Персональные данные на корпоративном сайте: почему одного согласия пользователя недостаточно

Пользователь оставил заявку на сайте, указал имя и телефон, поставил галочку согласия на обработку персональных данных. Заявка успешно отправлена, менеджер получил уведомление, а контакт появился в CRM. Для посетителя взаимодействие с сайтом на этом закончилось. Для компании работа с его персональными данными только началась.

Информация может остаться в базе сайта, попасть в корпоративную почту, сохраниться в CRM и резервных копиях. Если компания использует несколько сервисов, одни и те же сведения могут одновременно находиться в разных системах. Причём не всегда сотрудники, отвечающие за обработку персональных данных, знают обо всех местах их хранения.

Проблема обнаруживается, когда пользователь просит удалить свои данные или отзывает согласие на их обработку. Удалить карточку из CRM несложно. Но как убедиться, что информация больше не используется в других системах? Кто должен проверить её наличие в почтовых уведомлениях, базах и архивах? И всегда ли отзыв согласия означает, что данные необходимо удалить?

Требования Федерального закона № 152-ФЗ распространяются не только на получение персональных данных, но и на их последующую обработку. Поэтому правильно оформленное согласие — лишь часть работы, которую необходимо выполнить владельцу корпоративного сайта.

Разберём, где оказываются персональные данные после отправки формы, какие технические риски возникают и как организовать управление их обработкой.

 

Что происходит с персональными данными после отправки формы

Рассмотрим типичный сценарий. На сайте компании есть форма обратной связи, через которую посетители запрашивают консультацию. Пользователь заполняет поля, отправляет заявку, после чего сервер принимает данные и передает их в CRM. Менеджеру приходит письмо с контактами клиента. Дополнительно сведения могут использоваться в других системах, если это предусмотрено бизнес-процессами компании.

В результате одна заявка может существовать сразу в нескольких местах.

Где оказываются данные	Для чего используются	Какой риск возникает
База сайта	Хранение и обработка заявок	Информация остаётся после передачи в CRM
CRM	Работа с клиентами	Не контролируются сроки хранения и права доступа
Корпоративная почта	Уведомления сотрудников	Контакты сохраняются в письмах и архивах
Сторонние сервисы	Аналитика, коммуникации, автоматизация	Передача данных не учитывается при оценке обработки
Резервные копии	Восстановление систем	Копии сохраняются дольше, чем предусмотрено правилами обработки
Журналы событий	Диагностика ошибок	В логах могут оказаться данные из запросов пользователей

 

Не каждый корпоративный сайт использует все перечисленные системы. Но даже простая связка сайта, CRM и электронной почты создаёт несколько точек хранения информации. При этом техническая возможность передавать данные ещё не означает, что такая передача соответствует заявленным целям обработки.

Например, для ответа на заявку компании достаточно имени и телефона. Но разработчики настроили отправку полного содержимого формы в почтовые уведомления. Через некоторое время сотрудник выгрузил обращения в таблицу для отчёта. Затем таблица оказалась в общем файловом хранилище. Так появляется ещё одна копия персональных данных, о которой может не знать сотрудник, отвечающий за их обработку.

Для корпоративных сайтов, которые развиваются годами, ситуация особенно характерна. Меняются подрядчики, подключаются новые сервисы, дорабатываются интеграции. При этом маршруты передачи персональных данных редко пересматриваются целиком. В результате компания может контролировать основную базу клиентов, но не иметь полной картины того, где ещё используются те же сведения.

Главная сложность заключается не в количестве систем, а в отсутствии единого понимания того, где находятся данные, для каких целей обрабатываются и кто отвечает за каждую операцию.

 

Почему согласия на обработку персональных данных недостаточно

Предположим, человек оставил на сайте заявку на консультацию. Указал имя, телефон и согласился на обработку персональных данных. Менеджер связался с ним, ответил на вопросы, но до покупки дело не дошло. Через полгода компания решила запустить рассылку и включила в неё контакты всех, кто когда-либо обращался через сайт.

