Битрикс24 и 152-ФЗ: где хранятся персональные данные клиентов

Заявка ушла в Битрикс24: 152-ФЗ и персональные данные клиента

Интегратор поднял портал за день, поставил на сайт CRM-форму и чат, заявки пошли в воронку. Юриста в этой цепочке не было ни разу. А между тем в связке «Битрикс24, 152-ФЗ и персональные данные» произошло вполне конкретное юридическое событие: имя, телефон и e-mail клиента — это персональные данные, и вы передали их для обработки другому юрлицу.

Это не «техническая настройка», а передача данных третьему лицу, и по закону у неё должно быть основание — поручение на обработку по ч. 3 ст. 6 152-ФЗ. Дальше по разделам: где физически лежат данные, попадает ли ваш случай под локализацию, что написано в поручении вендора и как настроены формы и каналы. Речь идёт про CRM Битрикс24 — облако или коробку, а не про CMS «1С-Битрикс: Управление сайтом», это другой продукт.

Где хранятся данные Битрикс24: облако, коробка и портал на bitrix24.com

Свой сценарий определяется за десять секунд — посмотрите на адрес портала. По умолчанию Битрикс24 выдаёт адрес вида b24-xxxxxx.bitrix24.ru; поддомен можно переименовать, а на тарифе «Профессиональный» и выше — подключить свой домен. Зона .ru против .com — не косметика: за ними разные юрлица и разное применимое право.

Для облака в зоне .ru вендор публично называет площадки: по состоянию на 30.08.2026 это три физические площадки АО «Корп Софт» и три площадки ООО «Цифровое облако» (VK Cloud), все в Москве, а справка вендора прямо ссылается на п. 5 ст. 18 152-ФЗ. Заявлено шифрование TLS 1.3 в сочетании с AES-256.

В коробке данные лежат у вас — вместе с обязанностями: меры защиты по ст. 19 и вопрос локализации (где сервер, где бэкапы) целиком на владельце, а рядом появляется новый обработчик — хостер. При этом часть функций (контакт-центр, мессенджеры, телефония) всё равно работает через серверы вендора: это прямо следует из текста поручения.

Битрикс24 и локализация данных: когда включается ч. 5 ст. 18

Норма короткая и жёсткая: при сборе персональных данных, в том числе через интернет, запись, накопление, хранение и извлечение данных граждан России в базах за пределами страны не допускаются — с закрытым перечнем исключений. Такая формулировка действует с 1 июля 2025 года, а подробный разбор самого требования — в статье локализация персональных данных по 242-ФЗ.

Российское облако этот вопрос закрывает: в поручении записано, что обработка идёт «с использованием баз данных, расположенных на территории Российской Федерации» (п. 3.6). Для коробки ответ зависит только от вас — где стоит сервер и куда уезжают резервные копии.

А вот bitrix24.com — это не «та же CRM с другим доменом».

Практический смысл: если портал в зоне .com, включаются сразу ч. 5 ст. 18 (локализация) и ч. 6 ст. 6 — за действия иностранного обработчика перед клиентом отвечают уже двое, вы и он. В Privacy Policy bitrix24.com для европейских доменных зон указано хранение во Франкфурте на мощностях Amazon Web Services, упоминаний России и 152-ФЗ там нет. Совет здесь не «как обойти», а «выясните свой сценарий и обсудите его с вендором или интегратором».

Битрикс24 и обработка персональных данных: что в поручении вендора

Роли простые: оператор — тот, кто определяет цели, то есть вы; обработчик — тот, кто обрабатывает данные по вашему поручению. Отсюда два следствия. Обработчик не обязан получать согласие субъекта (ч. 4 ст. 6) — Битрикс24 не собирает согласия за вас. И перед клиентом за его действия отвечает оператор (ч. 5 ст. 6) — то есть снова вы.

Поручение по ч. 3 ст. 6 должно содержать девять обязательных условий — от перечня данных и целей до требований ст. 19 и уведомления оператора об инцидентах. Полный разбор условий и чек-лист договора — в статье поручение на обработку персональных данных третьим лицам.

Главное отличие Битрикс24 от многих вендоров: поручение на обработку персональных данных у него опубликовано публично, редакция на странице — от 14 августа 2026 года. Оператор по документу — администратор портала, Обработчик — ООО «1С-Битрикс» (ИНН 7717586110). Внутри есть цели (п. 1.2, отдельно для облака и коробки), перечень данных (Ф. И. О., e-mail, телефон, IP-адрес, необходимые cookies), перечень действий, конфиденциальность (п. 3.3), ссылка на ч. 5 ст. 18, ст. 18.1 и ст. 19 (п. 5.1) и локализация (п. 3.6).

ООО «1С-Битрикс» есть и в реестре операторов Роскомнадзора (№ 77-18-010056 от 17.04.2018). Но чужая регистрация в реестре не заменяет ваших обязанностей и сама по себе не является поручением.

Что стоит знать про этот документ — без обвинений в адрес вендора. По п. 8.4 он вправе менять условия в одностороннем порядке, поэтому копию актуальной редакции держите у себя. Ссылка на перечень привлекаемых третьих лиц есть (п. 3.2), но отдельного сводного реестра субобработчиков по ней на 30.08.2026 нет — при аудите это стоит запросить. И третий момент — про инциденты.

И ловушка, на которой путаются регулярно: на сайте вендора есть ещё два документа со словом «согласие», но это согласия клиентов самого вендора в его пользу. Ваших посетителей они не касаются и ваши обязанности не закрывают.

