Форма обратного звонка и персональные данные: что говорит 152-ФЗ
Телефон, имя, адрес электронной почты — это персональные данные по смыслу 152-ФЗ. Закон требует законного основания для их обработки: договор, согласие субъекта или прямое указание закона. Если посетитель добровольно заполняет форму, чтобы вы перезвонили и оказали услугу, основание — исполнение договора.
Проблема возникает, когда форма или виджет callback собирает дополнительные данные: IP-адрес, cookie, историю действий на сайте, UTM-метки. Или передаёт телефон и имя стороннему сервису для обработки. В этом случае одного договорного основания недостаточно — нужно явное согласие с перечислением целей и получателей.
Второй риск — трансграничная передача. Если виджет отправляет данные на серверы за пределы России, вы обязаны убедиться, что страна обеспечивает адекватную защиту, или получить письменное согласие посетителя. Законодательство требует уведомлять Роскомнадзор до начала трансграничной передачи.
Как форма обратного звонка работает на практике: виджеты, трекеры и передача данных
Большинство сервисов callback встраиваются на сайт через JavaScript-виджет. Посетитель вводит телефон и имя, скрипт отправляет данные на сервер сервиса, оттуда заявка приходит в вашу CRM или на email. Но попутно виджет может устанавливать cookie, отправлять аналитику, передавать данные в системы контроля качества или колл-трекинга.
Часть виджетов запускает трекеры до того, как посетитель заполнил форму — сразу при загрузке страницы. Если вы показываете cookie-баннер, но скрипт виджета уже стартовал и отправил данные, возникает эпизод с признаками нарушения: обработка началась без согласия.
Ещё одна ситуация: сервис callback использует серверы за рубежом или передаёт данные партнёрам в третьих странах. Владелец сайта об этом может не знать — в договоре с сервисом это прописано юридическим языком, а в интерфейсе не видно. Но ответственность несёте вы как оператор персональных данных.
Как проверить форму обратного звонка на соответствие 152-ФЗ
Первый шаг — откройте сайт в режиме инкогнито, с чистой сессии, и посмотрите инструментами разработчика (вкладка Network), какие запросы уходят при загрузке страницы. Если виджет callback отправляет данные до любого действия посетителя — это сигнал для проверки.
Второй — прочитайте договор или пользовательское соглашение с сервисом callback: где физически хранятся данные, кому они передаются, какие субпроцессоры задействованы. Если указаны серверы за пределами России или третьи страны без решения Правительства РФ об адекватной защите — нужно письменное согласие посетителя и уведомление регулятора.
Третий — сверьте политику конфиденциальности на сайте с фактическим поведением формы. Если в политике не названы сервис callback, его местонахождение и цели передачи данных — документ не покрывает реальную обработку, и это создаёт правовой риск.
Dobrolex проверяет сайт автоматически: фиксирует, какие запросы уходят до согласия посетителя, куда отправляются данные, какие cookie устанавливаются. В отчёте — снимки экрана, временные метки, ссылки на нормы закона и рекомендации по исправлению.
Что должно быть в согласии на обработку персональных данных под формой
152-ФЗ требует, чтобы согласие было конкретным: перечислены цели обработки, категории данных, действия с ними, срок хранения и получатели. Если форма передаёт данные стороннему сервису — его нужно указать в тексте согласия или в политике конфиденциальности, на которую ссылается галочка.
Галочка под формой — это механизм подтверждения, но сам текст должен содержать обязательные элементы. Формулировка «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности» работает, только если в политике действительно описаны все обработчики, цели и география передачи данных.
Если виджет callback использует собственное встроенное согласие — проверьте, соответствует ли оно вашей политике. Бывает, что текст согласия в виджете шире или уже, чем в вашем документе, и это создаёт несоответствие между обещанием посетителю и фактом.
Что исправить, если форма обратного звонка нарушает 152-ФЗ
Если проверка показала, что виджет запускает трекеры до согласия — настройте отложенную загрузку скрипта через систему управления согласиями или cookie-баннер. Виджет должен стартовать только после явного разрешения посетителя.
Если данные уходят за рубеж — уточните у сервиса callback географию серверов и основания для передачи. Если страна не входит в перечень адекватных по решению Правительства РФ — добавьте в текст согласия упоминание трансграничной передачи и уведомите Роскомнадзор до начала передачи.
Если политика конфиденциальности не называет сервис callback или не описывает цели передачи — дополните документ разделом о формах связи с перечислением обработчиков, сроков хранения и прав посетителя.
- Настройте отложенную загрузку виджета callback через систему управления согласиями
- Добавьте в политику конфиденциальности сведения о сервисе обратного звонка и его местонахождении
- Укажите в тексте согласия под формой цели обработки и получателей данных
- Если данные передаются за рубеж — уточните географию серверов и основания для передачи
Проверьте форму обратного звонка на сайте
- 01Откройте сайт в режиме инкогнито. Посмотрите во вкладке Network инструментов разработчика, какие запросы уходят при загрузке страницы — до заполнения формы и клика на кнопку.
- 02Проверьте текст согласия под формой. Убедитесь, что указаны цели обработки, категории данных и получатели. Если есть ссылка на политику — откройте и сверьте содержание.
- 03Прочитайте договор с сервисом callback. Уточните, где физически хранятся данные, кому они передаются и какие субпроцессоры задействованы.
- 04Сверьте политику конфиденциальности с фактом. Проверьте, описаны ли в документе форма обратного звонка, сервис-обработчик и трансграничная передача, если она есть.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли согласие на обработку персональных данных для формы обратного звонка?
Если посетитель добровольно оставляет телефон для получения услуги — основание договорное. Но если форма собирает дополнительные данные (IP, cookie, историю действий) или передаёт их третьим лицам — нужно явное согласие с перечислением целей и получателей.
Как узнать, куда виджет callback отправляет данные посетителя?
Откройте сайт в режиме инкогнито, перейдите во вкладку Network инструментов разработчика и посмотрите, какие запросы уходят при загрузке страницы и заполнении формы. Или проведите проверку — Dobrolex фиксирует все сетевые запросы и показывает получателей данных.
Что будет, если форма обратного звонка отправляет данные за рубеж без согласия?
Это может квалифицироваться как нарушение требования о трансграничной передаче персональных данных и повлечь административную ответственность. Нужно письменное согласие посетителя с упоминанием страны-получателя и уведомление Роскомнадзора до начала передачи.
Обязательно ли подавать уведомление в Роскомнадзор, если я собираю заявки через форму на сайте?
Требования к уведомлению зависят от того, как вы обрабатываете данные и кому их передаёте. Если данные передаются за рубеж — уведомлять регулятора до начала передачи обязательно. Для других случаев правила могут различаться.
Какой текст должен быть под формой обратного звонка для соответствия 152-ФЗ?
Согласие должно быть конкретным: указаны цели обработки, категории данных, получатели, срок хранения. Если форма передаёт данные стороннему сервису или за рубеж — это нужно упомянуть в тексте или в политике конфиденциальности, на которую ссылается галочка.
Что проверяет Dobrolex в форме обратного звонка?
Dobrolex фиксирует, какие запросы уходят до согласия посетителя, куда отправляются данные, какие cookie устанавливаются, и сверяет фактическое поведение с политикой конфиденциальности. В отчёте — снимки экрана, временные метки и ссылки на нормы закона.
Как исправить ситуацию, если виджет callback запускает трекеры до согласия посетителя?
Настройте отложенную загрузку скрипта виджета через систему управления согласиями или cookie-баннер. Виджет должен стартовать только после явного разрешения посетителя на обработку данных и установку cookie.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.