Если совсем коротко, обязательств здесь пять, и все они на владельце сайта, а не на сервисе записи.
- Оператор — вы, даже если данные не попадали на ваш сервер.
- Основание — согласие или исполнение договора с клиентом; с 1 сентября 2025 года согласие оформляется отдельно от других документов.
- Договор с сервисом записи — поручение обработки с обязательным составом условий.
- Политика — открывается со страницы, где стоит форма или виджет, а не только из подвала.
- Уведомление об обработке — в нём указывают того, кто обрабатывает данные по вашему поручению; подключили сервис — обновите сведения.
Что происходит после нажатия кнопки «Записаться»: цепочка из шести звеньев
Онлайн-запись и бронирование на сайте по 152-ФЗ устроены одинаково в любой нише. Запись к мастеру, бронь столика, номера, корта, слота на мойку, места в детской группе — механика одна: человек оставляет контакты и выбирает время у конкретного специалиста или ресурса.
Владелец видит одно звено — кнопку. На деле их шесть, и в каждом данные клиента существуют отдельно: их можно открыть, скопировать, выгрузить и потерять независимо от остальных.
| Звено цепочки | Что происходит с данными | Чем закрывается |
|---|---|---|
| Форма или виджет записи на сайте | сбор: имя, телефон, услуга, время, комментарий | согласие или договорное основание + политика на этой странице |
| Личный кабинет сервиса записи | хранение в чужой инфраструктуре | договор-поручение с обязательным составом условий |
| Выгрузка в CRM | передача в ещё одну систему | поручение со второй системой, сведения о ней в уведомлении |
| Сообщение администратору в мессенджер | хранение на личном устройстве | правила доступа; отдельный вопрос — чей это аккаунт |
| Экспорт в таблицу «на всякий случай» | накопление вне контура сервиса | срок хранения и удаление по достижении цели |
| Напоминания и рассылки клиентам | использование данных для сообщений | напоминание — по договорённости; реклама — только с отдельного согласия абонента |
Закон не различает «свой сервер» и «чужое облако»: обработка — это любое действие с данными, от сбора и хранения до передачи и уничтожения, с автоматизацией и без (п. 3 ст. 3 152-ФЗ). Достаточно того, что сбор организовали вы.
Чаще всего дыра — в последних двух звеньях. Сообщение в мессенджер и выгрузку в таблицу никто не считает обработкой, а именно там база живёт дольше всего и уезжает вместе с уволившимся администратором. Одной строкой: с 11 декабря 2024 года действует ст. 272.1 УК РФ о незаконных сборе, хранении и передаче компьютерной информации с персональными данными. Звенья разные, а вопрос один: кто отвечает перед клиентом.
Онлайн-запись на сайте: чьи это персональные данные и кто здесь оператор
Частое возражение: «данные не проходят через мой сайт — значит, я не оператор». Но онлайн-запись на сайте и персональные данные клиентов привязаны не к серверу, а к решению. Оператор — тот, кто организует обработку и определяет её цели, состав данных и действия с ними (п. 2 ст. 3 152-ФЗ). Вы решили собирать записи, выбрали поля формы, задали цель «записать клиента на услугу» — этого достаточно. Статус оператора не зависит и от того, есть вы в реестре Роскомнадзора или нет: об этом прямо сказано в официальном FAQ регулятора.
Главное в теме: перед клиентом за действия сервиса записи отвечаете вы. По ч. 5 ст. 6 152-ФЗ ответственность перед субъектом персональных данных за действия лица, которому поручена обработка, несёт оператор; само это лицо отвечает уже перед оператором. Обещание «мы гарантируем безопасность» из оферты сервиса работает внутрь договора, а не наружу — к вашему клиенту. Если сервис записи иностранный, перед клиентом отвечают оба (ч. 6 ст. 6).
