152-ФЗ для сайта и CRM в 2026 году: карта данных, согласия, уведомления и хранение

Чтобы сайт и CRM соответствовали 152-ФЗ, недостаточно добавить под формой одну галочку. Компании нужно понимать весь маршрут персональных данных: что собирает сайт, на каком основании, куда сведения передаются, кто получает доступ, где находятся базы, сколько хранится информация и как она удаляется. Затем этот маршрут связывают с документами, настройками систем, договорами с подрядчиками и планом действий при инциденте.

Практически работу удобно разделить на восемь блоков: инвентаризация данных, цели и правовые основания, формы и согласия, уведомление Роскомнадзора, локализация и трансграничная передача, правила CRM и подрядчиков, сроки хранения, безопасность и реагирование. Такой порядок помогает проверить не только документы, но и фактическую обработку.

Материал носит информационный характер. Требования зависят от состава данных, целей, отрасли и архитектуры конкретной компании, поэтому перед внедрением решения нужна юридическая и техническая проверка.

Начните не с политики, а с карты данных

Главная ошибка — описывать обработку по шаблону, не зная реальных интеграций. Форма обратного звонка может передавать имя и телефон в почту, CRM, сервис телефонии, систему аналитики и кабинет подрядчика. Если хотя бы один переход пропущен, документы и настройки будут расходиться с практикой.

Для каждого источника зафиксируйте шесть вещей:

Карта должна показывать путь от первого сбора до удаления, а не только список сервисов. Отдельно отметьте источник истины: где хранится актуальная карточка клиента и откуда данные удаляются во всех зависимых системах.

Для каждой цели определите состав данных и основание

152-ФЗ требует конкретных, заранее определенных и законных целей. Нельзя собирать данные «на всякий случай» или использовать сведения для новой несовместимой задачи только потому, что они уже попали в CRM.

Разделите как минимум следующие цели:

• ответ на обращение или расчет предложения;
• подготовка и исполнение договора;
• поддержка клиента;
• бухгалтерский и обязательный учет;
• маркетинговые сообщения;
• аналитика работы сайта;
• подбор сотрудников.

Для каждой цели определите субъектов, категории данных, операции, срок хранения, получателей и правовое основание. Согласие — важное, но не единственное основание. В некоторых случаях обработка необходима для заключения или исполнения договора, выполнения обязанности по закону либо реализации законного интереса при соблюдении прав человека. Выбор основания нельзя делать автоматически: его нужно проверить для конкретной цели.

Маркетинговые рассылки следует отделять от ответа на запрос. Предварительное согласие на прямое продвижение через средства связи регулируется отдельно. Галочка «согласен со всем» не должна превращать необходимое обращение в навязанную подписку.

Как оформить формы и согласия на сайте

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от другой информации и документов, которые подтверждает или подписывает человек. На практике это означает, что согласие нельзя прятать внутри пользовательского соглашения или общей фразы под кнопкой.

Рабочая форма обычно включает:

1. только те поля, которые нужны для заявленной цели;
2. понятное описание действия после отправки;
3. отдельный текст согласия или отдельный документ, доступный до отправки;
4. ссылку на политику обработки персональных данных;
5. отдельный необязательный выбор для маркетинга, если он нужен;
6. доказательство волеизъявления: версия текста, дата и время, источник и технический идентификатор события.

Не каждое поле стоит делать обязательным. Для ответа в мессенджере может быть не нужен email, а для скачивания открытого чек-листа — должность и размер компании. Минимизация уменьшает и правовой, и технический риск.

Cookies, идентификаторы аналитики и рекламные пиксели тоже нужно включить в карту. Сначала выясните, какие сведения реально устанавливает и передает каждый скрипт и позволяют ли они прямо или косвенно определить пользователя. Затем выберите основание, опишите обработку и настройте механизм выбора в соответствии с выводом юриста. Формальный баннер без управления скриптами не исправляет фактическую передачу данных.

Проверьте уведомление Роскомнадзора

Общее правило статьи 22: оператор уведомляет Роскомнадзор до начала обработки персональных данных. После изменений 2022 года прежний широкий перечень исключений существенно сократился. Для типичной компании, которая принимает заявки на сайте и автоматически передает их в CRM, нельзя исходить из старой логики «уведомление не требуется, потому что есть договор».

