Форма на сайте, рассылка и база клиентов: где бизнес рискует нарушить закон о персональных данных

Почему риск появляется там, где его не ждут

Малый бизнес обычно недооценивает не сам закон, а момент, когда он становится оператором персональных данных. Кажется, что оператор - это банк, маркетплейс или медклиника. На деле оператором становится и магазин с формой обратной связи, и студия, которая собирает заявки на аудит, и салон, где администратор ведёт клиентов в таблице.

Главная ошибка в том, что данные начинают жить отдельно от процесса. Заявка пришла с сайта, менеджер скопировал телефон в личный мессенджер, маркетолог выгрузил email в сервис рассылки, разработчик получил доступ к CRM для настройки интеграции. Каждое действие выглядит невинно, но цепочка уже включает сбор, хранение, передачу, использование и удаление данных. Если не описать цель, основание, сроки хранения и доступы, бизнес не сможет внятно ответить на простой вопрос: почему эти данные у нас есть и кто с ними работает.

В 2025-2026 годах цена такой небрежности стала выше. В статье 13.11 КоАП РФ появились отдельные составы за несвоевременное уведомление Роскомнадзора, за утечки и за повторные утечки. Для компаний штраф за отсутствие или задержку уведомления о начале обработки теперь составляет 100-300 тыс. рублей, а повторная крупная утечка может перейти в оборотный штраф. Поэтому для малого бизнеса риск уже не только репутационный: жалоба клиента, утечка таблицы или проверка сайта могут быстро стать финансовой проблемой.

Где бизнес чаще всего ошибается

Первая зона риска - сайт. Форма обратной связи собирает имя и телефон, но рядом нет отдельного согласия, ссылка на политику спрятана в подвале, чекбокс уже отмечен, а цель обработки описана слишком широко: для улучшения сервиса, маркетинга и иных целей. Такая формулировка неудобна даже самому бизнесу: по ней сложно понять, можно ли потом отправлять рекламу, передавать заявку подрядчику или хранить телефон пять лет.

Вторая зона - рассылка. Клиент оставил email для получения чека или консультации, а через неделю попал в рекламную цепочку. Для маркетинга лучше иметь отдельное согласие на рекламную коммуникацию и понятный способ отписаться. Отписка должна работать не как вежливая просьба менеджеру, а как реальное прекращение рассылки по конкретному каналу.

Третья зона - CRM, Excel, Google Таблицы и личная почта сотрудников. Таблица удобна тем, что её можно быстро открыть и переслать. Именно поэтому она опасна. Ссылку забывают закрыть, файл скачивается на домашний ноутбук, бывший сотрудник сохраняет копию, подрядчик получает доступ шире, чем нужно. Чем проще инструмент, тем важнее дисциплина: права доступа, двухфакторная защита, журналирование, запрет на личные ящики, регулярное удаление лишних полей.

Четвёртая зона - подрядчики. Маркетологу дают базу для сегментации, SMM-специалисту - телефоны лидов из мессенджера, колл-центру - список клиентов для обзвона, разработчику - доступ к форме и CRM. Если в договоре нет поручения на обработку, целей, мер защиты, запрета использовать базу для своих задач и порядка возврата или удаления данных, оператор всё равно остаётся ответственным перед клиентом.

Что должно быть у бизнеса, который собирает имя, телефон или email

Минимальный комплект начинается не с длинной политики, а с честной карты данных. Нужно выписать, какие данные собираются, где именно, зачем, кто имеет доступ, куда они передаются, сколько хранятся и как удаляются. После этого документы и настройки сайта становятся не формальностью, а отражением реального процесса.

На сайте обычно нужны политика обработки персональных данных, понятное согласие под каждой формой, ссылка на политику рядом с кнопкой отправки, отдельное согласие на рекламную рассылку, если она есть, и корректный механизм отписки. Если данные российских граждан собираются через интернет, нужно отдельно проверить, где находится база, потому что за нарушение требования о локализации в статье 13.11 КоАП предусмотрены отдельные штрафы.