Здесь и возникает вопрос: на что именно соглашался пользователь? Он оставлял номер, чтобы получить ответ на свою заявку, а не рекламные сообщения. Использовать этот контакт для рассылки только на основании первоначального согласия нельзя. Для рекламы действуют отдельные требования, и компании нужно заранее разобраться, на каком основании она собирается отправлять такие сообщения.

Похожая история со сроками хранения. Заявку обработали, клиенту ответили, но его данные продолжают лежать в CRM. Иногда годами. Сотрудники уже не помнят, зачем сохраняли контакт, а удалить его никто не решается. Между тем для обработки персональных данных должна быть конкретная цель. Если она достигнута, нужно проверить, есть ли законные основания хранить информацию дальше.

При этом не стоит считать, что согласие требуется для любого действия с персональными данными. Закон № 152-ФЗ предусматривает и другие основания обработки. Например, определённые сведения могут быть необходимы для исполнения договора. Поэтому при проверке сайта важно разобраться не только с тем, где пользователь ставит галочку, но и с тем, зачем компания получает информацию и что собирается с ней делать.

С 1 сентября 2025 года изменились требования и к самому оформлению согласий. Теперь согласие на обработку персональных данных должно оформляться отдельно от других документов и информации, которые подтверждает пользователь. Если на сайте одна галочка используется одновременно для принятия условий, согласия на обработку данных и подписки на рассылку, такую форму нужно пересмотреть.

Но даже правильно настроенная форма не решит проблему, если внутри компании данные используются иначе, чем предполагалось при их сборе. Например, посетитель указал телефон для консультации, а спустя несколько месяцев его контакт оказался в выгрузке для другого отдела. Поэтому проверять приходится не только документы на сайте, но и то, как сотрудники и корпоративные системы работают с полученной информацией.

 

Где хранятся персональные данные и кто имеет к ним доступ

Когда компания говорит, что персональные данные хранятся на защищенном сервере, обычно имеется в виду основная база информационной системы. Однако сведения могут находиться не только там. В корпоративной инфраструктуре используются резервные копии, журналы событий, файловые хранилища, тестовые среды и интеграционные сервисы. Если данные передаются между несколькими системами, необходимо учитывать каждую точку их обработки.

Рассмотрим три ситуации, с которыми можно столкнуться при сопровождении корпоративных сайтов.

Данные остались в старой системе

Компания несколько лет использовала одну CRM, затем перешла на другую. Контакты клиентов перенесли, интеграцию с сайтом перенастроили, сотрудники начали работать в новой системе. Но старая CRM осталась доступной администраторам. В ней по-прежнему находятся персональные данные, хотя текущие бизнес-процессы их больше не используют.

Сам по себе переход на новую систему не решает вопрос дальнейшего хранения информации. Необходимо определить, есть ли законные основания сохранять данные, кто отвечает за старую систему и как будет организовано прекращение обработки там, где это требуется. Если старая CRM больше не нужна, ее вывод из эксплуатации должен включать работу с персональными данными, а не только отключение серверов и интеграций.

Доступы подрядчиков не пересматривались

Корпоративные сайты часто сопровождаются внешними командами. Разработчикам могут предоставляться доступы к серверу, административной панели и базам данных. Это необходимо для диагностики ошибок, обновления системы и выполнения задач по развитию проекта.

Если подрядчик меняется, важно не только передать документацию и исходный код, но и проверить действующие учётные записи, ключи доступа и права пользователей. Особое внимание нужно уделять копиям рабочих баз, которые могли использоваться при тестировании или поиске ошибок. Даже если прежний подрядчик больше не имеет доступа к основному серверу, это не гарантирует отсутствия у него ранее полученных данных.

Для работы с персональными данными подрядчикам должны предоставляться только необходимые полномочия, а соответствующие отношения и обязанности должны быть оформлены с учетом требований законодательства. Контроль доступа при этом должен быть регулярным процессом, а не разовой процедурой при заключении договора.

Персональные данные попадают в технические журналы

При диагностике ошибок разработчики анализируют запросы к серверу и ответы информационных систем. Если логирование настроено без ограничений, в журналах могут сохраняться значения полей форм, адреса электронной почты, телефоны и другая информация. Иногда данные попадают туда случайно, например при записи полного содержимого запроса для поиска ошибки интеграции.

