Обработка персональных данных на сайте: карта 11 точек сбора

Обработка персональных данных на сайте начинается не с формы заявки, а с первого захода посетителя. В момент, когда загрузился счётчик Метрики, сайт уже записал идентификатор в cookie и IP-адрес, а по статье 3 закона 152-ФЗ обработка - это любое действие с данными, включая сбор, запись, хранение и передачу. Форма с телефоном идёт второй, и она далеко не последняя.

На типовом сайте услуг или интернет-магазине таких точек одиннадцать. Владелец обычно знает про две: форму и, если повезёт, счётчик. Остальные девять живут в чужих скриптах, в почтовом ящике, куда падают заявки, в чат-виджете и в логах хостинга. Ниже карта всех точек с тем, что нужно для каждой, и способ за час проверить, какие из них есть у вас.

Три признака, что на сайте есть обработка

Диагностика короткая, и почти любой сайт проходит её с первого пункта.

На сайте стоит хоть один счётчик или пиксель. Метрика, Google Analytics, пиксель ВК, Top.Mail.Ru. Каждый из них ставит cookie с идентификатором посетителя, а Роскомнадзор в проверках относит такие идентификаторы к персональным данным. Согласие нужно до начала сбора, то есть до загрузки счётчика, как устроен баннер о cookie разобрано отдельно.

На сайте есть поле, куда человек вводит что-то о себе. Телефон для обратного звонка, почта для подписки, имя в комментарии. Не имеет значения, сохраняет ли сайт это в базу или просто отправляет письмом: отправка письма - это передача, а передача входит в перечень действий статьи 3.

Сайт подключён к внешнему сервису, который что-то знает о посетителе. Онлайн-чат, коллтрекинг, платёжный шлюз, конструктор форм, CRM. У каждого из них своя база, и в ней лежат данные ваших клиентов. Вы оператор, они обработчики по поручению, и за выбор обработчика отвечаете тоже вы.

Если совпал хотя бы один признак, обработка есть, и к ней применяются все обязанности оператора: политика, согласие, уведомление Роскомнадзора, российская база. Спор о том, "настоящие" это персональные данные или нет, проигрывается в первом же ответе на запрос ведомства, потому что определение в законе намеренно широкое: любая информация, относящаяся к прямо или косвенно определяемому человеку.

Карта точек сбора

Таблица собрана по сайтам, которые мы проверяем бесплатной проверкой на 152-ФЗ, и по типовому набору сервисов на конструкторах. Колонка "кто ещё получает" - самая важная: она показывает, где данные уходят к третьей стороне, и именно там прячутся зарубежные базы.

Две строки в таблице владельцы сайтов чаще всего не замечают.

Первая - почта. Заявка с формы улетает письмом на info@компания.ru, а этот ящик заведён на зарубежном сервисе. Форма, казалось бы, на российском конструкторе, база конструктора в России, а первая копия данных клиента оказывается за границей раньше, чем в CRM. Это ровно тот случай, который с 1 июля 2025 года часть 5 статьи 18 запрещает прямым текстом. Подробнее о том, чем хостинг отличается от места хранения базы, в статье про локализацию.

Вторая - отзывы. Когда человек оставляет отзыв с именем на странице товара, сайт не просто хранит данные, а распространяет их: показывает всем посетителям. Для этого по статье 10.1 нужно своё согласие, не совмещённое с согласием на обработку, и та же статья прямо говорит, что молчание или бездействие человека согласием считаться не может. Одна галочка "согласен на обработку" под формой отзыва эту обязанность не закрывает.

Что стоит каждая незакрытая точка

Штрафы за сайт складываются не из одной статьи, а из нескольких строк статьи 13.11 КоАП, и каждая точка сбора цепляет свою строку. Форма без флажка цепляет часть 1, обработку без законного основания: 150-300 тысяч рублей для компании. Отсутствие страницы с политикой - часть 3, 30-60 тысяч. Заявки в зарубежной базе - часть 8, от миллиона до шести. Неподанное уведомление - часть 10, 100-300 тысяч. Полный расчёт на условном сайте с формой и Метрикой мы делали в статье про штрафы, там же про то, что часть 2 с её 700 тысячами к обычной форме не относится.

Есть и цена, которая не записана в кодексе. Ответ на запрос человека о том, какие данные о нём хранятся, оператор обязан дать, и для этого нужно знать все места хранения. Если карта точек не составлена, ответить честно невозможно: письмо с заявкой лежит в почте, копия в CRM, переписка в чате, номер в коллтрекинге. Часть 4 той же статьи за неответ добавляет от 40 000 до 80 000, часть 5 за неудаление по требованию ещё 50-90 тысяч. Обе срабатывают от одного недовольного клиента, без всякой проверки ведомства. Даты, с которых действуют эти суммы и правила, собраны в календаре изменений 152-ФЗ.

Как составить карту за час самому

Инструкция обходится без юриста и без программиста, хватит браузера.

Сайт открывается в приватном окне, и дальше по нему идут как клиент: главная, страница услуги или товара, корзина, форма, чат, регистрация. Каждое место, где что-то вводится, идёт в список. Это точки первого типа, видимые.

