Клиентская база по 152-ФЗ помогает бизнесу работать с заявками и рассылками без лишних юридических рисков. В статье разберём, какие данные можно собирать, как оформить согласие и что проверить на сайте. Используйте чек-лист, чтобы подготовить формы и CRM.
Почему клиентская база по 152-ФЗ требует внимания
Имя, телефон, email и другие сведения о клиенте могут быть персональными данными. Их сбор, хранение и использование подпадают под требования Федерального закона № 152-ФЗ «О персональных данных».
Для бизнеса это касается не только интернет-магазинов.
Персональные данные появляются, когда пользователь:
- оставляет заявку на сайте;
- заказывает обратный звонок;
- подписывается на рассылку;
- регистрируется в личном кабинете;
- заполняет форму расчёта стоимости;
- пишет в онлайн-чате;
- оформляет заказ;
- передаёт данные менеджеру.
При этом клиентская база по 152-ФЗ — это не просто таблица с телефонами. Компания становится оператором персональных данных, если самостоятельно определяет цели и порядок их обработки.
Поэтому начинать нужно не с CRM. Сначала определите, зачем вам нужны данные и на каком основании вы их обрабатываете.
Клиентская база по 152-ФЗ: какие данные можно собирать
Главный принцип — собирать только те сведения, которые нужны для конкретной цели.
Например, для обратного звонка обычно достаточно:
- имени;
- номера телефона.
Для отправки коммерческого предложения может потребоваться:
- имя;
- email;
- телефон;
- сведения о запросе.
Не стоит добавлять в форму лишние поля «на будущее».
Пример правильной логики
Проблема: менеджеру нужен телефон клиента.
Ошибка: форма требует дату рождения, адрес и паспортные данные.
Решение: оставить только необходимые поля.
Результат: клиент быстрее отправляет заявку. Компания снижает объём обрабатываемых данных.
Такой подход соответствует принципу целевого характера обработки персональных данных.
Какие документы нужны бизнесу
Для сайта с клиентскими формами обычно требуется проверить несколько элементов.
1. Политика обработки персональных данных
На сайте должна быть доступна информация о том, как компания работает с персональными данными.
В документе обычно раскрывают:
- цели обработки;
- категории данных;
- категории субъектов;
- порядок обработки;
- права пользователей;
- меры защиты;
- порядок обращения субъекта.
Политику нельзя рассматривать как формальную страницу для подвала сайта. Она должна соответствовать реальным процессам компании.
2. Согласие на обработку персональных данных
С 1 сентября 2025 года действует важное изменение. Согласие на обработку персональных данных должно оформляться отдельно от другой информации и документов, которые подтверждает или подписывает пользователь. Это закреплено в статье 9 152-ФЗ.
Поэтому старая схема с одной галочкой:
«Согласен с договором, политикой и обработкой персональных данных»
требует пересмотра.
Согласие должно быть конкретным, информированным, сознательным и однозначным. Закон также устанавливает требования к его содержанию.
3. Согласие на рекламные рассылки
Это отдельный вопрос.
Если компания использует данные для продвижения товаров или услуг через прямые контакты со потенциальным клиентом, требуется предварительное согласие. При требовании пользователя такую обработку необходимо прекратить.
Поэтому заявка на консультацию и подписка на рекламную рассылку — не всегда одна и та же цель обработки.
Как оформить форму на сайте
Рассмотрим типовой сценарий.
Вы столкнулись с проблемой: на сайте есть форма «Получить консультацию». После отправки менеджер получает имя и телефон.
Мы решаем её способом: разделяем цели и документы. Форма сообщает пользователю, какие данные собираются и зачем. Отдельно оформляется согласие.
Результат: процесс сбора данных становится прозрачнее и проще для контроля.
