Персональные данные на сайте: что проверить владельцу в 2026 году

Проверку сайта по 152-ФЗ начните с пути персональных данных: выясните, какие сведения получает сайт, куда они попадают после отправки заявки и кто имеет к ним доступ. Затем сверьте этот маршрут с документами и настройками. Одной ссылки на политику или галочки рядом с кнопкой недостаточно.

С чего начать проверку персональных данных на сайте?

Начните с того, что происходит с данными на вашем сайте. Если посетитель оставляет телефон в форме, проверьте, куда уходит заявка, кто её читает и где остаются копии. Политика в подвале не покажет, что письмо с заявкой пересылается подрядчику или хранится в старой CRM. Для проверки нужен маршрут данных, а не только перечень документов.

Сбор, хранение, передача и удаление — разные действия. Пройдите их по очереди для каждой формы и подключённого сервиса. Так проще заметить лишнее поле, забытый почтовый ящик или доступ бывшего сотрудника.

Проверяйте весь путь заявки: от ввода данных до удаления их копий.

Какие данные собирает сайт и на каком основании?

Составьте таблицу для каждого места, где посетитель оставляет сведения или взаимодействует со сторонним скриптом. Запишите цель сбора и предполагаемое основание обработки, затем проверьте его для своего сценария. Таблица ниже — рабочая схема, а не готовое юридическое заключение. Названия сервисов и фактический состав данных возьмите из настроек сайта.

Не судите о cookie или IP-адресе отдельно от остальных сведений. Если скрипт связан с формой, CRM или рекламным кабинетом, изучайте их вместе. Список полей в форме тоже проверьте: для ответа на короткий вопрос адрес доставки обычно не нужен.

Как оформить политику, формы и согласия?

Политика должна описывать обработку на вашем сайте. Сначала составьте карту форм и сервисов, затем сравните её с текстом документа: совпадают ли цели, категории данных и получатели. Скопированный шаблон легко упускает чат, рассылку или передачу заявок в CRM. После изменения интеграций возвращайтесь к этой сверке.

Посетителю должно быть понятно, что произойдёт после отправки формы. Разместите рядом доступную ссылку на политику и проверьте текст согласия там, где вы используете согласие как основание. Не оставляйте заранее выбранную отметку. Сохраняйте сведения о том, какое действие совершил человек и какой текст он видел.

Ответ на заявку, рекламная рассылка и публикация отзыва решают разные задачи. Не объединяйте их в одну отметку. Если форма обслуживает заказ или обращение, отдельно проверьте основание для этой обработки: добавлять галочку ко всему подряд — плохая замена такой проверке.

Как проверить cookie, аналитику и рекламные пиксели?

Текст баннера не управляет загрузкой скриптов. Откройте сайт в новом сеансе браузера и посмотрите во вкладке «Сеть» инструментов разработчика, какие запросы уходят до выбора посетителя. Повторите проверку после каждого варианта выбора. Если поведение скриптов не меняется, сначала исправляйте настройки, а потом текст баннера.

Разделите подключённые инструменты по назначению: работа сайта, аналитика, реклама. Для каждого запишите поставщика, передаваемые сведения и момент загрузки. Эти данные пригодятся и для настройки баннера, и для проверки политики.

Если на сайте нет аналитических и рекламных скриптов, настраивать их отключение по выбору посетителя незачем. Но не делайте вывод по отсутствию баннера: сначала проверьте код сайта и подключённые сервисы.

Куда попадают данные после отправки формы?

После отправки заявки данные часто оказываются сразу в нескольких местах. Форма передаёт их серверу; затем запись сохраняется в панели сайта, уходит на рабочую почту или в CRM. Копии получают и сотрудники с доступом к этим системам. Нарисуйте маршрут именно вашего проекта: чужая схема не покажет забытый почтовый ящик.

Для каждого звена запишите, что в нём хранится, у кого есть доступ и как удалить запись. Отдельно выясните, получают ли сведения подрядчики и сервисы за пределами России. Если маршрут неясен, восстановите его вместе с тем, кто настраивал интеграции сайта с CRM и почтой.

Удаление заявки из панели сайта не удаляет письмо и запись в CRM. Поэтому проверяйте удаление на всём маршруте, а не только в форме.

Нужно ли уведомлять Роскомнадзор и что делать при утечке?

На странице об уведомлении Роскомнадзор пишет: «Операторы должны уведомлять Роскомнадзор о начале или осуществлении любой обработки персональных данных». Там же среди исключений названа обработка «исключительно без средств автоматизации». Сайт с работающей формой обрабатывает заявки при помощи программных средств, поэтому оценивать его по этому исключению не стоит. Проверьте свою обработку и сведения об операторе на портале ведомства.