Отдельная развилка — агрегаторы услуг, через которые тоже идёт запись. Критерий из того же п. 2 ст. 3: если площадка сама решает, какие данные собирать, ведёт личный кабинет пользователя и использует данные для своих целей, она действует как самостоятельный оператор — и ролей в цепочке две. Если выполняет только ваши инструкции ради вашей цели — это обработчик. Официального разъяснения, которое распределяло бы роли между сайтом исполнителя и агрегатором записи, нет; статус «владелец агрегатора информации о товарах (услугах)» из закона о защите прав потребителей сюда не подходит — это другой закон и другие обязанности.
Виджет онлайн-записи и согласие: что изменилось с 1 сентября 2025 года
Виджет онлайн-записи и согласие уживаются плохо по одной причине: интерфейс чужой. Чекбокс, если он есть, рисует сервис, текст под ним пишет сервис, отметку о нажатии хранит сервис. А доказывать, что согласие получено, обязан оператор — то есть вы (ч. 3 ст. 9 152-ФЗ). Форма согласия по закону любая, лишь бы позволяла подтвердить факт получения, — вот это «подтвердить» и упирается в чужой интерфейс.
Оснований, кстати, два. Обработка допускается с согласия клиента (п. 1 ч. 1 ст. 6 152-ФЗ) либо когда она необходима для исполнения договора, стороной или выгодоприобретателем по которому он является (п. 5 ч. 1 ст. 6). Запись на услугу часто укладывается во второе основание — но оно покрывает только то, что нужно для самой услуги, и не покрывает рассылки, аналитику и передачу данных «просто так». И не отменяет ни политики, ни уведомления.
С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые клиент подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ в редакции ст. 5 ФЗ от 24.06.2025 № 156-ФЗ). Само согласие при этом должно быть конкретным, предметным, информированным, сознательным и однозначным. Вывод для формы записи: одна галочка «согласен с политикой, офертой и на обработку данных» больше не годится — нужны минимум два разных действия или два разных документа.
Если виджет не даёт править чекбокс, честных вариантов два: менять настройки на стороне сервиса или переносить точку согласия на свою страницу, до открытия окна записи. У виджета записи предмет разговора шире, чем у чат-окна: там клиент оставляет имя и контакт, здесь добавляются услуга, специалист и время. Соседнюю точку сбора мы разбирали в материале про чат-виджеты и кнопки обратного звонка без согласия.
Проверьте виджеты и формы записи на вашем сайте: проверка пройдёт по страницам и покажет, где стоят формы, есть ли рядом чекбокс согласия и какие сторонние сервисы подгружаются.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтФорма записи к специалисту: какие данные вы собираете на самом деле
Форма записи к специалисту собирает данные, о которых владелец не думает как о данных. Имя и телефон очевидны, дальше начинается неочевидное.
- имя, иногда фамилия и отчество;
- телефон или e-mail;
- выбранная услуга;
- конкретный специалист или ресурс: мастер, врач, кабинет, корт, столик;
- дата и время визита;
- комментарий свободным текстом;
- отраслевые поля: дата рождения, номер автомобиля, адрес, имя и возраст ребёнка.
Ценность несут не поля по отдельности, а их сочетание. «Имя + телефон + врач-эндокринолог + вторник, 15:00» — уже не нейтральный набор контактов. Связка «услуга + специалист» говорит о человеке больше, чем сам контакт: запись к юристу по банкротству, запись ребёнка в коррекционную группу. Состав данных определяете вы — значит, и отвечаете за него вы.
Спорный момент. Обработка специальных категорий данных, в том числе о состоянии здоровья, по общему правилу не допускается (ст. 10 152-ФЗ); среди исключений — согласие в письменной форме и обработка в медико-профилактических целях лицом, обязанным сохранять врачебную тайну. Отдельно: сам факт обращения гражданина за медицинской помощью составляет врачебную тайну (ч. 1 ст. 13 ФЗ от 21.11.2011 № 323-ФЗ). Прямой нормы, относящей «запись к врачу такой-то специальности» к специальным категориям, нет — но набор полей подошёл вплотную к режиму, где требования жёстче. Это повод к осторожности, а не готовый вывод.