Такие сведения могут оказаться доступны более широкому кругу технических специалистов, чем основная база клиентов. Кроме того, журналы нередко передаются в отдельные системы мониторинга и хранятся по собственным правилам. Поэтому при разработке и сопровождении сайта важно проверять состав кэшируемых данных, настройки доступа к журналам и сроки их хранения.

Все три примера показывают, что персональные данные продолжают существовать за пределами системы, которую компания считает основной. Без понимания всей архитектуры невозможно уверенно оценить, насколько полно выполняются установленные правила обработки.

 

Какие требования 152-ФЗ нужно учитывать в 2026 году

Если сайт работает несколько лет, есть смысл посмотреть, когда в последний раз проверялись его формы и документы по персональным данным. За 2025 год законодательство заметно изменилось, и настройки, которые раньше устраивали компанию, могли устареть.

Например, с 1 сентября 2025 года согласие на обработку персональных данных нужно оформлять отдельно от других документов. На практике до сих пор встречаются формы, где одной галочкой пользователь одновременно принимает условия сайта, соглашается на обработку данных и подписывается на рассылку. Такие формы необходимо пересматривать. Причем дело не только в расположении чекбокса. Нужно ещё разобраться, для чего компания собирает данные и на каком основании собирается использовать их дальше.

С хранением ситуация сложнее. С 1 июля 2025 года изменились требования к локализации персональных данных граждан России. Если сайт размещен в российском дата-центре, это ещё не повод считать вопрос закрытым. Нужно смотреть, куда уходят данные из форм. Допустим, заявки поступают в CRM, а параллельно передаются в сторонний сервис. Где этот сервис обрабатывает информацию, какие именно сведения получает и на каких условиях? Без проверки интеграции ответить на эти вопросы не получится.

Есть ещё уведомление Роскомнадзора об обработке персональных данных. Для большинства операторов оно обязательно, хотя закон предусматривает исключения. Если компания подавала уведомление несколько лет назад, а с тех пор запустила новые сайты или изменила процессы обработки, стоит сверить указанные сведения с текущей ситуацией.

С 30 мая 2025 года увеличились штрафы за ряд нарушений, связанных с персональными данными. Отдельные санкции предусмотрены за утечки и нарушения обязанностей по уведомлению регулятора. Поэтому важно заранее определить, кто в компании отвечает за обнаружение таких инцидентов и дальнейшие действия. Когда проблема уже произошла, времени на выяснение ответственности может не хватить.

Самое неприятное, что подобные расхождения редко возникают в результате одного крупного изменения. Обычно сайт постепенно обрастает новыми формами и интеграциями, а документы остаются прежними. Через пару лет выясняется, что никто уже не может уверенно сказать, какие данные собираются и куда передаются.

 

Как проверить корпоративный сайт на соответствие 152-ФЗ

Проверку сайта лучше начинать не с переписывания политики обработки персональных данных, а с изучения того, как сайт работает. Сначала нужно определить, какие данные собираются и куда передаются. Затем проверить интерфейсы, документы и настройки систем. Только после этого можно оценить, какие изменения действительно необходимы.

Для первичной самостоятельной проверки можно использовать следующий чек-лист.

Что проверить	На что обратить внимание
Формы сайта	Какие персональные данные запрашиваются и для каких целей
Согласия	Отдельно ли оформлены согласия там, где они необходимы, и можно ли подтвердить их получение
Политика обработки ПДн	Соответствует ли документ фактическим процессам на сайте
Сторонние сервисы	Какие данные получают аналитические, рекламные и другие подключенные инструменты
Хранение данных	Где находятся рабочие базы, копии и архивы
Доступ сотрудников	Кто может просматривать, выгружать и изменять персональные данные
Удаление информации	Можно ли найти данные пользователя во всех системах и выполнить предусмотренные законом действия
Подрядчики	Какие доступы и копии информации есть у внешних исполнителей

 

Часть этих вопросов можно проверить, изучив публичные страницы и технические настройки сайта. Для остальных потребуется доступ к внутренним информационным системам и документации. Например, наличие корректной формы согласия можно оценить на сайте, но определить фактические сроки хранения заявок в CRM без доступа к системе уже не получится.

