Персональные данные и согласия на сайте: операционный чек-лист бизнеса

3 сентября 2026 · 4 мин чтения

Управление персональными данными начинается с карты фактических потоков, а не с копирования чужой политики. Бизнес должен знать, какие сведения собирает каждая форма и технология, для какой цели и основания, куда они передаются, сколько хранятся и как человек реализует свои права.

Юридические требования меняются и зависят от процесса. Этот материал помогает организовать работу, но не заменяет заключение специалиста по российскому праву и проверку конкретного сайта.

Коротко

• инвентаризируйте формы, cookies, SDK, логи и интеграции;
• для каждой цели зафиксируйте основание и минимальные данные;
• отделяйте обязательную обработку заказа от рекламы;
• храните доказательство согласия и версию текста, когда оно используется;
• не загружайте необязательный трекинг до принятого решения;
• ведите реестр получателей и поручений обработки;
• определите сроки удаления и ответ на запросы человека;
• повторяйте аудит после релизов и смены подрядчиков.

Реестр обработки

Процесс	Данные	Цель	Основание	Получатели	Срок	Владелец
Заказ		Исполнение покупки		OMS, доставка, оплата
Форма заявки		Ответ на запрос		CRM
Рассылка		Маркетинг		ESP
Аналитика		Измерение		Аналитические сервисы
Поддержка		Решение обращения		Helpdesk

Не используйте «улучшение сервиса» как универсальную цель. Формулировка должна позволять понять конкретное использование.

Согласие как доказуемое событие

Если процесс опирается на согласие, сохраняйте:

• кто или какой субъект его дал;
• дату и время;
• конкретные цели и данные;
• канал и интерфейс;
• версию текста;
• способ однозначного действия;
• срок, если применимо;
• отзыв и время прекращения обработки.

По актуальной редакции статьи 9 Федерального закона №152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а доказательство его получения лежит на операторе. Согласие оформляется отдельно от других подтверждаемых документов в предусмотренных законом случаях.

Формы сайта

Для каждой формы проверьте:

1. нужны ли все поля для заявленной цели;
2. видит ли человек оператора и цель;
3. не отмечен ли рекламный выбор заранее;
4. разделены ли разные цели;
5. совпадает ли фронтенд с фактическими получателями;
6. не попадают ли данные в URL, аналитику и общие логи;
7. работает ли отзыв или отписка;
8. что происходит при отказе CRM.

Чекбокс не исправляет сбор лишних данных и небезопасную интеграцию.

Cookies и внешние технологии

Сканер помогает обнаружить технические элементы, но не знает их реальную цель. Создайте реестр:

Технология	Поставщик	Категория	До выбора?	Данные/срок	Как отключается
		Необходимая/аналитика/реклама

Проверьте фактическое поведение до и после отказа, обновление скриптов через tag manager, передачу третьим лицам и трансграничные аспекты с профильным специалистом.

Изменения и подрядчики

Каждый новый виджет, пиксель, чат, CRM, запись сессий или A/B-платформа проходит privacy-gate до релиза:

• цель и данные;
• основание и интерфейс;
• поставщик и место обработки;
• договорные роли;
• безопасность и доступы;
• срок хранения;
• удаление/экспорт;
• обновление публичной информации;
• тестирование согласия.

Уход подрядчика включает отзыв доступов и решение о переданных копиях по договору и закону.

Запрос и инцидент

Назначьте канал для запросов субъекта, проверку личности, владельца, сроки и поиск по системам. Отдельно подготовьте процесс инцидента: обнаружение, ограничение, сохранение фактов, участие ответственных за право и безопасность, оценку уведомлений и исправление.

Не обещайте автоматически удалить то, что бизнес обязан хранить по другому основанию; ответ должен учитывать конкретный случай.

Типичные ошибки

• политика не соответствует реальному сайту;
• один чекбокс покрывает заказ и рекламу;
• согласие нельзя доказать по версии;
• отказ визуально или функционально сложнее согласия;
• новый скрипт появляется без инвентаризации;
• данные остаются у бывшего подрядчика;
• retention «навсегда»;
• юрист проверяет текст, но никто не тестирует код.

FAQ

Достаточно ли разместить политику конфиденциальности?

Нет. Документ должен соответствовать фактическим процессам, интерфейсам, основаниям, получателям, безопасности и выполнению прав.

Все cookies требуют согласия?

Правовой режим зависит от технологии, цели и контекста. Не объявляйте всё необходимым самостоятельно; проведите юридическую классификацию и техническую проверку.

Кто владелец темы?

Оператор данных. На практике нужна совместная работа бизнеса, юриста, privacy/security, маркетинга, продукта и разработчиков с одним ответственным координатором.

Источники

• Федеральный закон №152-ФЗ, статья 9
• Роскомнадзор: портал персональных данных
• NIST Privacy Framework

Проверено: 3 сентября 2026 года. Перед публикацией юридические формулировки следует повторно проверить.

Дальше: защита аккаунтов, матрица доступов и качество аналитики.

Pingvera может контролировать доступность privacy-страниц и поведение ключевых сценариев, но не определяет правовое основание обработки и не заменяет реестр данных.

Читайте также: Ping-Admin или Pingvera: что выбрать студии и владельцу сайта · Почему упали заказы: диагностика интернет-магазина · Подписанные вебхуки: откуда получатель знает, что это правда Pingvera · Проверка лендинга перед запуском рекламы · Бесплатно проверить сайт.