Телефон — это персональные данные?
Да, телефонный номер относится к персональным данным, если он позволяет определить конкретного человека. Это следует из определения в 152-ФЗ: любая информация, относящаяся к прямо или косвенно определённому физическому лицу.
Когда посетитель вводит телефон в форму на сайте вместе с именем или email, эти данные в совокупности однозначно идентифицируют человека. Даже если в форме только телефон, он может быть использован для связи и определения субъекта — значит, подпадает под действие закона.
Обработка персональных данных требует законного основания: договор, согласие субъекта, выполнение юридической обязанности или защита законных интересов. Если вы собираете телефоны для обработки заявок, консультаций или рассылок, чаще всего потребуется согласие.
Кто отвечает за обработку телефонов: сайт, CRM или владелец бизнеса?
Оператором персональных данных считается тот, кто определяет цели и содержание обработки. Обычно это владелец сайта — юридическое лицо или ИП, от имени которого работает ресурс.
Если данные из формы передаются в CRM, email-сервис или аналитику, эти системы выступают как обработчики по поручению оператора. Ответственность за соблюдение 152-ФЗ лежит на операторе: он обязан опубликовать политику обработки персональных данных и получить согласие субъекта, когда оно требуется по закону.
В политике конфиденциальности должны быть указаны полные реквизиты оператора: наименование, ИНН, ОГРН, адрес и контакты. Проверка сайта фиксирует, кто указан в документах и соответствуют ли они требованиям закона.
Что происходит на сайте до того, как посетитель отправил форму?
Многие сайты начинают обрабатывать данные посетителя ещё до отправки формы: запускаются трекеры аналитики, cookie-файлы, скрипты ремаркетинга. Эти технологии могут фиксировать IP-адрес, поведение на сайте, идентификаторы устройства — всё это тоже персональные данные.
Если трекеры стартуют до того, как человек дал согласие в cookie-баннере, возникает риск по КоАП: обработка без законного основания. Текст баннера сам по себе не защищает — важно, когда фактически запускаются скрипты.
Проверка сайта открывает страницы с чистой сессии и фиксирует все сетевые запросы и cookie до любого действия посетителя. Если обнаружен старт трекеров раньше согласия, это указывается в отчёте с временной меткой и названием запроса.
Куда уходят данные с формы и какие риски возникают при передаче за рубеж?
Данные из формы могут отправляться на ваш сервер, в CRM, сервис email-рассылок, аналитику или чат. Если среди получателей есть иностранные сервисы — это трансграничная передача персональных данных, для которой нужны дополнительные основания: согласие субъекта, договор с получателем и уведомление Роскомнадзора.
Проверка фиксирует сетевые запросы к внешним доменам и указывает их в разделе «обстоятельства, требующие дополнительной проверки». Это технический сигнал, который помогает понять, какие сервисы получают данные посетителей, и оценить правовые риски.
Как проверить сайт на соответствие требованиям по персональным данным?
Проверка начинается с осмотра публичных страниц сайта глазами нового посетителя: есть ли политика обработки персональных данных, корректно ли работает cookie-баннер, какие данные собираются в формах и как оформлено согласие.
Затем фиксируются сетевые запросы браузера: какие скрипты и трекеры запускаются до согласия, куда отправляются данные, есть ли среди получателей иностранные сервисы. Каждый эпизод связывается с нормой закона и получает оценку риска.
Результат проверки — заключение в PDF с разделами: резюме эпизодов с признаками нарушений, установленные обстоятельства со снимками экрана, правовая квалификация по каждому эпизоду и рекомендации, что исправить. Отчёт помогает подготовиться к возможной проверке регулятора и устранить риски до претензий.
- Политика обработки персональных данных: наличие, полнота реквизитов оператора, описание целей и прав субъектов
- Cookie-баннер: старт трекеров до согласия, наличие равнозначного отказа и настройки категорий
- Веб-формы: какие данные собираются, есть ли текст согласия и соответствует ли он требованиям закона
- Трансграничная передача: сетевые запросы к иностранным сервисам и сценарии, которые могут повлечь ответственность
- Авторизация через внешние сервисы и встроенные виджеты социальных сетей
Чек-лист: что проверить на сайте прямо сейчас
- 01Политика обработки персональных данных. Откройте сайт и найдите ссылку на политику в подвале страницы. Проверьте, указаны ли в ней полные реквизиты оператора (наименование, ИНН, ОГРН, адрес), цели обработки и права субъектов.
- 02Cookie-баннер и старт трекеров. Откройте сайт в режиме инкогнито и сразу откройте инструменты разработчика (F12), вкладка «Сеть». Посмотрите, какие запросы уходят до того, как вы нажали «Согласен» в баннере.
- 03Формы сбора телефонов. Найдите на сайте все формы, где можно ввести телефон. Проверьте, есть ли рядом с формой чекбокс или текст согласия на обработку персональных данных и упоминается ли в нём цель обработки.
- 04Сервисы аналитики и рассылок. Посмотрите в инструментах разработчика (вкладка «Сеть»), на какие домены уходят запросы при загрузке страницы и отправке формы. Если среди них иностранные сервисы — это может быть трансграничная передача.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли согласие на обработку телефона, если он вводится для оформления заказа?
Если телефон нужен для исполнения договора (например, доставка товара), согласие не требуется — основанием служит сам договор. Но если вы планируете использовать телефон для рассылок или передачи третьим лицам, потребуется отдельное согласие.
Можно ли хранить базу телефонов в Google Таблицах или облачной CRM?
Персональные данные граждан России должны храниться в базах данных на территории страны. Если сервис использует серверы за рубежом, это трансграничная передача — потребуется согласие субъектов, договор с получателем и уведомление Роскомнадзора.
Что будет, если на сайте нет политики обработки персональных данных?
Отсутствие опубликованной политики — нарушение закона, за которое предусмотрен штраф. Регулятор может выявить это при проверке по жалобе или в рамках плановой проверки.
Как узнать, уходят ли данные с моего сайта на иностранные сервисы?
Откройте сайт в режиме инкогнито, нажмите F12 (инструменты разработчика), перейдите на вкладку «Сеть» и посмотрите список доменов, на которые уходят запросы. Если среди них есть иностранные — это повод для детальной проверки.
Может ли Роскомнадзор оштрафовать за обработку телефонов без уведомления?
Закон предусматривает штраф за неподачу или нарушение порядка подачи уведомления. Обязанность уведомить регулятор зависит от категории обработки и оператора — проверка помогает выявить эпизоды, которые могут создавать такой риск.
Защищает ли текст в cookie-баннере, если трекеры уже запустились?
Нет. Важен не текст баннера, а фактический момент старта обработки. Если скрипты и cookie запускаются до того, как посетитель дал согласие, это создаёт риск по КоАП.
Можно ли использовать телефоны из базы для звонков, если они собраны с нарушением?
Обработка без законного основания создаёт риск ответственности при каждом дальнейшем использовании данных. Лучше исправить механизм сбора и получить согласие субъектов заново.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.