Второй тонкий вопрос — письменная форма против галочки. Для специальных категорий нужно согласие в письменной форме; равнозначен ему электронный документ, подписанный электронной подписью (ч. 4 ст. 9 152-ФЗ). Простой чекбокс формально под это описание не подпадает, а официального разъяснения, разрешающего замену, мы не нашли — здесь лучше консультироваться, чем искать универсальный рецепт. Показательна и другая деталь: в письменном согласии закон требует прямо назвать лицо, обрабатывающее данные по поручению. То есть клиент должен видеть, кому уходят его данные.
Отдельная история — поле «комментарий». Свободный ввод означает, что клиент сам напишет то, о чём его не спрашивали: «болит слева», «после операции», «ребёнку 4 года». Вывод простой: либо поле убирается, либо под него планируется тот же режим, что и под остальные данные. В медицине к этому добавляется отраслевой слой требований, и разбирать его нужно отдельно.
Сервис записи клиентов и закон: договор, без которого цепочка не закрывается
Сервис записи клиентов и закон стыкуются в одной точке — договоре поручения. Регистрация в сервисе и принятие его оферты сами по себе поручением не являются: закон требует определённого содержания договора, а не факта договорных отношений.
Оператор вправе поручить обработку другому лицу на основании договора (ч. 3 ст. 6 152-ФЗ). При этом обработчик не обязан получать согласие клиента (ч. 4 ст. 6). Отсюда типичная ошибка: владелец сайта думает, что «сервис сам всё собирает», а сервис ничего не собирает и не обязан — это ваша задача. Откройте договор или оферту, найдите раздел о поручении обработки и пройдитесь по строкам.
| Что должно быть в договоре с сервисом записи | Как проверить за минуту |
|---|---|
| Перечень персональных данных | список полей: имя, телефон, услуга, время. «Любые данные клиентов» — недостаточно |
| Перечень действий (операций) с данными | что сервис делает: хранит, передаёт в CRM, шлёт напоминания |
| Цели обработки | цель ваша — «запись клиента на услугу», а не «улучшение сервиса» |
| Обязанность соблюдать конфиденциальность | отдельный пункт, а не фраза в разделе «Прочее» |
| Соблюдение ч. 5 ст. 18 и ст. 18.1 152-ФЗ | ссылка на эти нормы или указание, где физически хранятся данные |
| Обязанность по запросу предоставлять документы о принятых мерах | вы вправе спросить — сервис обязан ответить |
| Обязанность обеспечивать безопасность данных | обязанность в тексте договора, а не «мы заботимся о данных» |
| Требования к защите по ст. 19 152-ФЗ | отсылка к статье либо перечень мер |
| Обязанность уведомлять оператора о случаях по ч. 3.1 ст. 21 152-ФЗ | в договоре есть пункт: сервис сообщает вам об инциденте сразу, а не когда вспомнит — иначе вы не уложитесь в 24 часа |
Спорный момент, о котором честно предупреждаем: буква ч. 3 ст. 6 говорит, что поручить обработку можно «с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом». Распространена и позиция, что поручение возможно на ином законном основании — например, при исполнении договора с клиентом. Практика расходится, поэтому безопаснее иметь и корректное согласие, и оформленное поручение.
Регулятор рекомендует указывать конкретное наименование и место нахождения третьего лица, цели передачи, объём данных, перечень действий, способы и условия обработки и требования к защите (Информация Роскомнадзора от 08.08.2023). Как устроено поручение обработки персональных данных третьим лицам в общем виде, мы разбирали отдельно — здесь важно одно: без такого договора цепочка записи не закрывается.
Что должно быть на вашей стороне: политика, уведомление, сроки
Дальше — то, что видно снаружи и проверяется без единого запроса. Политика обработки персональных данных публикуется и должна быть доступна, в том числе на страницах сайта, с помощью которых идёт сбор (ч. 2 ст. 18.1 152-ФЗ). Читается буквально: страница с виджетом — тоже страница сбора. Если бронирование на сайте по 152-ФЗ живёт на отдельном лендинге, а политика лежит только в подвале главной, требование не выполнено.
