Персональные данные на сайте и в соцсетях: что нужно сделать бизнесу
Если на вашем сайте есть форма заявки, а в рекламе ВКонтакте — лид-форма, вы обрабатываете персональные данные. Имя и телефон клиента — это уже они. И значит, на вас распространяются требования закона о персональных данных.
Многие малые бизнесы об этом не думают, пока не приходит требование или штраф. А штрафы с 2025 года стали ощутимыми. Давайте разберём, что нужно сделать. Отдельно отметим: это обзор, а не юридическая консультация. Для своего случая лучше уточнить у юриста.
Что изменилось в 2025 году
- С 30 мая 2025 года выросли штрафы за нарушения в сфере персональных данных и появились отдельные штрафы за утечки и за то, что компания не уведомила Роскомнадзор о начале обработки данных;
- С 1 сентября 2025 года согласие на обработку персональных данных нужно оформлять отдельно от других документов. Спрятать его в пункт договора или оферты больше нельзя.
1. Уведомление Роскомнадзора
Перед тем как обрабатывать персональные данные, оператор, то есть вы, должен подать уведомление в Роскомнадзор. Это делается онлайн на портале ведомства. Многие бизнесы этого не делали годами, а теперь за это есть отдельный штраф, и для организаций он может составлять сотни тысяч рублей.
Если данные меняются, например появились новые цели обработки или новые способы сбора, уведомление нужно обновить.
2. Политика обработки персональных данных
Если вы собираете данные через сайт, на сайте должна быть опубликована политика: кто оператор, какие данные собираются, зачем, как хранятся, кому передаются, как человек может отозвать согласие. Ссылка на неё должна быть рядом с каждой формой.
Не копируйте чужую политику: она должна описывать именно ваши процессы. Например, если заявки уходят в CRM или мессенджер, это должно быть отражено.
3. Отдельное согласие
С 1 сентября 2025 года согласие оформляется отдельно от других документов. На практике для сайта это обычно выглядит так: рядом с формой — отдельная галочка «Я даю согласие на обработку персональных данных» со ссылкой на текст согласия. Галочка не должна стоять заранее.
В тексте согласия указывают: кто оператор, цель обработки, перечень данных, действия с ними, срок действия и порядок отзыва.
Отдельное согласие нужно и для рекламных рассылок: если вы хотите писать клиенту об акциях, это отдельная галочка, а не часть согласия на обработку заявки.
4. Где хранятся данные
Закон требует, чтобы данные граждан России собирались и хранились в базах данных на территории России. С 1 июля 2025 года эти требования ужесточили. На практике это значит, что формы на иностранных сервисах, иностранные CRM и таблицы, куда заявки попадают в первую очередь, — зона риска. Проверьте, куда на самом деле уходят заявки с вашего сайта.
5. Cookie и аналитика
Если на сайте стоят Яндекс Метрика, пиксели рекламных систем и другие счётчики, посетителей стоит уведомлять об использовании cookie и описать это в политике. Обычно это баннер внизу страницы со ссылкой на политику.
6. Соцсети и мессенджеры
- Лид-формы ВКонтакте — в форме должна быть ссылка на вашу политику;
- Переписки с клиентами — тоже персональные данные. Не публикуйте скриншоты с именами и телефонами без согласия;
- Отзывы с фото клиентов — нужно согласие на использование изображения;
- Загрузка базы клиентов в рекламный кабинет — только при наличии законных оснований. Подробнее — в статье о ретаргетинге.
7. Если произошла утечка
При утечке персональных данных оператор обязан уведомить Роскомнадзор: первично — в течение суток, а о результатах внутреннего расследования — в течение трёх суток. За утечки штрафы зависят от количества пострадавших, а при повторных нарушениях могут быть оборотными, то есть считаться от выручки.
Поэтому базовая защита обязательна: доступ к заявкам только у тех, кому нужно, надёжные пароли, двухфакторная аутентификация, никаких таблиц с клиентами в открытом доступе по ссылке.
Чек-лист
- Уведомление в Роскомнадзор подано и актуально;
- Политика опубликована и описывает ваши реальные процессы;
- У каждой формы — отдельная галочка согласия, не проставленная заранее;
- Согласие на рассылки — отдельно;
- Данные собираются и хранятся в России;
- Есть уведомление о cookie;
- Доступ к заявкам защищён;
- Есть понятный порядок действий при утечке.
Частые вопросы
Мы маленький бизнес, нас это правда касается?
Да. Закон не делает исключений для малого бизнеса. Если вы собираете имена и телефоны клиентов, вы оператор персональных данных.
У нас нет сайта, только сообщество и переписки. Что тогда?
Требования всё равно действуют: вы получаете и храните данные клиентов. Уведомление и аккуратная работа с данными нужны и в этом случае. Если используете лид-формы, понадобится и политика.