Персональные данные на сайте и в CRM: что проверить в 2026 году, чтобы не получить штраф

Форма заявки на сайте делает компанию оператором персональных данных — даже если в ней всего два поля. С 30 мая 2025 года штрафы за нарушения выросли в десятки раз, за повторную утечку теперь платят процент от выручки, а 2026 год стал временем, когда новые нормы начали применять на практике. Собрали чек-лист для компании с сайтом и CRM: без юридической теории, с тем, что можно проверить за вечер.

Какие штрафы действуют сейчас

Федеральный закон № 420-ФЗ переписал статью 13.11 КоАП. Главное изменение — штраф за утечку теперь зависит от того, сколько людей в ней пострадало, а повторная утечка наказывается оборотным штрафом.

Параллельно закон № 421-ФЗ ввёл уголовную ответственность за незаконное использование и передачу персональных данных. Для обычной компании это не повод для паники, но хороший повод навести порядок, пока не случилось ничего неприятного.

Что изменилось в требованиях

• Согласие — отдельным документом. С 1 сентября 2025 года согласие на обработку персональных данных нельзя «вшить» в оферту, договор или политику конфиденциальности. Это самостоятельный документ, который человек подтверждает отдельно.
• Локализация с первой записи. С 1 июля 2025 года данные граждан России нужно собирать сразу в базы на территории страны. Иностранные конструкторы форм и таблицы, куда заявка попадает первой, — прямой риск.
• Уведомление об утечке. О факте утечки нужно сообщить в Роскомнадзор в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов.

Чек-лист для сайта

• Уведомление в Роскомнадзор подано и актуально. Если с момента подачи поменялись цели обработки, состав данных или системы, где они хранятся, уведомление нужно обновить.
• Политика обработки совпадает с реальностью. В ней перечислены ваши формы, счётчики, CRM и подрядчики. Скопированная у конкурента политика не описывает ваш сайт.
• В каждой форме — отдельная галочка согласия. Не отмеченная заранее, со ссылкой на текст согласия. Согласие на рекламные рассылки — ещё одна отдельная галочка.
• Минимум полей. Для заявки хватает имени и телефона. Каждое лишнее поле — лишние данные, которые придётся защищать.
• Понятно, куда уходят данные из формы. На почту, в CRM, в файл журнала на сервере. Проверьте, что журналы и выгрузки не лежат в публичной папке и не открываются по прямой ссылке. Это классическая утечка без всякого взлома.
• Счётчики и виджеты перечислены. Уведомление о cookie на месте, а сторонние виджеты, капчи и чаты, которые получают данные посетителей, описаны в политике.
• HTTPS на всём сайте, включая страницы с формами и старые посадочные.

Чек-лист для CRM

• Права доступа по ролям. Менеджер видит свои сделки, выгрузка всей базы — только у руководителя.
• Уволенные отключены в день увольнения, пароли общих учёток и ключи интеграций заменены.
• Двухфакторная авторизация у всех, кто работает с клиентской базой.
• Ключи и вебхуки не в открытом виде. Если архив сайта с ключом интеграции куда-то пересылали, ключ стоит перевыпустить.
• Понятно, где физически хранятся данные. В облаке — у провайдера, и важно, в какой зоне зарегистрирован портал. В коробке — на вашем сервере, и за обновления, резервные копии и защиту отвечаете вы. Подробнее — в статье об облаке и коробке Битрикс24.
• ИИ-функции учтены. Расшифровка звонков и анализ переписки передают данные ИИ-сервису. Это тоже обработка персональных данных, и она должна быть отражена в документах — особенно если вы включили BitrixGPT.
• Резервные копии под контролем: известно, где они лежат, кто имеет к ним доступ и зашифрованы ли они.

Подрядчики, аналитика и все, кто видит данные

Персональные данные обрабатывает не только ваша компания. Их видят разработчик сайта, интегратор CRM, колл-центр, сервис рассылок, IP-телефония. С каждым, кто обрабатывает данные по вашему поручению, нужен договор с условиями поручения обработки, а в политике — упоминание, что такие подрядчики есть.

Отдельная история — системы аналитики. Яндекс Метрика с вебвизором записывает действия посетителей и, в зависимости от настроек, может сохранять то, что они вводят в формы. Проверьте в настройках счётчика, что содержимое полей с телефоном и email не записывается, а сам счётчик упомянут в политике и в уведомлении о cookie.

• Составьте список всех систем, куда попадают данные клиентов: сайт, CRM, почта, телефония, рассылки, мессенджеры, таблицы.
• Для каждой отметьте, кто к ней имеет доступ и где физически хранятся данные.
• Уберите лишние копии: выгрузки в личных папках, старые таблицы, архивы переписки на ноутбуках уволенных сотрудников.

Если утечка всё-таки случилась

• Закройте источник: уберите файл из открытого доступа, отзовите ключи, заблокируйте скомпрометированные учётные записи.
• Зафиксируйте, чьи данные и сколько записей затронуто, — от этого зависит размер штрафа.
• В течение 24 часов уведомите Роскомнадзор, в течение 72 часов — сообщите о результатах расследования.
• Разберите причину и закройте её системно, а не только в одном месте.

Эта статья — практический чек-лист, а не юридическая консультация. Тексты согласия и политики обработки лучше согласовать с юристом, который знает вашу отрасль.

Частые вопросы