Форма обратной связи на сайте: даже «имя и телефон» — это персональные данные

Короткий ответ: обязанности возникают, даже если полей всего два

Да. Обычная форма «Имя / Телефон / Сообщение» уже делает владельца сайта оператором персональных данных. Не потому, что форма какая-то особенная, а потому что закон считает обработкой практически любое действие с данными, включая сам сбор и хранение (п. 3 ст. 3 152-ФЗ), а оператором — любого, кто эту обработку организовал, в том числе физлицо и индивидуального предпринимателя (п. 2 ст. 3).

Обратная связь на сайте закон в отдельную «лёгкую» категорию не выделяет: режима «у меня всего два поля, поэтому мне можно ничего не делать» в 152-ФЗ просто не существует. Практически это значит, что рядом с формой и на сайте должно появиться пять вещей:

• опубликованная на сайте политика обработки персональных данных (ч. 2 ст. 18.1 152-ФЗ);
• корректное правовое основание — согласие или другое основание из ст. 6 152-ФЗ;
• конкретная цель, ради которой вы вообще собираете заявки (ч. 2 ст. 5 152-ФЗ);
• понятный срок хранения и удаление заявок, когда цель достигнута (ч. 7 ст. 5 152-ФЗ);
• уведомление Роскомнадзора, поданное до начала обработки (ч. 1 ст. 22 152-ФЗ).

Дальше — почему это так, а в конце таблица-образец, с которой можно построчно сверить свою форму.

Форма обратной связи и персональные данные: почему «имя + телефон» — это ПДн

Закон определяет персональные данные не списком полей, а критерием: это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 152-ФЗ). Закрытого перечня «вот это ПДн, а это нет» в законе нет вообще. Поэтому спор «сколько у меня полей» бессмысленен: вопрос всегда один — можно ли по собранным сведениям выйти на конкретного человека.

И вот здесь ключевое. В типовой форме телефон стоит рядом с именем. По отдельности номер ещё ни на кого не указывает, но по паре «Иван Петров + его номер» человек уже определяем. Именно связка, а не отдельное поле, вводит форму в поле действия 152-ФЗ. Поэтому фраза «имя и телефон это персональные данные» верна применительно к вашей форме, а безапелляционное «любой телефон — всегда ПДн» юридически неточно.

Определяемость дают и другие вещи — e-mail с фамилией в адресе, фотография, идентификатор в аналитике. Если нужно разобраться, что считается персональными данными на сайте, а что нет, это отдельный разговор; здесь мы держимся полей формы.

Маленькая форма — те же обязанности: закон не даёт скидку за объём

Самое частое возражение звучит так: «у меня же не база клиентов, а три строчки». Но порога «от N полей» в законе нет. Обработкой считается уже сам сбор, а оператором становится любой, кто её организовал, — размер бизнеса, наличие юрлица и количество заявок в месяц на это не влияют.

Объём данных влияет на другое: не на факт появления обязанностей, а на их количество и цену ошибки. Чем больше вы собрали, тем больше требований к вам цепляется и тем неприятнее последствия утечки. В этом смысле минимальная форма и персональные данные — вполне рабочее сочетание: обязанности те же самые, а рисков заметно меньше.

Из того же принципа следует вещь, о которой почти никто не думает: заявки нельзя хранить бесконечно «в архиве». Хранение допускается не дольше, чем требуют цели обработки, а по достижении цели данные подлежат уничтожению или обезличиванию (ч. 7 ст. 5 152-ФЗ).

Нужно ли согласие в форме обратной связи

Вопреки распространённому мнению, согласие — не единственный вариант. Обработка законна при наличии любого из оснований ч. 1 ст. 6 152-ФЗ, и согласие — лишь одно из одиннадцати (п. 1 ч. 1 ст. 6). Рядом с ним есть основание, которое подходит формам напрямую: обработка необходима для исполнения договора, стороной которого является субъект, а также для заключения договора по его инициативе (п. 5 ч. 1 ст. 6).

Отсюда рабочее правило. Если форма нужна только чтобы ответить на заявку или оформить заказ — можно без отдельного согласия. Как только цели выходят за рамки «ответить клиенту» — рассылки, передача третьим лицам, хранение «на будущее», обогащение аналитики — согласие обязательно.

Есть и тонкость, которую честнее назвать вслух: спорно, считается ли вопрос «а сколько это стоит?» заключением договора. Именно поэтому на практике безопаснее чекбокс поставить — он закрывает спор до того, как тот возникнет. При этом категоричное «нет галочки — значит, штраф» юридически неточно.

