Короткий ответ
Главный ответ: чтобы форма заявки не нарушала закон, вам нужно одновременно выполнить четыре условия: получить осознанное согласие посетителя на обработку его персональных данных, опубликовать на сайте политику обработки этих данных с указанием целей и сроков, корректно настроить файлы cookie (для аналитики и рекламы) и при необходимости получить отдельное согласие на рекламную рассылку. Также в большинстве случаев нужно подать уведомление в Роскомнадзор как оператор персональных данных.
Этапы можно представить так: 1) зарегистрируйте бизнес (ИП или ООО), если еще не сделали этого - по данным ФНС, деятельность без регистрации незаконна и влечет ответственность; 2) подготовьте текст согласия и политику; 3) добавьте на форму чекбоксы и ссылки; 4) настройте обработку данных (CRM, формы) и cookies; 5) подайте уведомление в Роскомнадзор.
Ниже - конкретный чек-лист: что именно должно быть на форме, как оформить согласие и политику, какие cookies требуют согласия, когда и как получить разрешение на рассылку. В конце - ответы на частые вопросы. Помните, что статья не заменяет консультацию юриста: законы меняются, и вашу ситуацию нужно проверять отдельно.
Получение согласия на обработку персональных данных
Согласие должно быть конкретным, информированным и сознательным. Это значит: посетитель должен понимать, какие именно данные вы собираете (имя, телефон, email), зачем (например, чтобы перезвонить по заявке) и как долго их храните. Поэтому в форме нужен текст с этими сведениями, а не просто фраза «Я согласен на обработку данных».
Чекбокс (или иное активное действие, например, кнопка с явным подтверждением) должен быть отметен самим пользователем. Запрещено ставить галочку заранее. Рядом с чекбоксом разместите ссылку на политику обработки персональных данных. Без такого осознанного согласия сбор данных может быть признан незаконным.
- Перечислите в тексте согласия все собираемые данные и цели обработки.
- Чекбокс не должен быть предустановлен - пользователь отмечает его сам.
- Добавьте ссылку на политику прямо рядом с чекбоксом.
- Укажите срок действия согласия или порядок его отзыва.
Политика обработки персональных данных на сайте
На сайте должен быть отдельный документ - политика обработки персональных данных (часто называют политикой конфиденциальности). В ней вы описываете, какие данные собираете, на каком основании, как защищаете, кому передаете (например, в CRM или сервис рассылок) и как посетитель может отозвать согласие или удалить данные.
Политика должна соответствовать реальной практике. Если вы передаете данные подрядчикам (например, сервису аналитики или рассылок), это нужно указать. Ссылку на политику разместите не только в форме, но и в подвале сайта (футере) - это стандартная практика. Для большинства операторов по закону требуется разработать и опубликовать такой документ, а также при необходимости направлять уведомление в Роскомнадзор.
- Назовите документ «Политика обработки персональных данных».
- Укажите категории данных, цели обработки и сроки хранения.
- Опишите права субъекта: доступ, исправление, удаление и отзыв согласия.
- Укажите свои контакты и название организации (ИП или ООО).
Файлы cookie и аналитика: когда нужно согласие
Многие сайты используют счетчики (Яндекс.Метрика, Google Analytics) и рекламные пиксели. Если данные, которые они собирают, обезличены (нельзя установить конкретного пользователя) и используются только для подсчета числа визитов, отдельное согласие по российскому законодательству не требуется. Однако если файлы cookie позволяют идентифицировать человека или используются для показа персонализированной рекламы, необходимо получить согласие.
Хотя рекомендации британского регулятора ICO не являются законом в России, они отражают мировой тренд: пользователю нужно сообщить о cookies и где возможно дать выбор. Лучший подход - установить на сайт баннер с краткой информацией о целях использования cookie и кнопкой «Принять». Это снижает риски и повышает доверие.
- Для обезличенной аналитики согласие не обязательно.