Затем откройте инструменты разработчика, вкладку "Сеть", и перезагрузите главную. В списке запросов будут домены, куда страница что-то отправляет сама: mc.yandex.ru, google-analytics.com, домены чата, капчи, коллтрекинга, шрифтов, CDN. Каждый чужой домен - точка второго типа, скрытая. Домен шрифтов или CDN получает как минимум IP посетителя.

Для каждой точки ответьте на три вопроса и запишите ответы рядом. Куда пишутся данные первым делом: в вашу базу, в почту, в базу сервиса. В какой стране это находится: ответ хостинга, панель конструктора, договор с сервисом. Есть ли согласие именно на эту точку: флажок, баннер, предупреждение в чате.

Час уходит именно на третий вопрос. Обычно выясняется, что согласие есть у одной формы из четырёх, баннер о cookie появляется после загрузки Метрики, а чат вообще не спрашивает ничего. Список с тремя ответами напротив каждой точки и есть карта, с которой уже можно править сайт и переписывать политику: в ней по статье 18.1 нужно описать каждую цель обработки, категории данных и сроки, а без карты цели пишутся наугад.

Если инвентаризацию заказывать, стоит заранее понимать, что подрядчики делятся на две группы. Юристы делают документы: политику, согласия, уведомление. Разработчики делают технику: флажки, баннер, перенос базы. Карта точек сбора нужна и тем, и другим, и заказчик экономит заметно, если приходит с ней, а не просит "сделать сайт по 152-ФЗ".

Пример карты: сайт услуг на конструкторе

Возьмём типовой сайт: компания оказывает услуги, сайт собран на конструкторе, десять страниц. Владелец уверен, что персональные данные у него собирает одна форма "Заказать звонок". Проход по инструкции выше даёт другую картину.

Видимых точек три. Форма обратного звонка на каждой странице: имя и телефон, заявка уходит в базу конструктора и дублируется письмом на почту компании. Форма "Задать вопрос" на странице контактов: имя, почта, текст, тот же маршрут. Чат-виджет в правом нижнем углу: имя, телефон и вся переписка живут у сервиса чата.

Скрытых точек ещё четыре. Метрика с Вебвизором: cookie, IP, запись движений по странице. Пиксель ВК для ретаргетинга: cookie и события. Капча от Google на формах: IP и поведение, сервер за пределами России. Шрифты, подключённые с зарубежного сервиса: IP каждого посетителя при каждой загрузке.

Итого семь точек вместо одной. Ответы на три вопроса выглядят так. Куда пишется: база конструктора в России, почта компании на зарубежном сервисе, чат на зарубежных серверах, счётчики у своих владельцев. Согласие: флажок есть только у формы звонка, у формы вопроса и у чата нет, баннер о cookie появляется, но после загрузки Метрики. Уведомление в Роскомнадзор не подавалось.

Что с этим делать, следует из самой карты, и порядок задают деньги. Первым переносится почта заявок на российский сервис, потому что часть 8 стоит дороже всего остального вместе. Вторым подаётся уведомление. Третьим добавляются флажки к форме вопроса и в чат, баннер переносится до загрузки счётчика. Капча и шрифты меняются на российские аналоги, когда до них дойдут руки: их вклад в риск меньше, а замена требует программиста.

Что из карты видно снаружи

Часть точек проверяется по адресу сайта без доступа к админке, и это мы сделали бесплатным. Проверка открывает сайт как посетитель и смотрит восемь видимых требований: есть ли политика и открывается ли она, стоит ли у форм отдельный флажок согласия и пустой ли он, показывается ли баннер о cookie при первом визите, работает ли HTTPS, есть ли реквизиты, нет ли входа через Google и Apple, помечена ли реклама, и подключены ли зарубежные аналитические сервисы. Результат появляется за минуту, без регистрации, разбор по каждому пункту со ссылкой на норму.

Три вещи проверка не видит, и честно говорит об этом в отчёте: где физически лежит база заявок, подано ли уведомление в Роскомнадзор и что происходит с данными внутри чата и коллтрекинга. Это ровно те строки карты, для которых нужен ответ хостинга и договоры с сервисами. Так что порядок работы получается такой: сначала бесплатная проверка закрывает видимую половину карты, потом час своими руками закрывает невидимую. В кабинете SEENGO тот же отчёт хранится рядом с проверкой готовности сайта к нейросетям, и обе можно перезапускать после правок.

Источники

• Статья 3 закона 152-ФЗ: определения персональных данных, оператора и обработки. Редакция от 26.07.2026.
• Статья 9: согласие оформляется отдельно от иной информации и документов, бремя доказывания на операторе.
• Статья 10.1: согласие на распространение оформляется отдельно, молчание согласием не считается.
• Статья 22: уведомление до начала обработки, действующие исключения.
• Статья 13.11 КоАП: размеры штрафов, редакция с 30 мая 2025 года.
• Федеральный закон от 28.02.2025 № 23-ФЗ: запрет зарубежных баз при сборе с 1 июля 2025 года.