Уведомление об обработке подаётся до её начала, прежних массовых исключений больше нет (ч. 1–2 ст. 22). В нём указывают в том числе сведения о лице, обрабатывающем данные по поручению оператора, и место нахождения базы с данными граждан РФ (ч. 3 и 3.1 ст. 22). Подключили сервис записи или сменили его — сведения изменились; сообщить нужно не позднее 15-го числа месяца, следующего за месяцем изменения (ч. 7 ст. 22).
Сроки, которые стоит запомнить: по достижении цели данные уничтожаются или обезличиваются (ч. 7 ст. 5) — не более 30 дней после достижения цели и не более 30 дней после отзыва согласия (ч. 4 и 5 ст. 21). При утечке — 24 часа на уведомление и 72 часа на сообщение о результатах внутреннего расследования (ч. 3.1 ст. 21). Записи трёхлетней давности в экспортированной таблице — не архив, а хранение, которое нечем объяснить.
Где здесь ответственность. Обработка персональных данных без согласия в письменной форме, когда оно требуется, либо с нарушением требований к его составу — 300 000–700 000 ₽ для юридических лиц; ИП по этому составу отвечает как должностное лицо — 100 000–300 000 ₽ (ч. 2 ст. 13.11 КоАП). Неопубликованная или недоступная политика обработки — 30 000–60 000 ₽ для юридических лиц и 10 000–20 000 ₽ для ИП (ч. 3 ст. 13.11 КоАП). Суммы — в редакции после ФЗ от 30.11.2024 № 420-ФЗ, с 30 мая 2025 года.
Про зарубежные сервисы — коротко. С 1 июля 2025 года при сборе персональных данных, в том числе через интернет, использование баз данных за пределами России прямо не допускается, кроме отдельных случаев (ч. 5 ст. 18 152-ФЗ в редакции ФЗ от 28.02.2025 № 23-ФЗ). Формулировка стала запретительной — и это меняет разговор с любым иностранным сервисом записи. Подробности — в материале о том, где по закону должна храниться база с данными россиян.
Последнее звено — сообщения клиентам. «Вы записаны на 15:00 к мастеру Ирине» — исполнение договорённости. «−30 % на окрашивание в марте» — реклама: по сетям электросвязи она распространяется только с предварительного согласия абонента, и доказывать наличие согласия обязан тот, кто рассылает (ч. 1 ст. 18 закона о рекламе). По разъяснениям ФАС, согласие через форму, которая не позволяет однозначно установить, кто именно его дал, — ненадлежащее.
Чек-лист: что оформить, если запись идёт через сторонний сервис
Всё разобранное сводится к семи действиям. Шесть делаются за вечер, седьмое — единственное, что придётся согласовывать с сервисом.
- Вы знаете, куда физически уходят записи, и можете назвать все шесть звеньев цепочки.
- Основание обработки определено: согласие, исполнение договора с клиентом — или и то, и другое.
- Согласие оформлено отдельно от оферты и политики, а не одним чекбоксом «согласен со всем».
- Факт получения согласия можно подтвердить: есть где посмотреть, кто и когда его дал.
- С сервисом записи подписан договор с обязательным составом условий поручения — по таблице выше.
- Политика открывается с той страницы, где стоит форма или виджет записи.
- В уведомлении об обработке указан сервис-обработчик, сведения актуальны, срок хранения записей определён, старые записи удаляются.
Цепочка у всех одна, а состав данных в каждой нише свой: у клиники это врач и повод обращения, у салона — мастер и услуга, у автосервиса — номер машины, у детского центра — данные ребёнка, у отеля — паспортные данные при заселении. Чем чувствительнее поля, тем строже требования к основанию и сроку хранения.
Два пункта из семи глазами не проверить: открывается ли политика именно там, где стоит виджет, и какие сторонние сервисы реально подгружаются на страницах записи. Это тот случай, когда онлайн-запись на сайте и персональные данные быстрее проверить машиной, чем вручную.