Персональные данные на сайте: где бизнес нарушает закон, даже если просто собирает заявки

Редакция «Люди и Деньги» разбирает, где компании чаще всего ошибаются при работе с персональными данными клиентов и что стоит проверить владельцу сайта.

Ошибка 1. Данные собирают «по привычке»

Многие компании добавляют в форму заявки стандартный набор полей: имя, телефон, email, город, комментарий. Иногда просят должность, дату рождения, ссылку на соцсети или другую информацию, которая на самом деле не нужна для ответа клиенту.

Проблема в том, что любой сбор персональных данных должен иметь понятную цель и правовое основание. Бизнесу важно понимать:

1. зачем он собирает эти данные;
2. какие именно данные нужны для этой цели;
3. где они хранятся;
4. кто имеет к ним доступ;
5. как долго они будут использоваться;
6. можно ли обойтись меньшим объемом информации.

Чем больше данных собирает компания, тем выше ответственность. Особенно если старые базы потом годами лежат в таблицах, почте, мессенджерах или у подрядчиков.

Ошибка 2. Политика персональных данных есть, но не отражает реальность

Наличие политики на сайте само по себе не решает проблему. Документ должен описывать реальные процессы компании: формы заявок, рассылку, аналитику, CRM, подрядчиков, хранение данных, cookies.

Риск возникает, когда бизнес скачал шаблон, поставил его в подвал сайта и больше не возвращался к нему. В политике одно, в формах другое, в рассылке третье, а фактический доступ к базе есть у маркетолога, разработчика, подрядчика по рекламе и нескольких бывших сотрудников.

Для проверки стоит начать с простого вопроса: если клиент спросит, какие его данные вы собираете и зачем, сможете ли вы быстро и честно ответить?

Ошибка 3. Согласие спрятано в кнопке

Фраза «нажимая кнопку, вы соглашаетесь со всем» кажется удобной, но в спорной ситуации может оказаться слабым местом. Особенно если пользователь не видел отдельного чекбокса, не понимал, на что именно соглашается, или галочка уже была поставлена заранее.

Для сайта лучше разделять действия:

1. согласие на обработку данных для ответа на заявку;
2. согласие на рекламную рассылку;
3. согласие на использование аналитических или маркетинговых cookies, если они применяются.

Пользователь должен совершить осознанное действие. Галочка, заранее проставленная за него, — плохая практика.

Ошибка 4. Ответ на заявку превращают в рекламу

Человек оставил email, чтобы получить расчет стоимости, записаться на консультацию или задать вопрос. Через неделю ему начинают приходить акции, новости и рекламные письма.

Для бизнеса это выглядит логично: контакт же есть. Но с точки зрения персональных данных и коммуникации с клиентом это разные цели.

Ответить на заявку — одно. Подписать человека на маркетинговую рассылку — другое. Для рассылки нужно отдельное согласие. Иначе компания рискует не только юридически, но и репутационно: клиент быстро чувствует, что его данные используют не так, как он ожидал.

Ошибка 5. Cookies и аналитика остаются «невидимой зоной»

Сайт может не просить у клиента паспортные данные и не иметь личного кабинета, но при этом использовать аналитику, рекламные пиксели, онлайн-чаты, виджеты, формы и cookies.

Это тоже часть цифрового контура, который нужно понимать. Важно не просто поставить баннер, а разобраться, какие сервисы подключены и какие данные они собирают.

Минимальный вопрос для владельца бизнеса: кто в компании вообще знает, какие счетчики, пиксели и виджеты стоят на сайте?

Если ответа нет, стоит провести ревизию.

Ошибка 6. Подрядчики получают доступ без понятных правил

Данные клиентов редко остаются только внутри компании. Сайт поддерживает разработчик, рассылку ведет маркетолог, рекламу настраивает агентство, CRM обслуживает внешний сервис, звонки может принимать колл-центр.

Даже если обработку фактически выполняет подрядчик, ответственность перед пользователем остается на владельце бизнеса.

Поэтому важно оформить:

1. какие данные передаются подрядчику;
2. для какой цели;
3. что он может и не может с ними делать;
4. как защищает информацию;
5. когда и как удаляет доступ после завершения работы.

Иначе база клиентов легко превращается в актив, который компания формально контролирует, но фактически не понимает, где он находится.

Что проверить владельцу сайта

Перед тем как ждать жалоб или запросов, стоит пройтись по базовому чек-листу.

Проверьте:

1. есть ли на сайте политика обработки персональных данных;
2. соответствует ли она реальным формам, рассылкам, CRM и подрядчикам;
3. есть ли чекбокс согласия в каждой точке сбора данных;
4. не отмечен ли чекбокс заранее;
5. отделено ли согласие на рассылку от обычной заявки;
6. не собираете ли вы лишние данные;
7. понятно ли, где хранится клиентская база;
8. кто имеет к ней доступ;
9. оформлены ли отношения с подрядчиками, которые видят данные;
10. есть ли механизм отзыва согласия;
11. проверяли ли вы необходимость уведомления Роскомнадзора об обработке персональных данных.

Отдельно стоит проверить домен. С 1 сентября 2026 года для администраторов доменов в зонах .ru, .рф и .su вводится обязательная идентификация через ЕСИА. Если домен оформлен на бывшего сотрудника, подрядчика или человека, к которому давно нет доступа, лучше разобраться заранее.

Почему это важно не только из-за штрафов

Персональные данные — это не только юридическая обязанность. Это вопрос доверия.

Клиент хочет понимать, почему у него спрашивают телефон, зачем нужен email, кто увидит заявку и почему после одного обращения ему начинают приходить рекламные письма.

Для бизнеса политика, чекбоксы и понятные правила работы с базой выглядят как бюрократия. Для клиента — как сигнал, что компания аккуратно обращается с информацией.

Главная ошибка малого бизнеса — думать, что закон о персональных данных касается только банков, маркетплейсов и крупных сервисов. На практике риск начинается намного раньше: с формы заявки, таблицы с клиентами, рассылки и подрядчика, у которого остался доступ к базе.

Материал носит информационный характер и не является юридической консультацией.