Проверьте запись в реестре операторов и сопоставьте ее с фактической схемой. В уведомлении важны не только реквизиты, но и цели, категории субъектов и данных, способы обработки, меры защиты, ответственный, сроки, наличие трансграничной передачи и место нахождения баз. Если CRM, подрядчики, цели или адреса баз изменились, сведения в реестре также могут требовать обновления.

Исключения существуют, но применять их следует по актуальной редакции закона к конкретной обработке. Самостоятельная проверка начинается с официальной формы Роскомнадзора, а заканчивается юридическим заключением по вашей архитектуре.

Локализация базы и трансграничная передача — разные проверки

При сборе персональных данных граждан России через интернет запись, систематизация, накопление, хранение, уточнение и извлечение в общем случае должны выполняться с использованием баз данных в России. У закона есть исключения, но облачный сервис за рубежом нельзя считать допустимым только потому, что он удобен или включен в тариф подрядчика.

Проверьте не только CRM. За пределами России могут находиться сервис формы, антиспам, аналитика, CDN с журналами, телефония, почта, резервные копии и система поддержки. Важно выяснить не адрес офиса поставщика, а фактическое расположение баз и маршрут передачи.

Локализация первичного сбора не отменяет отдельные правила трансграничной передачи. До ее начала оператор обычно должен направить специальное уведомление, а Роскомнадзор вправе ограничить или запретить передачу в предусмотренных законом случаях. Поэтому ответ «данные сначала попали на российский сервер» сам по себе не закрывает вопрос дальнейшего обмена с иностранной системой.

Настройте CRM как систему персональных данных

CRM часто воспринимают как адресную книгу, хотя в ней накапливается гораздо больше: история коммуникаций, записи звонков, договорные сведения, комментарии менеджеров, причины отказа и выгрузки. Чем дольше работает система, тем выше вероятность избыточных полей и доступов.

Минимальный технический и организационный набор:

• роли по принципу необходимого доступа;
• отдельные учетные записи без общих паролей;
• многофакторная аутентификация там, где она доступна;
• журнал входов, выгрузок и критичных изменений;
• регулярный пересмотр прав при переводе и увольнении;
• правила для массового экспорта и локальных копий;
• резервное копирование и проверка восстановления;
• сценарий удаления или обезличивания во всех связанных системах;
• контроль тестовых сред: реальные клиентские данные не должны бесконтрольно копироваться в разработку.

Если CRM, хостинг, коллтрекинг или интегратор обрабатывает данные по поручению компании, одного договора на «IT-услуги» недостаточно. В поручении должны быть определены данные, операции, цели, конфиденциальность, меры защиты, подтверждение соблюдения требований и порядок уведомления об инциденте. Передача функции подрядчику не снимает ответственность оператора перед субъектом.

Установите сроки хранения и реальное удаление

Фраза «храним до отзыва согласия» не подходит для всех целей. Срок должен следовать из цели, закона или договора. Например, незавершенная заявка, действующий договор, бухгалтерский документ и маркетинговая подписка имеют разные жизненные циклы.

Составьте матрицу сроков и событий удаления. Укажите владельца процесса, основную систему, копии и подтверждение результата. По общему правилу при достижении цели либо отзыве согласия, когда других оснований для обработки нет, оператор прекращает обработку и уничтожает данные в установленный законом срок; в ряде случаев он не превышает 30 дней. Для требования человека о прекращении обработки действует отдельная процедура и исключения.

Проверьте, что удаление из интерфейса CRM не оставляет бесконтрольные выгрузки, почтовые копии и бессрочные резервные архивы. Для резервных копий нужен документированный цикл перезаписи и ограниченный доступ, иначе обещание удалить данные окажется технически невыполнимым.

Свяжите документы с настройками и ответственными

Для юридического лица обычно требуется не один документ, а согласованный комплект: политика обработки, локальные акты по целям и срокам, назначение ответственного, правила доступа, порядок работы с обращениями, договоры-поручения, модель угроз и меры безопасности, порядок уничтожения и план реагирования.

