Сайт почти готов: разработчик подключил формы, маркетолог установил аналитику, заявки поступают в CRM. Осталось разместить политику конфиденциальности и запустить рекламу. Именно на этом этапе часто выясняется, что данные уходят в неизвестные сервисы, согласие объединено с подпиской на рассылку, а уведомление Роскомнадзору никто не подавал.
Подготовка по персональным данным начинается раньше первой продажи. Для бизнеса важно понять, какие сведения собирает проект, кто их получает и как организована дальнейшая работа. Документы должны описывать этот процесс, а настройки сайта — позволять соблюдать установленные правила.
Разберём, что проверить до запуска, какие задачи решает юрист и что потребуется от владельца проекта и разработчика.
Почему нельзя ждать первого клиента
Обработка персональных данных может начаться до первого заказа и оплаты: через форму обратного звонка, список ожидания, бесплатную регистрацию или тестирование на данных реальных пользователей. Посетитель ещё не стал клиентом, но его имя, телефон или электронная почта уже поступили в компанию.
Отсутствие форм тоже не позволяет автоматически сделать вывод, что данных нет. Нужно проверить аналитику, онлайн-чат, журналы сервера и другие инструменты. Их правовая оценка зависит от состава сведений и фактической работы, а не только от названия сервиса.
Ориентир — начало соответствующей обработки, а не дата первой оплаты. Если предусмотрена обязанность уведомить Роскомнадзор, её выполняют до начала обработки. Для тестирования по возможности используют вымышленные сведения: обозначение сайта как «тестового» не освобождает от требований при работе с реальными данными.
Например, стартап открыл страницу «Оставьте почту — сообщим о запуске». Даже если продукт появится через три месяца, уже нужно определить условия сбора контактов, срок хранения и порядок использования списка.
Чем грозит запуск без подготовки по персональным данным
Нарушение может возникнуть уже при сборе первых заявок. С 30 мая 2025 года ответственность за ряд нарушений существенно усилена: речь идёт о сотнях тысяч рублей, а по отдельным составам — о миллионах. Отсутствие продаж не исключает ответственности за обработку данных посетителей.
Несколько примеров штрафов для юридических лиц по статье 13.11 КоАП РФ:
- Обработка без законного основания или несовместимая с целями сбора — от 150 000 до 300 000 руб. по части 1. Например, сведения используют для новой цели, для которой нет применимого основания. Если требуется согласие и нет другого законного основания, его отсутствие может повлечь ответственность.
- Обработка без письменного согласия, когда именно такая форма обязательна, либо нарушение требований к его содержанию — от 300 000 до 700 000 руб. по части 2. При повторном нарушении — от 1 000 000 до 1 500 000 руб. по части 2.1.
- Неподача или несвоевременная подача обязательного уведомления РКН о намерении обрабатывать данные — от 100 000 до 300 000 руб. по части 10.
- Нарушение требований к локализации при сборе данных граждан РФ — от 1 000 000 до 6 000 000 руб. по части 8.
- Неподача или несвоевременная подача обязательного уведомления РКН об инциденте с данными — от 1 000 000 до 3 000 000 руб. по части 11.
Важно не путать любое согласие с согласием в обязательной письменной форме. Отсутствие галочки в обычной форме заявки само по себе не означает штраф по части 2: нужно определить основание обработки, применимые требования и фактические обстоятельства. Для ИП и должностных лиц суммы могут отличаться от приведённых.
Размер санкции зависит от состава нарушения и обстоятельств дела. Но практический вывод для запуска простой: политика на сайте не закрывает риски, если сведения собираются без подходящего основания, уведомление не подано или данные сразу уходят в неподходящую инфраструктуру. Проверять нужно документы вместе с реальной работой продукта. Указанные составы и размеры санкций предусмотрены статьёй 13.11 КоАП РФ.
Сначала выясните, куда идут данные
Начинать стоит с описания процессов. Для каждой формы и функции нужно установить: кто предоставляет сведения, какие именно, для какой цели, где они сохраняются и кто получает доступ.
