Почему номер телефона — это персональные данные
Персональные данные — это любая информация, которая позволяет идентифицировать человека. Номер телефона попадает под это определение: по нему можно связаться с конкретным человеком, найти его в мессенджерах или базах данных.
Как только вы размещаете на сайте форму, которая собирает номер телефона (заявка, обратный звонок, регистрация), вы становитесь оператором персональных данных. Это значит, что на вас распространяются требования 152-ФЗ: получать согласие, публиковать политику, защищать данные и уведомлять Роскомнадзор.
Регулятор проверяет операторов по жалобам, по плану или при обнаружении нарушений. Проверка начинается с того, что видно на публичных страницах сайта: есть ли политика, как оформлены формы, куда уходят данные. Эти факты фиксируются и сопоставляются с требованиями закона.
Что должно быть на сайте, если вы собираете номера телефонов
Первое — политика обработки персональных данных. Это публичный документ, в котором вы описываете, кто вы (ИНН, ОГРН, адрес), какие данные собираете, для каких целей и как их защищаете. Политика должна быть доступна на сайте — обычно в футере или рядом с формой.
Второе — согласие на обработку. Согласие нужно получать до того, как посетитель отправит форму. Чаще всего это чекбокс с текстом согласия и ссылкой на политику. Текст должен быть конкретным: какие данные вы собираете, зачем и что будете с ними делать. Общие фразы вроде «согласен с условиями» не подходят.
Третье — прозрачность передачи данных. Если номера телефонов уходят в CRM, аналитику, сервисы рассылок или другие системы, это тоже обработка. Если сервис иностранный, возникает трансграничная передача, для которой нужны дополнительные основания и уведомление регулятора.
Как проверить, что происходит с номерами телефонов на практике
Проверка начинается с публичных страниц: как сайт выглядит для нового посетителя, который ещё не дал никаких согласий. Фиксируется, какие формы видны, есть ли чекбокс согласия, опубликована ли политика и доступны ли реквизиты оператора.
Следующий шаг — анализ сетевого обмена браузера. Это технический сигнал, который показывает, куда уходят данные до отправки формы и после неё. Например, номер телефона может попасть в аналитическую систему ещё в момент ввода, или данные могут передаваться иностранным сервисам авторизации. Каждый такой запрос фиксируется со временем и адресом получателя.
Третий слой — документы. Политика обработки, согласия, оферты проверяются на соответствие требованиям закона: есть ли описание целей, сроков хранения, прав субъекта, указаны ли реквизиты оператора. Эти элементы сопоставляются с тем, что происходит на сайте фактически.
Какие риски возникают и как их исправить
Самые частые эпизоды — это формы без согласия или с неконкретным текстом, отсутствие опубликованной политики, данные, уходящие за рубеж без оснований. Каждый такой эпизод может квалифицироваться как нарушение с соответствующими санкциями.
Исправление строится от фактов: если форма не содержит чекбокса согласия, его нужно добавить с понятным текстом и ссылкой на политику. Если политики нет, её нужно подготовить и опубликовать на сайте. Если номера телефонов уходят в иностранные сервисы, нужно проверить, есть ли основания для трансграничной передачи и подано ли уведомление в Роскомнадзор.
Заключение Dobrolex фиксирует установленные обстоятельства, связывает их с нормами закона и даёт очерёдность исправлений. Каждый эпизод снабжается снимками экрана, временем фиксации и рекомендацией, что изменить на сайте, в документах или в настройках сервисов.
Что делать, если данные уходят за рубеж или хранятся не в России
Персональные данные граждан России должны записываться и храниться на серверах в России — это требование закона. Если номера телефонов попадают в иностранные сервисы (аналитика, CRM, авторизация), это может создавать риск нарушения требования о локализации и о трансграничной передаче.
Трансграничная передача допускается, только если страна получателя обеспечивает адекватную защиту прав субъектов данных, или если есть согласие субъекта, или выполняется договор. В большинстве случаев нужно также уведомить Роскомнадзор до начала передачи.
Проверка сетевого обмена показывает, какие иностранные сервисы получают данные посетителя, на каком этапе и в каком объёме. Это технический сигнал для дополнительной проверки: нужно выяснить, где фактически хранятся данные, есть ли основания для передачи и подано ли уведомление. Если оснований нет, передачу нужно прекратить или получить необходимые согласия.
Что проверить на сайте прямо сейчас
- 01Опубликована ли политика обработки персональных данных. Откройте главную страницу сайта и найдите ссылку на политику — обычно она в футере. Проверьте, что политика содержит ваши реквизиты (ИНН, ОГРН, адрес), цели обработки и права субъектов данных.
- 02Есть ли чекбокс согласия на всех формах сбора номеров. Откройте каждую форму, где можно оставить номер телефона (заявка, обратный звонок, регистрация). Убедитесь, что до отправки есть чекбокс с конкретным текстом согласия и ссылкой на политику.
- 03Куда уходят данные после отправки формы. Проверьте, используете ли вы CRM, аналитику, рассылки или другие сервисы. Если сервис иностранный, уточните, где хранятся данные и есть ли у вас основания для трансграничной передачи.
- 04Подано ли уведомление в Роскомнадзор. Если вы обрабатываете персональные данные и не попадаете в исключения, проверьте, подавали ли вы уведомление о намерении обрабатывать персональные данные. Неподача уведомления — отдельное основание для санкций.
- 05Какие сторонние скрипты работают на сайте. Откройте инструменты разработчика в браузере (F12) и посмотрите вкладку Network. Загрузите страницу с формой и проверьте, какие запросы уходят на иностранные домены до и после заполнения формы.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Номер телефона — это персональные данные?
Да. Номер телефона позволяет идентифицировать конкретного человека, поэтому относится к персональным данным по 152-ФЗ. Как только вы собираете номера через форму на сайте, вы становитесь оператором персональных данных.
Нужно ли согласие на обработку номера телефона?
Да, согласие нужно получать до того, как посетитель отправит форму. Согласие должно быть конкретным: в нём указываются, какие данные вы собираете, для каких целей и что будете с ними делать. Чекбокса с текстом и ссылкой на политику обычно достаточно.
Что будет, если на сайте нет политики обработки персональных данных?
Отсутствие опубликованной политики — это отдельное нарушение, за которое предусмотрены санкции. Политика обязательна для всех операторов персональных данных и должна быть доступна на сайте.
Нужно ли уведомлять Роскомнадзор, если я собираю номера телефонов?
В большинстве случаев да. Уведомление подаётся один раз при начале обработки персональных данных и содержит сведения об операторе, целях и категориях данных. Есть исключения, но они немногочисленны. Неподача уведомления — основание для санкций.
Можно ли передавать номера телефонов в иностранные сервисы?
Трансграничная передача допускается, если страна получателя обеспечивает адекватную защиту, или есть согласие субъекта, или передача нужна для исполнения договора. В большинстве случаев нужно также уведомить Роскомнадзор до начала передачи.
Как проверить, что номера телефонов не уходят за рубеж?
Откройте инструменты разработчика в браузере (F12), перейдите на вкладку Network и загрузите страницу с формой. Посмотрите, какие запросы уходят на иностранные домены до и после заполнения формы. Это технический сигнал, который показывает, куда уходят данные.
Что проверяет Роскомнадзор на сайте?
Роскомнадзор проверяет, есть ли на сайте политика обработки, как оформлены формы (есть ли согласие), куда уходят данные и соответствуют ли документы фактическим действиям сайта. Эти факты фиксируются и сопоставляются с требованиями закона.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.