Условный HTML-каркас может выглядеть так:
<form action="/request" method="post">
<label>
Имя
<input type="text" name="name" required>
</label>
<label>
Телефон
<input type="tel" name="phone" required>
</label>
<label>
<input type="checkbox" name="personal_data_consent" required>
Согласен на обработку персональных данных
</label>
<label>
<input type="checkbox" name="marketing_consent">
Согласен получать рекламные сообщения
</label>
<button type="submit">Отправить заявку</button>
</form>Это технический пример, а не готовый юридический шаблон.
В реальном проекте важно определить содержание согласия, цели обработки и способ фиксации факта его получения.
Также нужно учитывать актуальные требования законодательства на дату запуска сайта.
Уведомление Роскомнадзора: что проверить
Отдельный вопрос — уведомление об обработке персональных данных.
С 1 сентября 2022 года для операторов действует расширенный подход к уведомлению. Роскомнадзор указывает, что операторы должны уведомлять ведомство о начале или осуществлении обработки, кроме предусмотренных законом исключений.
В актуальных разъяснениях также указывается, что уведомление подают до начала обработки, если оператор не подпадает под исключения.
Для бизнеса это означает простой практический шаг:
проверьте, внесена ли компания в реестр операторов и соответствуют ли сведения фактической обработке.
Особенно важно проверить:
- цели обработки;
- категории данных;
- категории субъектов;
- способы обработки;
- используемые информационные системы;
- лиц, которым поручена обработка.
Где хранить клиентскую базу
Клиентская база по 152-ФЗ должна защищаться не только документами.
Нужно контролировать техническую сторону.
Типовая схема выглядит так:
Сайт → сервер → CRM → сотрудники → подрядчики
На каждом этапе возникает вопрос доступа к данным.
Проверьте CRM
У сотрудников должны быть только необходимые права.
Например:
- менеджер видит контакты своих клиентов;
- бухгалтер получает доступ к нужным данным для своей задачи;
- администратор управляет системой;
- бывший сотрудник теряет доступ после увольнения.
Не стоит хранить клиентскую базу в общей таблице без контроля доступа.
Также важно проверить резервные копии, пароли, журналы доступа и защиту администраторских аккаунтов.
Передача данных подрядчикам
Сайт часто использует сторонние сервисы:
- CRM;
- email-сервисы;
- телефонию;
- формы;
- сервисы аналитики;
- облачные платформы;
- службы доставки.
Если обработка поручается другой компании, нужно юридически и технически оформить такое взаимодействие.
В 152-ФЗ предусмотрены требования к поручению обработки персональных данных. В частности, оператор должен определить необходимые условия и обеспечить контроль за обработкой.
Проблема: сайт передаёт заявки в CRM, но договорные и технические процессы не проверены.
Решение: составить карту движения данных.
Результат: становится понятно, кто получает данные клиента и зачем.
Локализация персональных данных
При сборе персональных данных граждан РФ важно учитывать требования закона к обработке данных.
Для интернет-сайта это особенно актуально.
Проверять нужно не только основной сервер. Нужно изучить весь путь данных:
- Пользователь отправляет форму.
- Сайт получает данные.
- Сервер сохраняет заявку.
- Данные попадают в CRM.
- CRM передаёт их сотруднику.
- Сервис отправляет уведомление.
- Формируются резервные копии.
Если на одном этапе используется сторонняя система, её также нужно учитывать при юридической и технической проверке.
Как использовать клиентскую базу после сбора
Законный сбор базы не означает, что её можно использовать для любых целей.
Цель обработки имеет значение.
Например, пользователь оставил телефон для консультации. Это ещё не означает автоматического согласия на любые рекламные сообщения.
Для маркетинга нужно отдельно проверить правовое основание и наличие необходимых согласий.
Особенно важно разделять:
| Действие | Что проверить |
|---|---|
| Обработка заявки | Цель и правовое основание |
| Обратный звонок | Необходимость данных |
| Отправка договора | Цель обработки |
| Рекламная рассылка | Предварительное согласие |
| Передача в CRM | Правовое основание и условия поручения |
| Аналитика | Состав собираемых данных и цели |
| Удаление данных | Срок хранения и основания |
Так клиентская база становится управляемым бизнес-активом.