Типичный путь заявки выглядит так: форма сайта → уведомление на почту → запись в CRM → доступ менеджера и внешнего интегратора. Но могут существовать дополнительные копии в панели конструктора, резервных копиях и подключённом сервисе автоматизации.
| Элемент проекта | Что выяснить до запуска |
|---|---|
| Форма заявки или обратного звонка | Какие поля нужны, куда приходит заявка и кто её обрабатывает |
| Регистрация и личный кабинет | Какие данные обязательны, что сохраняется в профиле и как прекращается использование аккаунта |
| Подписка и рассылка | Какие сообщения планируются, на каком основании направляются и как отказаться |
| Чат, телефония и поддержка | Кто получает сообщения, записываются ли разговоры, какие сведения сохраняет поставщик |
| Аналитика и рекламные инструменты | Какие идентификаторы и события собираются, кому передаются и когда запускается сбор |
| Оплата | Как распределены роли проекта и платёжного сервиса, какие сведения доступны каждой стороне |
| Загрузка файлов | Могут ли документы содержать данные других людей, кто открывает файлы и сколько они хранятся |
| Внешний ИИ-сервис | Какие данные попадают в запросы и вложения, где обрабатываются и на каких условиях |
Необязательно заказывать сложную техническую схему для простого лендинга. Но ответы должны опираться на сведения разработчика и настройки сервисов. Формулировки «всё в облаке» или «за безопасность отвечает хостинг» недостаточны.
Кто будет оператором персональных данных
Нужно определить, от чьего имени работает проект и кто определяет цели и содержание обработки. Обычно для собственного сайта бизнеса оператором выступает организация или ИП, использующие данные для своей деятельности. Само владение доменом или выполнение разработки не решает вопрос о роли участника.
Разработчик, CRM-провайдер и другие исполнители могут обрабатывать данные по поручению, а отдельные сервисы — выступать самостоятельными операторами в своей части. Для платформы, которой пользуются другие компании, распределение ролей может оказаться сложнее.
Например, сервис позволяет клиентам загружать сведения о своих сотрудниках. Здесь нужно проверить не только регистрацию пользователей платформы, но и обработку загруженных баз: кто определяет цели, какие права есть у сервиса и на каких условиях он выполняет поручение клиента.
Важно согласовать оператора в документах, формах, договорных условиях и уведомлении РКН. Ситуация, когда политика называет одно ООО, оплату принимает другое, а уведомление подал основатель как ИП, требует отдельного разбора.
Какие документы разместить на сайте
Политика обработки персональных данных
Политика должна соответствовать проекту: оператору, категориям пользователей, целям, составу данных, способам обработки, срокам или условиям хранения, правам людей и порядку взаимодействия.
При сборе через сайт необходимо обеспечить предусмотренную законом публикацию политики и доступ к ней со страниц, где собираются данные. Практически полезно проверить ссылки во всех формах, личном кабинете и мобильной версии.
Копирование политики конкурента создаёт риск перенести чужие процессы и реквизиты. Например, документ говорит, что сведения не передаются другим лицам, хотя заявки обрабатывает внешний сервис, либо описывает интернет-магазин вместо платформы с личными кабинетами.
Подробный разбор — в статье о политике конфиденциальности и типичных ошибках.
Согласия для тех операций, где они нужны
Согласие — одно из возможных оснований обработки. Его нельзя автоматически требовать для любой операции или считать универсальным разрешением на все действия. Сначала определяют цель и применимое основание, затем готовят необходимый текст и механизм получения.
Например, обработка сведений для исполнения договора и использование контакта для рекламных рассылок — разные задачи. Если для рекламы требуется согласие, её нельзя незаметно включить в обязательные условия отправки обычной заявки.
С 1 сентября 2025 года согласие на обработку ПДн оформляется отдельно от иной информации и документов, которые человек подтверждает или подписывает. Общая отметка «принимаю оферту, политику, рекламу и любую обработку» не решает эту задачу.
Для форм, работающих на основании согласия, практическое решение — самостоятельная отметка со своим текстом, которую пользователь ставит сам. При этом закон устанавливает требования к согласию и подтверждению его получения, а не единый дизайн чекбокса для всех сайтов.
Нужно предусмотреть возможность доказать, что именно подтвердил пользователь. Полезно сохранять связь с заявкой или аккаунтом, дату и время, версию текста и сведения о действии пользователя. Состав подтверждений выбирают с учётом процесса и принципа необходимого объёма данных.
Подробнее — в статье о согласии на обработку персональных данных.
Оферта и пользовательское соглашение
Эти документы регулируют другие вопросы: условия покупки, использования сервиса, оплаты, доступа и ответственности. Их согласуют с оформлением обработки, но они не заменяют политику и необходимые согласия.
Например, удаление аккаунта может прекращать доступ к продукту, но не означать немедленного уничтожения всех документов по оплате. Условия договора и порядок хранения данных должны учитывать такие различия.
Аналитика, cookie и виджеты: почему баннера недостаточно
До публикации нужно выяснить, какие инструменты реально подключены и какие сведения они собирают. Это касается счётчиков, рекламных пикселей, онлайн-чата, карт, видео и других внешних элементов.