Политика должна быть доступна на тех страницах сайта, где собираются данные. Но опубликованный документ — только внешний слой. При проверке важно показать, что сотрудники знают правила, доступы соответствуют ролям, обращения регистрируются, а удаления и инциденты можно подтвердить журналами.

Требования к защите зависят от категорий данных, масштаба, актуальных угроз и архитектуры системы. Постановление Правительства № 1119 устанавливает уровни защищенности для информационных систем персональных данных. Конкретный набор организационных и технических мер определяют после обследования, а не по универсальному списку из интернета.

Подготовьте сценарий на случай утечки

Инцидентный план должен существовать до инцидента. Определите, кто принимает сообщение, кто изолирует систему, кто сохраняет доказательства, кто оценивает затронутые данные и кто взаимодействует с Роскомнадзором.

При выявлении неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, закон предусматривает уведомление Роскомнадзора в течение 24 часов с первоначальными сведениями и в течение 72 часов — с результатами внутреннего расследования и дополнительной информацией. Такие сроки невозможно выдержать, если подрядчики не обязаны быстро сообщать оператору о событии.

Проведите настольную тренировку: смоделируйте выгрузку CRM, утечку из формы или компрометацию аккаунта. Команда должна за один час установить владельца, источник журналов, способ ограничения доступа и канал эскалации.

План проверки на 30 дней

Неделя 1. Инвентаризация

Соберите формы, cookies, CRM-поля, интеграции, подрядчиков, выгрузки и резервные копии. Постройте маршрут данных и список владельцев.

Неделя 2. Правовые основания и документы

Разделите цели, проверьте основания, согласия, политику, маркетинг, уведомление Роскомнадзора, локализацию и трансграничную передачу.

Неделя 3. Настройки и договоры

Сократите поля, пересмотрите роли, включите журналы и многофакторную аутентификацию, обновите поручения обработчикам, настройте сроки хранения.

Неделя 4. Проверка

Пройдите путь тестовой заявки от сайта до удаления. Проверьте копии, отзыв согласия, запрос субъекта и сценарий инцидента. Зафиксируйте несоответствия, владельцев и сроки устранения.

FAQ

Нужна ли отдельная галочка под каждой формой?

Не всегда вопрос решается только галочкой: сначала определяется цель и правовое основание. Если используется согласие, оно должно быть конкретным, информированным, сознательным, однозначным и оформленным отдельно от других подтверждаемых документов. Маркетинговое согласие следует отделять от необходимого ответа на заявку.

Нужно ли уведомлять Роскомнадзор, если заявки попадают в CRM?

Для типичной автоматизированной обработки действует общее правило предварительного уведомления. Исключения в статье 22 узкие и должны проверяться по фактической схеме. Если запись уже есть в реестре, нужно проверить актуальность сведений.

Можно ли использовать иностранную CRM?

Ответ зависит от маршрута данных, локализации, трансграничной передачи, страны, договора и мер защиты. Первичный сбор в российскую базу не означает автоматического разрешения на дальнейшую передачу за рубеж.

Достаточно ли политики конфиденциальности на сайте?

Нет. Политика должна соответствовать реальным целям, системам и получателям, а компания должна подтвердить меры доступа, хранения, удаления, работы с обращениями и инцидентами.

С чего начать небольшой компании?

С одной тестовой заявки. Проследите, где она появляется, кто ее видит, куда копирует и как удаляет. Этот маршрут быстро выявляет расхождения между сайтом, CRM, договорами и политикой.

Практический вывод

Соответствие 152-ФЗ — это управляемый жизненный цикл данных, а не комплект файлов. Карта потоков связывает форму, CRM, подрядчиков, хранение, удаление и безопасность. После нее становится понятно, какие согласия нужны, что сообщать Роскомнадзору, где менять договоры и какие настройки действительно снижают риск.

Если сайт и CRM развивались постепенно и общая схема не документировалась, начните с аудита одного сквозного процесса: заявка, обработка, продажа, поддержка и удаление. Результатом должен стать список проверяемых несоответствий и план исправлений, а не еще один универсальный шаблон политики.