Частые ошибки бизнеса
Одна галочка на все документы
Сейчас это особенно рискованный подход. С 1 сентября 2025 года согласие должно оформляться отдельно от иных документов и информации.
Сбор данных «на всякий случай»
Каждое поле должно иметь понятную цель.
Нет доказательства согласия
Компания должна уметь подтвердить факт получения согласия.
Поэтому важно сохранять сведения о том, когда и каким способом пользователь его предоставил.
База куплена у стороннего поставщика
Покупка списка телефонов не означает получение законного основания для рекламной рассылки.
Если данные получены не от самого субъекта, закон предусматривает дополнительные обязанности оператора.
Политика не соответствует сайту
Документ может содержать одну информацию. Реальная форма — собирать другую.
Такая рассинхронизация создаёт дополнительные риски.
Нет процесса удаления
У компании должен быть понятный порядок работы с запросами субъектов и прекращения обработки, когда для этого есть основания.
Штрафы за нарушения 152-ФЗ
Ответственность зависит от конкретного нарушения.
Статья 13.11 КоАП РФ предусматривает разные размеры административных штрафов. Для отдельных составов санкции для юридических лиц могут достигать миллионов рублей. Например, часть предусмотренных статьёй нарушений предусматривает штраф для организации от 3 до 5 млн рублей.
При этом ориентироваться только на размер штрафа неправильно.
Нарушение может привести к дополнительным затратам:
- переделке сайта;
- аудиту CRM;
- изменению форм;
- пересмотру договоров;
- восстановлению процессов;
- обработке обращений клиентов.
Поэтому дешевле проверить архитектуру заранее.
Чек-лист: готова ли ваша клиентская база
Проверьте сайт и внутренние процессы по списку.
Документы
- Определены цели обработки.
- Есть политика обработки персональных данных.
- Есть корректное согласие.
- Согласие отделено от других документов.
- Отдельно проверено согласие на рекламу.
- Определён порядок отзыва согласия.
Сайт
- Все формы инвентаризированы.
- Для каждого поля понятна цель.
- Пользователь получает необходимую информацию.
- Факт согласия фиксируется.
- Проверены cookies и сторонние сервисы.
- Проверена передача заявок в CRM.
CRM и сервер
- Настроены права доступа.
- Убраны лишние аккаунты.
- Защищены административные учётные записи.
- Проверены резервные копии.
- Определены сроки хранения.
- Понятно, какие подрядчики получают данные.
Роскомнадзор
- Проверен статус оператора.
- При необходимости подано уведомление.
- Сведения в уведомлении соответствуют реальной обработке.
Как веб-студия помогает привести сайт в порядок
Юридическая корректность начинается с анализа реального сайта.
Вы столкнулись с проблемой: формы собирают данные, CRM получает заявки, а документы давно не обновлялись.
Мы решаем её способом: проводим аудит сайта и точек сбора данных.
Проверяем:
- формы;
- согласия;
- политику;
- cookies;
- CRM-интеграции;
- сторонние сервисы;
- передачу данных;
- техническую реализацию.
После этого составляем список изменений.
Важно: веб-студия отвечает за техническую реализацию. Юридическую позицию по конкретной ситуации должен подтверждать профильный специалист.
Для WordPress мы можем проверить формы, плагины, интеграции и структуру страниц. Затем внесём необходимые технические изменения.
Заключение
Клиентская база по 152-ФЗ должна строиться вокруг понятных целей, корректных согласий и безопасной обработки данных. Недостаточно просто разместить политику в подвале сайта. Нужно проверить весь путь данных: от формы до CRM и рассылки.
Начните с аудита сайта. Проверьте формы, документы, интеграции и хранение данных. Если нужна техническая проверка WordPress-сайта, команда «Компьюти» поможет найти проблемные места и подготовить план доработок.
Материал носит информационный характер и не заменяет юридическую консультацию. Требования законодательства о персональных данных меняются, поэтому перед внедрением решений стоит проверить актуальную редакцию норм.