- Для рекламных cookie и таргетинга согласие нужно.
- Баннер должен объяснять цели обработки и давать возможность отказаться.
- Используйте конструкторы cookie-баннеров для настройки.
Рекламная рассылка: отдельное согласие и отписка
Если после заявки вы планируете отправлять посетителю новости, акции или любые рекламные сообщения (по email, SMS или в мессенджере), требуется отдельное согласие на такую рассылку. Оно не должно входить в текст согласия на обработку данных. На практике добавьте второй чекбокс: «Согласен(на) получать рекламные сообщения о скидках и новостях».
В каждом рекламном сообщении должна быть ссылка для отказа от рассылки. Российский закон о рекламе требует немедленно прекратить рассылку по требованию получателя. Роскомнадзор ведет реестр нарушителей прав субъектов персональных данных, куда могут попасть компании за спам. Поэтому не покупайте готовые базы адресов: вы не сможете подтвердить, что согласие было получено.
- Добавьте отдельный чекбокс на рекламную рассылку.
- В каждом письме размещайте ссылку «Отписаться».
- Не используйте купленные базы: согласие должно быть подтверждено.
- Соблюдайте требования закона о рекламе и о персональных данных.
Регистрация оператора и уведомление в Роскомнадзор
Чаще всего, если вы собираете персональные данные посетителей сайта, вы обязаны подать уведомление в Роскомнадзор о начале обработки. Сделать это можно на портале персональных данных. Есть редкие исключения, например, если данные обрабатываются без передачи третьим лицам и используются только для одного звонка, но их перечень стоит уточнять на официальном сайте Роскомнадзора.
Уведомление подается один раз, но при изменении организации (например, смене адреса) его нужно обновить. Если вы зарегистрированы как ИП или ООО в налоговой, это не заменяет уведомление оператора. За обработку без уведомления предусмотрены штрафы, поэтому заложите это в свои планы.
- Подайте уведомление электронно на портале Роскомнадзора.
- Проверьте, подпадаете ли вы под исключения.
- Обновляйте сведения при изменениях.
- Сохраните подтверждение подачи уведомления.
Что важно проверить
- Требования к согласию и исключения из уведомления нужно уточнять по актуальным документам Роскомнадзора, так как законодательство меняется.
- Конкретные размеры штрафов не указаны: проверяйте действующую редакцию КоАП РФ.
- Необходимость согласия на cookie зависит от того, идентифицируют ли они пользователя; эта оценка может различаться в разных юрисдикциях.
Вопросы и ответы
Какие данные из формы заявки считаются персональными?
Любые данные, которые позволяют определить конкретного человека: имя, номер телефона, email, а также косвенная информация, например, IP-адрес или метка cookie, если она связана с личностью. Поэтому согласие нужно на все, что вы получаете через форму: контакты, комментарии, автоматически собираемые данные. [1]
Можно ли отправить письмо с ответом на заявку без согласия на рассылку?
Да, ответ на конкретный запрос (например, подтверждение получения заявки) не считается рекламой и дополнительного согласия не требует. Но если вы добавите в письмо предложение купить что-то или скидку, это уже рекламная рассылка, и на нее нужно отдельное согласие. Рекламный характер письма оценивается по содержанию. [3]
Что грозит за сбор данных без согласия или без уведомления Роскомнадзора?
Обработка персональных данных без согласия - это административное правонарушение. Точные штрафы указаны в КоАП РФ, и их размеры меняются. Также возможны претензии со стороны пользователей и включение в реестр нарушителей Роскомнадзора. Без чекбокса вы не сможете доказать, что согласие было получено, поэтому лучше его ставить. [1]
Источники и дата проверки
- Роскомнадзор: портал персональных данныхpd.rkn.gov.ru · Проверено
- ФНС: государственная регистрация индивидуального предпринимателяnalog.gov.ru · Проверено
- ICO: Direct Marketing and Electronic Communicationsico.org.uk · Проверено