документы должны совпадать с работой сайта
Начните с карты обработки, затем определите основания, документы и техническую механику. Порядок считается проверенным не по наличию баннера: должны быть понятны получатели, хранение, доступы и действия при отказе или отзыве. После обновления формы или подключения виджета эти проверки нужно повторять.
Разберём техническую сторону вашего сайта
Пришлите адрес сайта и конкретный вопрос: например, куда уходят заявки или почему счётчик работает до выбора пользователя. Предлагаем бесплатный первичный разбор: начальные наблюдения и рекомендацию следующего шага. Это не полный юридический аудит и не гарантия соответствия закону; правовые вопросы требуют профильного юриста.