CRM-форма Битрикс24 и согласие: что настроить на сайте

Форма попадает на сайт кодом, который выдаёт сам портал («Возможности формы → Поделиться»); показать её можно блоком на странице, всплывающим окном по клику или автоокном через заданное время. Заполненная форма отправляет данные сразу в CRM. И вот здесь чаще всего теряются доказательства согласия.

В конструкторе есть вкладка «Соглашения», и чекбокс настраивается четырьмя способами:

• обязательно, отмечено автоматически;
• обязательно, с обязательным чтением полного текста;
• не обязательно, отмечено по умолчанию;
• не обязательно, не отмечено по умолчанию.

Посчитайте: два режима позволяют отправить форму вообще без отметки согласия, а ещё один ставит галочку за клиента. По ч. 1 ст. 9 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным — заранее проставленная или необязательная галочка этому не отвечает. Прямого запрета преднажатого чекбокса в законе нет, это вывод из нормы. Безопасный вариант один: обязательный чекбокс, не отмеченный заранее, со ссылкой на полный текст — как его оформить, разбирали в материале про чекбокс согласия в форме.

Мало включить соглашение — его надо дозаполнить. Шаблон вендора приходит с пустыми полями: сокращённое наименование организации, цели обработки со сроками, «Компании, которым вы передаёте персональные данные» (с полным названием, ИНН и адресом) и e-mail для жалоб. Поле про компании-получатели — ровно то место, где вы называете обработчика: перечень п. 6 ч. 4 ст. 9 требует наименование и адрес лица, обрабатывающего данные по поручению. Формально эта норма про письменное согласие, поэтому для веб-формы считайте её эталоном содержания.

Хорошая новость: если соглашение подключено, портал фиксирует дату согласия, IP клиента, источник и адрес страницы, а данные из списка полученных согласий удалить нельзя. Это готовое доказательство. Если не подключено — доказывать нечем.

Отдельная строка: согласие на рекламную рассылку — другая настройка и другое согласие (ст. 18 38-ФЗ). Включается в «Маркетинг → Ещё → Настройки → Дополнительно».

Открытые линии, телефония и Маркетплейс: где ещё возникают обязанности

Периметр шире одной формы. Есть три ручные настройки, которые почти никто не включает, — а пока они выключены, данные собираются молча.

1. Открытые линии: Контакт-центр → нужная линия → «Настроить» → вкладка «Соглашения» → «Отправить предупреждение о сборе персональных данных». Есть встроенный пример текста для России, Беларуси и Казахстана.
2. Телефония: опция «Проигрывать предупреждение о начале записи при входящем звонке» по умолчанию выключена. Вендор сам добавляет: убедитесь, что запись разговоров не нарушает законодательство вашей страны.
3. Маркетинг: чекбокс «Включить запрос согласия на получение рассылок».

В чате согласие работает как блокирующее: клиент нажимает «Принимаю», а при отказе сообщение остаётся неотправленным и диалог не начинается. Согласие фиксируется с датой, профилем, источником и адресом страницы.

С записями звонков нюанс: они хранятся в детализации звонков и на Диске, срок хранения не ограничен, удалить их можно только вручную. А ст. 5 152-ФЗ требует хранить данные не дольше, чем этого требуют цели обработки: такой срок должен установить владелец, автоматически он не появится.

Наконец, каждый подключённый канал и приложение — новый получатель данных, которого выбрали вы. В поручении так и написано (п. 7.1.2): обработчик передаёт данные «поставщикам сервисов маршрутизации и доставки сообщений и иным лицам, которых Оператор определяет самостоятельно посредством использования интерфейса Программы». Приложения Маркетплейса получают доступ к данным портала — в карточке приложения есть блок «Безопасность» со списком инструментов. И проверять это не добрая воля: внутренний контроль и аудит обработки — прямая обязанность оператора (п. 4 ч. 1 ст. 18.1).

Чек-лист «проверьте за 20 минут» и цена вопроса

Откройте портал, свой сайт и поданное уведомление в Роскомнадзор — и пройдите по восьми строкам.

Про уведомление скажем отдельно, миф живучий. Подключение Битрикс24 само по себе не создаёт обязанности «вписать вендора в уведомление»: в форме уведомления (приложение № 1 к приказу РКН от 28.10.2022 № 180) поле про договорных обработчиков предусмотрено только для государственных и муниципальных систем. А вот при переезде данных реально меняются сведения о трансграничной передаче (п. 10 ч. 3 ст. 22) и о месте нахождения базы данных (п. 10.1) — тогда уведомление актуализируют не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7). Формулировка «десять рабочих дней» устарела ещё в 2022 году.

Цена вопроса — одним абзацем. Отдельного состава «нет поручения» или «не настроено соглашение в CRM-форме» в КоАП не существует; на практике такие ситуации относят к ч. 1 ст. 13.11 КоАП — обработка персональных данных в случаях, не предусмотренных законодательством: для юрлиц 150 000–300 000 ₽, для должностных лиц и ИП — 50 000–100 000 ₽ (по этой части предприниматель отвечает как должностное лицо, а не как организация).

Итог: Битрикс24 — легальный российский инструмент с публично опубликованным поручением и названными площадками хранения. Вопрос не в сервисе, а в четырёх вещах на вашей стороне: сценарий размещения, документы, настройки форм и настройки каналов. Все четыре проверяются за один вечер.

Материал носит информационный характер и не является юридической консультацией. Сведения о документах и настройках вендора приведены по состоянию на 30 августа 2026 года.