Для первичной проверки мы разработали сервис Cirbix, с помощью которого можно просканировать сайт и получить базовые рекомендации по улучшению соблюдения требований 152-ФЗ. Такой подход помогает определить, на какие элементы сайта стоит обратить внимание и какие вопросы необходимо дополнительно изучить.

При этом автоматическое сканирование не заменяет юридический и технический аудит. Оно не позволяет достоверно установить, как устроено хранение персональных данных внутри CRM, какие копии существуют на серверах или кто имеет доступ к внутренним системам. Поэтому результаты проверки стоит использовать как отправную точку для дальнейшей работы, а не как подтверждение полного соответствия законодательству.

Если проверка выявляет замечания, следующим шагом становится анализ их причин. В одних случаях достаточно изменить интерфейс формы или актуализировать документы. В других потребуется пересмотреть интеграции, архитектуру хранения или внутренние процедуры. Если же компания не может определить, где находятся персональные данные и кто отвечает за их обработку, проблема уже выходит за пределы отдельного сайта.

 

Когда нужна автоматизация обработки персональных данных

Клиент написал в компанию с просьбой удалить его персональные данные. Менеджер открыл CRM, нашёл карточку и удалил её. Вопрос закрыт? Не обязательно. Клиент мог раньше оставлять заявки на сайте, обращаться в поддержку и переписываться с сотрудниками. Его данные могут находиться ещё в нескольких системах.

Теперь нужно выяснить, где именно они сохранились и что с ними делать. Возможно, часть информации компания обязана продолжать хранить. Это должен определить ответственный специалист с учетом правовых оснований обработки. Остальные сведения потребуется проверить в соответствующих системах и выполнить необходимые действия.

Если в компании одна CRM и несколько сотрудников, с этим обычно можно разобраться вручную. Но представим организацию с несколькими сайтами, клиентскими базами, внутренними порталами и подрядчиками, которые обслуживают отдельные системы. У каждого подразделения свои администраторы, свои правила доступа и свои задачи.

Ответственный за персональные данные направляет запрос в ИТ-отдел. Там выясняют, какие системы нужно проверить. Часть информации находится у маркетологов, часть — в CRM, ещё что-то осталось в старой базе после переноса сайта. Приходится писать коллегам, ждать ответы и собирать подтверждения. А если через месяц поступит похожий запрос, многие действия придется повторить.

Сложность не в том, что сотрудники плохо работают. Просто у них нет общего инструмента, в котором можно увидеть, какие процессы обработки существуют и кто за них отвечает. Один отдел подключил новый сервис, другой изменил интеграцию, третий начал хранить дополнительные сведения. Обо всех изменениях нужно узнавать отдельно.

Для таких задач мы разрабатываем собственный программный продукт, который помогает компаниям организовать управление обработкой персональных данных. С его помощью можно систематизировать информацию о процессах обработки ПДн, распределить ответственность между сотрудниками и контролировать выполнение связанных с ними задач. Это особенно актуально для организаций, где персональные данные используются сразу в нескольких корпоративных системах.

Автоматизация имеет смысл, когда ручная работа начинает занимать слишком много времени или компания перестаёт видеть полную картину обработки данных. При этом сначала всё равно придётся разобраться с существующими системами. Если неизвестно, куда сайт передает заявки и где хранятся их копии, никакая программа не восстановит эту информацию сама по себе.

 

Заключение

Согласие пользователя — только часть работы с персональными данными. После отправки формы информация может сохраняться в CRM, почте, базах данных и резервных копиях. Поэтому важно понимать, где находятся эти сведения, кто имеет к ним доступ и что происходит с ними после завершения обработки заявки.

Начать можно с проверки сайта через Cirbix и устранения обнаруженных замечаний. Если же персональные данные распределены между несколькими корпоративными системами, стоит отдельно разобраться с процессами их обработки и определить, какие из них имеет смысл автоматизировать.