При инциденте Роскомнадзор указывает два срока: уведомление о произошедшем инциденте — в течение 24 часов, сообщение о результатах внутреннего расследования — в течение 72 часов. Оба срока приведены на странице ведомства об инцидентах. Заранее определите, кто обнаруживает проблему, сохраняет сведения о ней и передаёт их ответственному за уведомление.

Полезно проверить доступы к почте, CRM и резервным копиям. Иначе даже после исправления формы данные продолжат оставаться там, где их трудно найти и защитить.

Как подготовиться к запросу пользователя о его данных?

Определите канал для обращений о данных и человека, который будет их разбирать. Ему нужна карта всех мест, где хранится заявка: панель сайта, почта, CRM и рассылка. Без неё нельзя уверенно ответить, какие сведения сохранились и где находятся копии. Подготовьте порядок поиска и проверки обращения до первого запроса.

Не обещайте автоматическое удаление всех записей по одному нажатию. Сначала выясните, какие данные относятся к обращению и почему они хранятся в каждой системе. Затем согласуйте ответ и действия с юристом. Техническая проверка здесь нужна не меньше текста ответа.

Приоритизируйте реальные потоки данных. Открытый доступ к ящику с заявками и забытая интеграция заслуживают внимания раньше, чем оформление документа, который не совпадает с работой сайта.

Как привести работающий сайт в порядок?

Для работающего сайта удобнее идти от наблюдения к исправлению. Сначала найдите формы, счётчики и сервисы, затем проследите передачу данных. После этого сверяйте документы с обнаруженным маршрутом и меняйте настройки. Завершайте работу повторным тестом: исправленная форма не поможет, если старая копия заявки по-прежнему уходит на лишний адрес.

1. Выпишите формы, скрипты, почтовые ящики и подключённые сервисы.
2. Запишите, какие сведения получает каждое звено и зачем.
3. Проверьте сведения об операторе и сравните политику с фактической обработкой.
4. Исправьте формы, тексты и загрузку скриптов.
5. Протестируйте отправку заявки и поиск её копий во всех системах.
6. Сохраните список изменений и назначьте ответственного за повторные проверки.

Если у вас визитка без форм, аналитики и рекламных скриптов, часть этого плана не относится к сайту. Начните с проверки подключений, а не с добавления документов на всякий случай.

Тексты политики и согласий согласуйте с юристом. Если техническая проверка выявила лишние передачи данных, обсудите доработку сайта с HUNTERWEB: консультация специалиста бесплатная.

Частые вопросы

Здесь собраны вопросы, которые возникают после проверки форм и подключённых сервисов. Ответы помогают выбрать следующий шаг, но не заменяют карту данных конкретного сайта. Если вопрос касается удаления или публикации сведений о человеке, сначала установите, где они хранятся и для какой цели используются.

Нужна ли политика, если на сайте нет форм?

Если на сайте нет форм, проверьте аналитику, рекламные скрипты и другие подключения. Они тоже могут получать сведения о посетителях. После проверки сравните фактическую обработку с текстом политики.

Можно ли хранить заявки только в почте?

Почту можно включить в маршрут заявок. Проверьте, кто имеет доступ к ящику, куда пересылаются письма и как найти нужное обращение. Не считайте письмо единственной копией, пока не проверите панель сайта и интеграции.

Нужно ли отдельно оформлять публикацию отзывов и фото клиентов?

Да, публикацию отзыва или фотографии клиента проверяйте отдельно от ответа на заявку. Уточните, какие сведения увидят другие люди и какое разрешение вы получили на публикацию.

Кто разбирает инцидент, если данные утекли у подрядчика?

Назначьте ответственного за связь с подрядчиком и сбор сведений об инциденте. Проверьте, какие данные были у подрядчика, какие доступы остаются открытыми и кто готовит уведомление Роскомнадзору. Порядок взаимодействия лучше согласовать до инцидента.

Источники

Для сроков уведомления об инциденте и общего правила подачи уведомления использованы страницы Роскомнадзора, указанные ниже. Ссылка на текст закона нужна для проверки формулировок по своему случаю. Главная страница ведомства или пересказ новости не подтверждали бы конкретный срок, поэтому здесь приведены страницы по соответствующим вопросам.

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — текст закона.
• Уведомление об обработке персональных данных — Роскомнадзор: «Операторы должны уведомлять Роскомнадзор о начале или осуществлении любой обработки персональных данных»; среди исключений — обработка «исключительно без средств автоматизации».
• Инциденты (утечки персональных данных) — Роскомнадзор: «в течение двадцати четырех часов о произошедшем инциденте» и «в течение семидесяти двух часов о результатах внутреннего расследования».

Ильнар ИсхаковРуководитель digital-проектов, Hunterweb