Не всякий cookie имеет одинаковое назначение, а наличие баннера само по себе не делает всю обработку законной. Сначала определяют состав данных, цели, участников и основания обработки. Затем выбирают содержание информации для пользователя и необходимые настройки.
Если для конкретного инструмента требуется предварительное согласие, интерфейс должен обеспечивать его получение до соответствующей обработки. Баннер, появляющийся после того, как сервис уже передал сведения, не исправляет предшествующие действия.
Не стоит автоматически переносить на российский сайт настройки из зарубежного шаблона. Юридические требования и фактическую работу инструментов проверяют применительно к проекту.
Хостинг, CRM и зарубежные сервисы
Российский хостинг не подтверждает, что весь сбор организован с соблюдением локализации. Форма может сразу отправлять сведения в зарубежный сервис, а приложение — обращаться к внешней базе независимо от расположения основного сайта.
Проверяют весь путь данных граждан РФ: базы, в которые сведения поступают при сборе, связанные операции и применимые исключения. Требования к локализации и правила трансграничной передачи решают разные вопросы. Уведомление о передаче за рубеж не заменяет соблюдения локализации.
При работе с исполнителями определяют роли и оформляют необходимые условия обработки: данные, операции, цели, конфиденциальность, меры защиты и взаимодействие при инцидентах. Фраза в договоре «стороны соблюдают 152-ФЗ» не всегда охватывает необходимые условия поручения.
Зарубежный ИИ на сайте или в сервисе: что проверить до подключения
ИИ-ассистент, автоматический разбор документов или генерация ответа клиенту могут незаметно расширить круг получателей данных. Пользователь видит чат на вашем сайте, а запрос через API уходит иностранному поставщику модели. Передаваться могут не только введённый текст, но и вложения, история диалога, сведения из CRM и технические идентификаторы.
Например, пользователь просит объяснить условия доставки. Разработчик добавляет к запросу карточку заказа с именем, телефоном и адресом. Для оценки обработки нужно проверить весь отправляемый набор, а не только видимое сообщение.
До включения такой функции выясните:
- Какие сведения получает модель. Проверьте запросы, файлы, автоматически добавляемый контекст и технические журналы. Не отправляйте персональные данные, которые не нужны для задачи.
- Кто получает данные и где они обрабатываются. Изучите условия конкретного продукта и тарифа: хранение запросов, доступ поставщика, привлечение других участников и возможное использование данных для обучения.
- На каком основании организована обработка. Нужно определить роли участников, необходимые договорные условия и содержание документов для пользователей. Общая фраза «можем использовать ИИ» не решает эти вопросы.
- Соблюдены ли локализация и правила трансграничной передачи. Это отдельные требования. При трансграничной передаче проверяют предусмотренные статьёй 12 152-ФЗ процедуры, включая отдельное уведомление РКН до её начала, оценку иностранного получателя и применимые условия начала передачи. Российский хостинг и согласие пользователя сами по себе не заменяют такую проверку.
- Можно ли изменить архитектуру. В зависимости от задачи рассматривают исключение персональных данных из исходящего запроса, предварительное обезличивание либо российскую или локально развёрнутую модель. Удаление имени ещё не подтверждает обезличивания: человека могут определять по адресу, содержанию документа или сочетанию сведений.
Подключение иностранной модели не освобождает владельца проекта от его обязанностей оператора. Если условия обработки пока не проверены, безопаснее ограничить функцию и использовать вымышленные данные для тестирования, чем отправлять реальные обращения клиентов по умолчанию.
Подробно варианты работы и юридические вопросы разобраны в статье «Как ИИ-стартапу использовать зарубежные нейросети и соблюдать 152-ФЗ».
Что оформить внутри компании
Даже небольшой сайт предполагает дальнейшую работу с заявками. Нужно определить ответственных, доступ сотрудников и подрядчиков, места хранения, сроки, порядок обращений, уничтожения и действий при инциденте. Для юридических лиц учитывают требования к назначению ответственного и локальным актам.
Публичная политика не заменяет внутренние правила. Если менеджер скачивает базу на личный компьютер, а интегратор сохраняет доступ после окончания договора, проблема остаётся независимо от оформления сайта.
Состав документов и мер зависит от деятельности. Не каждой компании нужен одинаковый набор файлов, однако размер проекта сам по себе не освобождает от применимых обязанностей.
Уведомление Роскомнадзора
При отсутствии предусмотренного законом исключения уведомление направляют до начала обработки. В нём описывают фактические цели, категории данных и субъектов, способы обработки и другие необходимые сведения.
