Если сайт собирает данные клиентов через формы заявок и передает их в CRM (Bitrix24, amoCRM, собственную систему), это обработка персональных данных в смысле 152-ФЗ. Согласие, оформленное "на всякий случай" одной строкой под кнопкой "Отправить", в большинстве случаев юридически не работает - оно не содержит обязательных элементов и не подтверждает волю субъекта. Разберем, как оформить согласие на обработку ПДн в CRM так, чтобы оно выдержало проверку Роскомнадзора и не создавало рисков штрафа.
Коротко
- Согласие на обработку ПДн - отдельный документ или отдельное действие, а не пункт в пользовательском соглашении.
- Обязательные элементы согласия перечислены в ст. 9 152-ФЗ - без них согласие считается неполученным.
- Форма заявки, чекбокс, CRM-поля и Политика обработки ПДн должны быть согласованы между собой.
- С 30 мая 2025 года за нарушения по обработке ПДн действуют оборотные штрафы по ч. 3.2 ст. 13.11 КоАП.
- Отзыв согласия и удаление данных из CRM - обязанность оператора, а не право по желанию.
Какое согласие нужно для передачи данных в CRM
Если данные из формы сайта автоматически попадают в CRM, оператором остается владелец сайта, а CRM-сервис - как правило, обработчик по поручению (ст. 6 и ст. 9 152-ФЗ применяются к оператору). Согласие должно охватывать весь путь данных: от заполнения формы до хранения в карточке клиента и возможной передачи менеджерам, колл-центру или партнерам.
Отдельно нужно смотреть на цель обработки. Если в CRM данные используются не только для обработки заявки, но и для рассылок, ретаргетинга или скоринга, для каждой цели нужно либо отдельное согласие, либо явное перечисление всех целей в одном документе - формулировка "для любых целей" не соответствует требованиям ст. 9.
Обязательные элементы согласия
Перечень обязательных сведений закреплен в ч. 4 ст. 9 152-ФЗ. Ниже - минимальный состав, который должен быть в тексте согласия или в форме его получения.
| Элемент | Что указать |
|---|---|
| Оператор | Наименование, ИНН, адрес компании, использующей CRM |
| Цель обработки | Обработка заявки, консультация, продажа, рассылка - каждая цель отдельно |
| Перечень данных | ФИО, телефон, email и другие поля формы, которые попадают в CRM |
| Действия с данными | Сбор, хранение, использование, передача обработчику (CRM-сервису) |
| Срок действия | Конкретный срок или условие прекращения (например, до отзыва) |
| Порядок отзыва | Способ и адрес для направления отзыва согласия |
Если хотя бы один пункт отсутствует, согласие считается неполным, а обработка данных, выходящая за рамки указанного, - обработкой без надлежащего согласия.
Способы получения согласия в форме на сайте
Технически согласие оформляется как активное действие пользователя, а не предустановленная галочка. Ниже - распространенные варианты и их особенности при интеграции с CRM.
| Способ | Особенность для CRM |
|---|---|
| Чекбокс с текстом согласия | Ссылка на полный текст, чекбокс не должен быть отмечен по умолчанию |
| Отдельная страница согласия | Открывается по ссылке, факт прочтения фиксируется отдельным полем |
| Электронная подпись / SMS-код | Используется при высокорисковой обработке, например при скоринге |
| Согласие в личном кабинете | Применимо, если CRM выступает витриной для клиента (портал заказов) |
Важно, чтобы поля CRM, куда попадают данные из формы, соответствовали именно тому перечню, на который дано согласие. Если в CRM дополнительно сохраняются данные из открытых источников или сторонних сервисов (например, соцсети клиента), для этого нужно отдельное основание по ст. 22.1 152-ФЗ, если оно применимо к конкретной ситуации.
Хранение, отзыв и уничтожение данных
Согласие не бессрочно и не безусловно. Субъект вправе отозвать его в любой момент, направив уведомление оператору (ст. 9, ч. 2 ст. 9 152-ФЗ). После отзыва оператор обязан прекратить обработку и, если отсутствуют иные законные основания для хранения, уничтожить данные в установленный срок (ст. 21, включая ч. 4 ст. 21 - для случаев отсутствия возможности уничтожения в общий срок применяется правило блокировки данных до уничтожения).