Бизнесу также нужно проверить уведомление Роскомнадзора. Базовое правило статьи 22 закона о персональных данных: оператор до начала обработки уведомляет уполномоченный орган, если нет применимого исключения. Для формы заявки, CRM и рассылки безопаснее не полагаться на старые мифы о том, что малому бизнесу это не нужно, а проверить реестр и свои фактические процессы.

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов и информации, которые подписывает или подтверждает человек. Это особенно важно для сайтов, где в одну галочку пытаются включить всё: оферту, политику, обработку данных, рекламу, передачу партнёрам и согласие на cookies. Чем больше целей смешано в одном действии, тем труднее доказать, что человек действительно понял, на что согласился.

Зачем разделять заявки, рассылки и клиентскую базу

У разных действий разные основания и сроки. Заявка на консультацию нужна, чтобы ответить клиенту. Email для рассылки нужен, чтобы отправлять маркетинговые письма. История заказов нужна для договора, гарантий, бухгалтерии и поддержки. Нельзя автоматически считать, что согласие на одно действие даёт право на все остальные.

Хорошая практика - разделить базу по целям. Лиды, действующие клиенты, бывшие клиенты, подписчики рассылки, участники акции и контакты из мессенджеров должны иметь понятный статус. Тогда менеджер видит не просто номер телефона, а контекст: можно ли звонить, можно ли отправлять рекламу, надо ли удалить запись после отказа, можно ли передать контакт подрядчику. Такая же дисциплина нужна и в работе с отзывами, где контакт клиента легко превращается в лишнюю маркетинговую коммуникацию.

Например, человек написал в мессенджер: сколько стоит услуга. Это не означает, что он согласился получать еженедельные рекламные сообщения. Другой клиент купил товар и оставил email для документов. Это не всегда равно согласию на проморассылку. Третий оставил заявку на сайте и попросил перезвонить. Его телефон не должен бессрочно лежать в общей таблице, если сделка не состоялась и другой цели хранения нет.

Чем опасны Excel, Google Таблицы, CRM и личная почта

Проблема не в названии инструмента. Таблица может быть нормальным временным реестром, а дорогая CRM может быть настроена хуже любого файла. Риск появляется, когда бизнес не управляет доступами и не понимает, где копии базы.

В Excel чаще всего теряется контроль над версиями. Файл отправили менеджеру, тот переслал коллеге, потом загрузил на личный ноутбук. Через месяц никто не знает, где актуальная база и кто хранит старые контакты. В Google Таблицах главный риск - публичные ссылки и доступ всем, у кого есть ссылка. В CRM слабое место - лишние права: стажёр видит всю базу, подрядчик может экспортировать клиентов, бывший сотрудник не отключён вовремя. В мессенджерах и личной почте риск ещё проще: данные смешиваются с личной перепиской и редко удаляются системно.

Минимум контроля выглядит так: доступ только по ролям, двухфакторная аутентификация, запрет общих аккаунтов, отдельные корпоративные почты, журнал выгрузок, закрытие доступа в день увольнения, хранение только нужных полей. Если менеджеру достаточно имени и телефона для звонка, ему не нужен полный экспорт с адресами, суммами заказов и комментариями. Чем больше клиентская база завязана на телефон, тем внимательнее стоит относиться и к смежным сценариям цифровых рисков.

Передача подрядчикам: где тонкое место

Передача данных подрядчику не снимает ответственность с бизнеса. Владелец сайта остаётся оператором, если он определяет цели обработки: кому звонить, кому отправлять письма, какие заявки собирать, какие сегменты использовать. Подрядчик обычно обрабатывает данные по поручению оператора.

В договоре с подрядчиком должны быть как минимум цель обработки, перечень действий с данными, требования к конфиденциальности, меры защиты, запрет использовать базу в своих интересах, порядок привлечения субподрядчиков, сроки возврата или удаления данных после завершения работ. Для разработчиков сайта стоит отдельно прописать доступы к продакшену, тестовым копиям базы и логам. Тестовая выгрузка реальных клиентов без обезличивания - частая и очень неприятная ошибка.