Если организация уже состоит в реестре, запуск нового сайта не всегда означает новое первичное уведомление. Нужно проверить, изменились ли сообщаемые сведения и требуется ли их актуализация. Отдельно оценивают необходимость уведомления о трансграничной передаче и выполнение связанных требований до её начала.
Что передать разработчику
Юридическая подготовка должна завершаться понятными заданиями по внедрению. Для проекта полезно согласовать такой перечень:
- Где разместить документы и ссылки на них, включая мобильные формы.
- Какие операции требуют согласия и как пользователь его предоставляет.
- Как отделить рекламу от заявки, регистрации и принятия договора.
- Какие подтверждения действий пользователя сохраняются и как связаны с версией текста.
- Какие сервисы и интеграции изменить, отключить или дополнительно проверить.
- Как разграничить доступ и организовать обработку обращений и удаление данных.
- Кто отвечает за внедрение каждого изменения и как проверить результат.
Юрист определяет правовые требования и готовит материалы в согласованном объёме. Разработчик и технические специалисты реализуют настройки и меры защиты в своей части. Владельцу проекта нужно обеспечить взаимодействие этих участников.
Три ситуации перед запуском
Лендинг с формой обратного звонка
Компания собирает имя и телефон, чтобы обсудить услугу. Для этой цели не следует автоматически требовать дату рождения и полный адрес. Если маркетолог хочет затем направлять рекламу, этот процесс оформляют отдельно. У заявки и рекламной подписки должны быть понятные условия и основания.
Онлайн-сервис с бесплатным тестовым периодом
Отсутствие оплаты не отменяет обработку при регистрации. Нужно проверить данные профиля, поддержку, загружаемые файлы, аналитику, срок хранения неактивных аккаунтов и внешние сервисы. Если клиенты загружают чужие данные, анализируют также распределение ролей и договорные условия.
Сайт на конструкторе
Разработчик выбрал стандартную форму и готовый баннер. Но контакты сохраняются в кабинете платформы, копируются в CRM и отправляются в мессенджер. Документы и настройки нужно сверить со всей этой цепочкой. Готовый шаблон платформы не подтверждает соответствия конкретного проекта требованиям.
Как проверить готовность к запуску
Пройдите сценарий пользователя и дальнейшей работы компании. Отправьте тестовую заявку с вымышленными сведениями, проверьте открытие документов, необходимые отметки, поступление записи в системы и доступ исполнителей.
| Проверка | Что должно быть понятно |
|---|---|
| Оператор и цели | Кто отвечает за обработку и для чего нужны сведения |
| Документы и формы | Тексты соответствуют функциям, доступны пользователю, необходимые согласия оформляются отдельно |
| Рассылки | Рекламная обработка имеет своё основание, предусмотрен отказ |
| Сервисы и базы | Известны получатели, места обработки и применимые договорные условия |
| РКН | Проверена обязанность уведомления и актуальность сообщаемых сведений |
| Внутренняя работа | Определены ответственные, доступ, хранение и процедуры |
| Тестирование | Проверены сценарии, включая мобильную версию и подтверждения действий пользователя |
Не следует начинать сбор в спорном сценарии только потому, что реклама уже оплачена. Если отдельная функция не готова юридически или технически, можно обсудить запуск с ограниченным набором функций, которые подготовлены надлежащим образом.
Как помогает «Софист»
Можно обратиться на этапе проектирования, перед публикацией или после запуска, если оформление нужно привести в порядок. Работаем дистанционно с проектами по России.
Пакет «Базовый» — 35 000 руб. Основные документы, подготовка или проверка уведомления РКН, необходимые согласия, правовая проверка сайта и локализации. Подходит для согласованного объёма подготовки основных процессов; применимость к конкретному сервису определяем после знакомства с задачей.
Пакет «Универсальный» — 50 000 руб. Включает базовый состав и расширенное оформление внутренних процедур: обязанности, доступ, хранение и уничтожение, обращения, работа с подрядчиками и ознакомление сотрудников. Предусмотрены пошаговая инструкция по применению материалов и повторная правовая проверка сайта после рекомендованных изменений.
Аудит сайта, сервиса или приложения — от 50 000 руб. Подходит для проверки существующего продукта, документов, форм, интеграций, локализации и возможной трансграничной передачи. Охват проверки, выводы и объём доработки документов согласовываем заранее. Подробнее — на странице юридического аудита цифрового продукта.
Консультация — 5 000 руб. за час. Позволяет разобрать модель запуска, состав документов и отдельные вопросы до заказа комплексной работы.