Если согласие берётся, оно должно быть свободным, конкретным, информированным, сознательным и однозначным (ч. 1 ст. 9 152-ФЗ). Хорошая новость: письменная форма не нужна — согласие может быть дано в любой форме, позволяющей подтвердить факт его получения, и отметка в веб-форме этому соответствует. А перечень обязательных сведений (ФИО, паспортные данные, подпись) относится к письменному согласию (ч. 4 ст. 9), а не к галочке на сайте. Детали — в разборе, как оформить чекбокс в форме заявки.

Что ещё требует 152-ФЗ от владельца формы

Форма обратной связи и 152-ФЗ связаны не одним пунктом про согласие. Вот остальное — коротко, по абзацу на обязанность.

Политика на сайте. Оператор, собирающий данные через интернет, обязан опубликовать на страницах своего сайта документ, определяющий политику обработки персональных данных, и обеспечить к нему доступ (ч. 2 ст. 18.1 152-ФЗ). Не PDF по запросу и не «пришлём по почте» — открытая страница со ссылкой рядом с формой. Что именно в неё входит, разобрано отдельно: что должно быть в политике конфиденциальности.

Конкретная цель. Цель формулируется до сбора, а не «потом придумаем»: обработка ограничивается достижением конкретных, заранее определённых и законных целей, а использовать данные способом, несовместимым с целью сбора, нельзя (ч. 2 ст. 5). «Обработка обращения и связь с пользователем» — нормальная цель. «Маркетинговые активности», придуманные задним числом, — уже нет.

Срок хранения и удаление. По достижении цели обработки данные уничтожаются в срок не более 30 дней (ч. 4 ст. 21 152-ФЗ). Согласие человек может отозвать в любой момент (ч. 2 ст. 9), и после отзыва на удаление тоже отводится не более 30 дней (ч. 5 ст. 21). Практический смысл: должно быть понятно, кто и как чистит CRM и почтовый ящик со старыми заявками.

Уведомление Роскомнадзора. Оператор обязан уведомить ведомство о намерении обрабатывать персональные данные до начала обработки (ч. 1 ст. 22). Возражение «у меня же мелочь» здесь не работает: пункты 1–6 ч. 2 ст. 22 утратили силу с 1 сентября 2022 (266-ФЗ от 14.07.2022), исключений осталось три, и единственное «бытовое» из них — обработка исключительно без использования средств автоматизации. Форма на сайте — это по определению автоматизированная обработка, под исключение она не попадает.

Где лежат заявки. Запись, накопление и хранение данных граждан России с использованием баз за пределами РФ не допускаются (ч. 5 ст. 18 152-ФЗ): заявки не должны падать напрямую в зарубежный сервис как в первичную базу. Есть ещё внутренние организационные меры оператора (ч. 1 ст. 18.1), но для небольшого сайта они идут после списка выше.

Как выглядит минимальная корректная форма обратной связи

Теперь самое полезное. Ниже — образец, с которым можно построчно сверить то, что стоит у вас на сайте прямо сейчас. Каждая строка — проверяемый пункт, а не пожелание.

Обратите внимание: корректная форма выглядит почти так же, как обычная. Разница — в четырёх мелочах: написана цель, стоит непредзаполненная галочка, рядом работает ссылка на политику, а факт отправки где-то фиксируется. На типовом сайте это работа на час-полтора вместе с правкой политики.

Что бывает, если ничего не менять

Массовая практика выглядит не как «пришли и оштрафовали». Роскомнадзор ведёт контроль в форме наблюдения за соблюдением обязательных требований и выездных обследований, а также профилактические мероприятия — информирование, предостережение, консультирование, профилактический визит. Типовой сценарий для небольшого сайта — предписание по итогам автоматизированного мониторинга с коротким сроком на устранение; санкция приходит уже за неисполнение.

Пример ровно того же масштаба, что у большинства читателей: детская школа искусств собирала данные через форму обратной связи в «интернет-приёмной», а политику обработки на сайте не разместила. Директора привлекли по ч. 3 ст. 13.11 КоАП — и назначили предупреждение (Постановление Хасынского районного суда Магаданской области от 22.03.2024 по делу № 5-28/2024, по подборке КонсультантПлюс). Это не абстракция, но и не катастрофа.

Если всё же о деньгах — одной строкой: отсутствие доступной политики стоит юрлицу 30 000–60 000 ₽ (ч. 3 ст. 13.11 КоАП), а обработка вне предусмотренных законом случаев или несовместимая с целями сбора, куда попадает дефектное согласие на обычной веб-форме, — 150 000–300 000 ₽ (ч. 1 ст. 13.11). Суммы действуют с 30 мая 2025 после 420-ФЗ от 30.11.2024.

Итог простой. Обязанности возникают из-за самого факта сбора, а не из-за количества полей. Закрываются они не месяцами юридической работы, а несколькими правками: цель, галочка, ссылка на политику, фиксация отправки, уведомление в Роскомнадзор. Сверьтесь с таблицей выше и начните с того, что не закрыто.