Маркетологу не всегда нужна вся база. Для настройки рекламы достаточно сегмента или обезличенной статистики. Колл-центру не нужны внутренние комментарии менеджеров. SMM-специалисту обычно не нужна CRM целиком. Чем уже доступ, тем меньше ущерб при ошибке подрядчика и тем проще объяснить клиенту, почему его данные были переданы именно этому исполнителю.

Что изменилось в 2025-2026 годах

Первое изменение - выросла финансовая ставка. С 30 мая 2025 года в КоАП появилась новая шкала ответственности за утечки: отдельно учитываются объём затронутых субъектов и идентификаторов, специальные категории и биометрия, а повторные нарушения могут считаться в процентах от выручки. Для малого бизнеса это не значит, что любая ошибка сразу обернётся максимальным штрафом. Но это значит, что старая логика "у нас маленькая база, нас не проверят" стала слабее.

Второе изменение - отдельное согласие. После поправок 2025 года согласие на обработку персональных данных нельзя прятать внутри общего документа так, чтобы человек одновременно подтверждал всё подряд. Для сайтов это практический сигнал: форму, оферту, политику, рекламную рассылку и передачу партнёрам нужно развести по смыслу и интерфейсу.

Третье изменение - выше внимание к инцидентам. Если произошла неправомерная или случайная передача персональных данных, оператор должен реагировать быстро: фиксировать инцидент, ограничивать доступ, разбираться в причинах, уведомлять регулятора в установленные сроки, если ситуация подпадает под обязанность уведомления. Для небольшой компании это означает, что план на случай утечки нужен не после утечки, а до неё.

Что можно проверить быстро

Начните с сайта. Откройте каждую форму: заявка, обратный звонок, подписка, комментарий, скачивание файла, запись на консультацию. Рядом с кнопкой должно быть понятно, какие данные собираются, зачем, где политика, есть ли отдельное согласие на рассылку и не стоит ли чекбокс заранее. Если форма передаёт заявку в CRM, почту и мессенджер одновременно, это тоже нужно отразить в карте обработки.

Затем проверьте рассылку. Откуда взялась база, есть ли подтверждение согласия, как работает отписка, кто имеет доступ к сервису, можно ли выгрузить всех подписчиков одним кликом. Старые адреса без понятного источника лучше отделить и не использовать для массового маркетинга, пока не понятно основание.

После этого посмотрите хранилища: CRM, таблицы, облачные папки, личные почты, мессенджеры. Найдите самые широкие доступы и самые старые файлы. Обычно быстрый выигрыш дают три действия: закрыть публичные ссылки, отключить бывших сотрудников и удалить дублирующие выгрузки, которые давно не нужны.

Последний быстрый слой - подрядчики. Составьте список всех, кто видит клиентские данные: сайт, CRM, аналитика, рассылки, рекламные кабинеты, колл-центр, интегратор, бухгалтерия, доставка. По каждому ответьте на два вопроса: зачем ему эти данные и что произойдёт с доступом после окончания работ. Если ответ расплывчатый, там и находится ближайший риск.

Практический вывод для владельца малого бизнеса

Не нужно начинать с дорогого аудита и стопки документов, если процессов ещё нет на бумаге. Начните с карты данных и короткого чек-листа: формы, согласия, политика, уведомление, рассылка, доступы, подрядчики, сроки хранения, удаление. Уже этот шаг часто показывает, что половина риска находится не в сложном праве, а в бытовых привычках: переслали файл, забыли закрыть ссылку, смешали консультацию и рекламу, дали подрядчику лишний доступ.

Хорошая система обработки персональных данных для малого бизнеса не обязана быть сложной. Она должна быть понятной: человек оставил данные для конкретной цели, бизнес использует их только для этой цели, доступ получают только те, кому он нужен, подрядчики работают по договору, лишнее удаляется, а при ошибке понятно, кто и что делает. Это не отменяет юридическую настройку, но сильно снижает шанс, что обычная форма на сайте внезапно станет проблемой.

FAQ