Для CRM это означает, что должен быть регламент: кто в компании отвечает за обработку заявок на отзыв согласия, как быстро данные блокируются в карточке клиента и в каком порядке физически удаляются из базы, резервных копий и интеграций (email-рассылки, аналитика, коллтрекинг).
- назначьте ответственного за обработку запросов на отзыв согласия (см. также обязанности по ст. 18.1 и ст. 19 152-ФЗ по организации защиты данных);
- определите срок блокировки и уничтожения данных в CRM после отзыва;
- исключите ситуацию, когда отозванные контакты продолжают получать рассылки из-за рассинхронизации CRM и сервиса email-маркетинга.
Ответственность за нарушения
Основные составы, применимые к некорректному согласию и обработке данных в CRM, - ст. 13.11 КоАП РФ. С 30 мая 2025 года для ряда нарушений введены оборотные штрафы, привязанные к выручке компании, что существенно повышает цену ошибки для сайтов с большим потоком заявок.
| Норма | Суть нарушения |
|---|---|
| ч. 1 ст. 13.11 КоАП | Обработка ПДн без законных оснований или с превышением заявленных целей |
| ч. 2 ст. 13.11 КоАП | Обработка ПДн без письменного согласия в случаях, когда оно обязательно |
| ч. 2.1 ст. 13.11 КоАП | Невыполнение обязанности по уточнению, блокированию или уничтожению данных |
| ч. 3.2 ст. 13.11 КоАП | Повторное нарушение - оборотный штраф от выручки оператора |
| ч. 8, ч. 9 ст. 13.11 КоАП | Нарушения, связанные с локализацией и утечкой данных |
Дополнительно стоит учитывать требования ст. 18 (в том числе ч. 5 - об уведомлении Роскомнадзора о начале обработки в предусмотренных случаях), ст. 20 (порядок предоставления сведений субъекту) и ст. 23 (полномочия уполномоченного органа по защите прав субъектов ПДн) - они формируют общий контекст, в котором работает форма согласия на сайте.
Что проверить у себя на сайте
- чекбокс согласия не отмечен по умолчанию и требует активного действия пользователя;
- текст согласия содержит все элементы из ч. 4 ст. 9: оператор, цель, перечень данных, действия, срок, порядок отзыва;
- перечень данных в тексте согласия совпадает с полями формы и полями карточки CRM;
- для каждой самостоятельной цели обработки (заявка, рассылка, скоринг) есть отдельная формулировка или отдельное согласие;
- указано, что данные передаются обработчику - CRM-сервису, с которым заключен договор поручения;
- на сайте есть работающая ссылка на актуальную редакцию Политики обработки персональных данных;
- есть понятный способ отзыва согласия и внутренний регламент удаления данных из CRM;
- формы заявок не собирают данные сверх заявленного перечня (лишние поля без обоснования);
- интеграции CRM с рассылками и аналитикой не сохраняют данные отозвавших согласие клиентов.
Частые вопросы
Нужен ли отдельный документ согласия, если есть Политика обработки ПДн?
Да. Политика описывает общие принципы и права оператора, а согласие - это волеизъявление конкретного субъекта на конкретную обработку. Один документ не заменяет другой.
Можно ли использовать одно согласие для формы заявки и для рассылки?
Можно, если в тексте прямо перечислены обе цели и субъект видит, на что именно соглашается. Формулировки общего характера без разделения целей рискованны.
Что делать, если CRM хранит данные дольше, чем указано в согласии?
Нужно либо сократить фактический срок хранения до заявленного, либо изменить условия согласия и повторно получить его у субъектов - задним числом легализовать превышение срока нельзя.
Достаточно ли согласия, полученного через мессенджер или соцсеть, если заявка потом попадает в CRM с сайта?
Форма фиксации может быть разной, но требования к содержанию согласия (ст. 9) едины независимо от канала - важно, чтобы факт согласия можно было подтвердить.
Кто отвечает за нарушение - владелец сайта или разработчик CRM-интеграции?
Отвечает оператор персональных данных, то есть компания, в интересах которой собираются данные, даже если техническую интеграцию делал подрядчик.
Форма согласия - это не формальность для юристов, а часть воронки продаж: от нее зависит, какие данные вообще можно законно использовать в CRM.
Если хотите свериться с актуальным перечнем обязательных документов для сайта, можно посмотреть список необходимых документов по 152-ФЗ или пройти бесплатную проверку сайта - без обязательств, просто чтобы увидеть текущую картину.