Уведомление РКН можно заказать отдельно — от 10 000 руб. Документы по трансграничной передаче и соответствующее уведомление — от 30 000 руб. Помогаем проверить правовую модель использования зарубежного ИИ: состав передаваемых данных, роли участников, локализацию, трансграничную передачу и оформление выбранного решения. Объём работы с нестандартной архитектурой и ИИ оцениваем по проекту.
Технические доработки сайта и настройка защиты выполняются соответствующими специалистами. Оферта, пользовательское соглашение и иные договорные документы включаются в работу при отдельном согласовании, а не автоматически в любой пакет по ПДн. Подробности — на странице услуг по персональным данным.
Наши гарантии и преимущества
Работаем с 2016 года. Сопровождаем бизнес и НКО, IT-проекты, организации образования, услуг и продаж. Проводили аудиты обработки персональных данных на крупных предприятиях Татарстана.
Официальный договор и понятные границы работы. Согласовываем результат, сроки, стоимость, перечень документов и глубину проверки. Дополнительные задачи обсуждаем с клиентом до их выполнения.
Василий Кустов лично участвует в юридической работе. Учитываем функции продукта и сведения разработчика, чтобы подготовленные документы соответствовали фактической обработке.
Объясняем внедрение. Разделяем правки текста, организационные действия клиента и технические задачи команды. Состав инструкции и последующей проверки определяется выбранной услугой.
Соблюдаем конфиденциальность. Для первичного обсуждения обычно достаточно описания функций, форм и интеграций. Полную клиентскую базу для знакомства с проектом передавать не требуется.
Гарантии относятся к нашим обязательствам по договору. Обещать отсутствие любых будущих претензий или определённое решение Роскомнадзора заранее невозможно.
Пример из практики: оформление ИИ-продукта
В проекте для ИИ-стартапа юридическая работа включала модель обезличивания, подготовку соответствующих материалов и актуализацию локальных актов и политики. Документы согласовывали с архитектурой обработки и рекомендациями по внедрению. Такой подход особенно важен, когда сведения пользователей проходят через несколько сервисов. Подробнее — в кейсе по обезличиванию данных для ИИ-стартапа.
Опыт сотрудничества подтверждают благодарственные письма АО «ПОЗИС» и Wise City Systems. Другие письма и сведения о практике — на странице «О нас».
Часто задаваемые вопросы
Сайт ещё разрабатывается. Уже можно обращаться?
Да. Функции, предполагаемые формы и сервисы можно обсудить до публикации. Это помогает заранее передать разработчику требования. Перед окончательной подготовкой и проверкой потребуется актуальная информация о реализации; изменения функционала важно сообщать юристу.
Разработчик уже поставил галочки и политику. Зачем дополнительная проверка?
Нужно установить, под какой процесс подготовлен текст, какие основания используются и куда поступают данные. Визуально правильная форма может скрывать другую обработку. Разработчик отвечает за свою часть реализации, а правовая проверка помогает определить необходимые условия и документы.
Можно начать с «Базового», чтобы не оплачивать лишнее?
Да, если его состав соответствует задаче. На старте уточняем функции, системы и внутреннюю работу. Если нужны расширенные процедуры или анализ сложной архитектуры, объясним различия и согласуем подходящий объём. Сам по себе небольшой бюджет или название «лендинг» не определяет достаточность оформления.
Документы уже есть. Обязательно готовить новые?
Нет. Можно заказать аудит и исправление имеющихся материалов в согласованном объёме. Если часть текстов подходит, её сохраняем. Если проще подготовить новый комплект под текущую модель, обсуждаем этот вариант до начала работы.
Вы сами внесёте изменения в сайт?
Юридическая услуга включает согласованные документы, правовую проверку и рекомендации. Код, формы, интеграции и настройки меняет разработчик или другой технический исполнитель. При необходимости отдельно согласуем участие в обсуждении рекомендаций с командой.
Что потребуется от нас и как определяется цена?
Нужны адрес или доступ к тестовой версии, описание функций, имеющиеся документы и сведения о сервисах и базах. Технические вопросы уточняются с разработчиком. Состав работы, результат и стоимость закрепляем в договоре; дополнительные задачи согласовываем заранее.
Если мы пока ничего не продаём, можно отложить оформление?
Продажи и обработка данных начинаются не обязательно одновременно. Список ожидания, бесплатная регистрация и заявки уже требуют проверки. Оформление готовят к началу соответствующей обработки.
Если пользователь удалил аккаунт, нужно удалить вообще все сведения?
Нужно проверить цели и основания дальнейшего хранения. Часть данных может сохраняться для выполнения законных обязанностей или на другом применимом основании, а сведения, для которых основания прекратились, подлежат обработке по установленным правилам прекращения и уничтожения. Механизм удаления аккаунта должен учитывать это различие.