Почему форма онлайн-записи — это обработка персональных данных
Форма записи на сайте — это не просто удобный инструмент для клиента. С точки зрения закона это начало обработки персональных данных: имя, номер телефона, адрес электронной почты — всё это идентифицирует конкретного человека.
Закон о персональных данных требует получить согласие субъекта до начала обработки и опубликовать политику конфиденциальности. Также может потребоваться уведомление Роскомнадзора — это зависит от целей и способа обработки. Если форма собирает данные без согласия, отправляет их за границу или на сайте нет политики — каждый из этих эпизодов может квалифицироваться как нарушение с отдельной санкцией.
Проблема в том, что владелец сайта часто не знает, что происходит внутри формы: её делал подрядчик, встроили через iframe, подключили стороннюю CRM — и в какой момент данные покидают Россию, никто не проверял.
Куда на самом деле уходят данные из формы записи
Когда посетитель заполняет форму и нажимает «Отправить», браузер делает HTTP-запрос на сервер. Этот запрос может уходить на ваш собственный сервер, на сервер подрядчика, в облачную CRM или на сервер аналитической системы.
Если данные попадают на сервер за пределами России — например, в американский Google Sheets, европейский HubSpot или систему, использующую иностранные дата-центры, — это трансграничная передача персональных данных. Закон требует, чтобы такая передача была указана в согласии субъекта, и может потребовать уведомления Роскомнадзора.
Многие популярные конструкторы форм, системы записи и виджеты обратного звонка по умолчанию хранят данные на серверах за границей. Владелец сайта об этом не задумывается — пока не получает требование от регулятора.
Согласие на обработку персональных данных: где оно должно быть и как выглядит
Согласие на обработку персональных данных — это не формальность, а обязательное условие законности обработки. Оно должно быть получено до того, как человек отправит форму. В интерфейсе это обычно чекбокс рядом с кнопкой отправки, текст которого ссылается на политику конфиденциальности.
Согласие должно быть информированным: из текста или ссылки на политику должно быть понятно, кто обрабатывает данные, для каких целей, какие данные собираются и будут ли они переданы третьим лицам. Если чекбокс стоит по умолчанию или согласие спрятано в мелком шрифте в конце страницы — это создаёт риск квалификации как обработка без согласия.
Отдельный вопрос — согласие на передачу данных за границу. Если форма отправляет данные на иностранный сервер, это должно быть явно указано в тексте согласия, иначе такая передача может быть признана незаконной.
Как проверить форму онлайн-записи до проверки Роскомнадзора
Самостоятельно проверить, куда уходят данные из формы, сложно: нужно открыть инструменты разработчика браузера, поймать сетевой запрос, расшифровать домены и понять, в какой юрисдикции находится сервер. Ошибка на этом этапе — и вы пропустите риск.
Проверка сайта фиксирует всё, что браузер отправляет при заполнении формы: домены, параметры запроса, географию серверов. Если данные уходят за границу, если форма стартует до получения согласия или если на сайте нет политики конфиденциальности — каждый из этих эпизодов попадёт в отчёт с указанием нормы закона и рекомендацией, что исправить.
Отчёт также покажет, какие сторонние сервисы получают данные посетителя ещё до отправки формы — аналитика, чаты, виджеты. Если трекер запускается раньше согласия или cookie-баннер не даёт равнозначного отказа, это фиксируется как обстоятельство, требующее исправления.
Что делать, если форма записи нарушает требования закона
Если проверка выявила эпизоды с признаками нарушений, первый шаг — понять их серьёзность и очерёдность исправления. Отчёт даёт приоритет каждому эпизоду и ссылку на норму закона, чтобы вы могли оценить риск.
План действий — это готовое решение для каждого риска: какой код изменить, какие настройки поправить в CRM или конструкторе форм, какой текст добавить в политику конфиденциальности. Если нужна помощь юриста — тариф с сопровождением включает подготовку документов под ваш сайт и итоговую проверку после правок.
Исправить форму до проверки регулятора проще и дешевле, чем оспаривать протокол или платить штраф. Проверка занимает несколько минут.
Проверьте форму онлайн-записи на сайте
- 01Есть ли чекбокс согласия на обработку данных рядом с кнопкой отправки. Согласие должно быть явным, до отправки формы, со ссылкой на политику конфиденциальности.
- 02Опубликована ли на сайте политика обработки персональных данных. Политика должна быть доступна по ссылке из формы и содержать реквизиты оператора, цели и перечень обрабатываемых данных.
- 03Указано ли в политике, куда передаются данные из формы. Если форма встроена через сторонний сервис или данные отправляются в CRM — это должно быть названо в политике.
- 04Запускаются ли аналитика и трекеры до того, как посетитель дал согласие. Откройте сайт в режиме инкогнито и проверьте сетевую активность в инструментах разработчика до клика на cookie-баннере.
- 05Есть ли на сайте cookie-баннер с равнозначным отказом. Кнопка отказа должна быть видна без дополнительного клика и не должна быть оформлена менее заметно, чем кнопка согласия.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если на сайте есть форма записи?
Это зависит от целей и способа обработки данных. Если вы обрабатываете персональные данные граждан России (имя, телефон, email), в ряде случаев требуется подать уведомление. Точный ответ для вашей ситуации можно получить в плане действий после проверки сайта.
Что будет, если данные из формы уходят на сервер за границей?
Трансграничная передача персональных данных требует явного указания в согласии субъекта и может потребовать уведомления Роскомнадзора. Если согласие не содержит упоминания о передаче за границу, это может квалифицироваться как нарушение требований к согласию или как обработка без законного основания.
Достаточно ли разместить ссылку на политику конфиденциальности в футере сайта?
Нет. Политика должна быть опубликована, но согласие на обработку данных должно быть получено активным действием субъекта — например, через чекбокс рядом с формой. Ссылка в футере не заменяет согласие.
Можно ли использовать готовый шаблон политики конфиденциальности?
Шаблон — это основа, но его нужно адаптировать под ваш сайт: указать реквизиты оператора, перечислить цели и категории данных, назвать сторонние сервисы, которым передаются данные. Если текст политики не соответствует реальному поведению сайта, это фиксируется как расхождение.
Как узнать, куда на самом деле отправляются данные из формы онлайн-записи?
Нужно зафиксировать сетевой обмен браузера при отправке формы: домены, параметры запроса, географию серверов. Вручную это делается через инструменты разработчика, но легко пропустить важные детали. Проверка сайта автоматизирует эту фиксацию и связывает каждый факт с нормой закона.
Что делать, если форму делал подрядчик и я не знаю, как она устроена?
Ответственность за соответствие закону лежит на операторе персональных данных — то есть на владельце бизнеса, а не на подрядчике. Проверка покажет, что форма делает на самом деле, куда отправляет данные и какие риски создаёт. План действий подскажет, что исправить — вы сможете передать его подрядчику или другому исполнителю.
Нужно ли получать согласие на cookie, если на сайте только форма записи, без рекламы?
Если на сайте установлены аналитические системы (Яндекс Метрика, Google Analytics) или другие трекеры, которые используют cookie, — нужно получать согласие до их запуска и давать посетителю равнозначный отказ. Проверка покажет, какие трекеры запускаются и в какой момент.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.