На сайте есть политика и галочка согласия. Почему этого недостаточно для соблюдения закона о персональных данных?
Сегодня практически у каждого бизнеса есть сайт. Посетители оставляют номера телефонов, записываются на услуги, оформляют заказы, а иногда просто переходят по страницам, не подозревая, что информация об их действиях уже собирается аналитическими сервисами.
Многие предприниматели считают, что для соблюдения законодательства достаточно разместить политику конфиденциальности и добавить галочку «Согласен на обработку персональных данных».
Однако наличие этих элементов ещё не означает, что обработка персональных данных организована законно.
Разберём наиболее распространённые ошибки.
1. Политика обработки персональных данных существует только формально
Статья 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязывает оператора обеспечить неограниченный доступ к документу, определяющему его политику обработки персональных данных.
На практике предприниматели нередко скачивают универсальный шаблон и размещают его на сайте, не проверяя содержание.
В результате документ может описывать несуществующие способы сбора данных, указывать неправильные цели обработки или вообще не отражать использование сторонних сервисов.
Политика должна соответствовать фактическим процессам обработки персональных данных. Если сайт собирает заявки, использует аналитические инструменты или передаёт информацию в CRM, эти процессы необходимо учитывать при подготовке документации.
2. Согласие объединено с другими документами
С 1 сентября 2025 года действует требование, согласно которому согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, подтверждаемых или подписываемых человеком.
Это предусмотрено ч. 1 ст. 9 Федерального закона № 152-ФЗ.
Поэтому формулировка «Нажимая кнопку, вы соглашаетесь с политикой, условиями обслуживания и обработкой персональных данных» требует пересмотра.
Если основанием обработки выступает согласие, оно должно быть конкретным, информированным, однозначным и оформленным отдельно от других подтверждений.
При этом важно понимать: согласие требуется не для любой обработки персональных данных. Статья 6 закона № 152-ФЗ предусматривает и другие правовые основания, например необходимость обработки данных для исполнения договора с самим гражданином.
Следовательно, задача бизнеса — не собирать максимально много согласий, а правильно определить правовое основание для каждой цели обработки.
3. Согласие на обработку данных путают с согласием на рекламу
Представим ситуацию: человек оставил номер телефона, чтобы узнать стоимость услуги. Через несколько дней ему начинают приходить рекламные сообщения.
Сам факт обращения за консультацией не означает согласия на получение рекламы.
В соответствии с ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» рекламные сообщения по сетям электросвязи допускаются при наличии предварительного согласия адресата.
Причём обязанность доказать получение такого согласия возлагается на рекламораспространителя.
Поэтому согласие на рекламные рассылки необходимо рассматривать отдельно от обработки данных для ответа на заявку.
4. Бизнес забывает об уведомлении Роскомнадзора
Ещё одно распространённое заблуждение: если организация небольшая или сайт посещают всего несколько человек в день, уведомлять Роскомнадзор не требуется.
Однако статья 22 Федерального закона № 152-ФЗ устанавливает общее правило об уведомлении уполномоченного органа до начала обработки персональных данных.
Исключения существуют, но их перечень ограничен законом.
Поэтому даже небольшой организации или индивидуальному предпринимателю необходимо проверить, подпадает ли деятельность под обязанность направить уведомление.
5. Никто не проверяет, куда фактически передаются данные
На сайте могут использоваться CRM-системы, сервисы аналитики, облачные хранилища, виджеты и инструменты автоматизации.
При подключении каждого такого сервиса необходимо выяснить, какие сведения он получает, кто их обрабатывает и где располагаются соответствующие базы данных.
Особое внимание следует уделять требованиям ч. 5 ст. 18 Федерального закона № 152-ФЗ о локализации персональных данных граждан Российской Федерации.
Не менее важно проверить законность передачи данных третьим лицам и наличие необходимых договорных условий.
Как проверить собственный сайт?
Я рекомендую начать не с покупки шаблонного комплекта документов, а с проверки фактической работы сайта:
- Определить, какие персональные данные собираются и для каких целей.
- Установить законные основания для каждой операции обработки.
- Проверить содержание политики и порядок получения согласий.
- Выяснить, какие сторонние сервисы получают информацию о посетителях.
- Проверить необходимость уведомления Роскомнадзора и соблюдение требований к хранению и защите данных.
Главный вывод: соблюдение законодательства о персональных данных — это не наличие нескольких документов в подвале сайта, а правильно организованный процесс работы с информацией.
Именно поэтому юридическую проверку необходимо проводить с учётом не только текстов документов, но и фактической технической работы сайта.
Правовая основа: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 9, 18, 18.1, 22); Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18).
