CRM подключили за час — сами, силами интегратора или фрилансера с биржи. Заявки падают, менеджеры работают, и слов «персональные данные» в этой цепочке никто не произнёс. Вопрос всплывает позже: когда клиент спрашивает, откуда у вас его номер.
Ничего катастрофического не случилось — ситуация рабочая и приводится в порядок за пару дней. Но сначала нужна карта: что уезжает из вашей формы и кому. Юридическая рамка будет ниже, ближе к середине, и она короче, чем кажется.
Что уходит наружу, когда вы подключаете CRM к сайту: персональные данные и не только
Владелец сайта представляет заявку как три поля: имя, телефон, e-mail. Плюс «комментарий», куда клиент пишет что угодно — вплоть до диагноза, суммы долга или адреса объекта.
Интеграция обычно передаёт больше. Коннекторы «форма → CRM», как правило, кладут в карточку ещё и технические поля — чтобы у вас работала аналитика источников:
- IP-адрес, с которого отправлена заявка;
- идентификатор посетителя из cookie;
- utm-метки рекламной кампании;
- адрес страницы, с которой ушла форма;
- дату и время отправки.
Точный состав зависит от связки — проверьте в настройках, что именно передаёт ваша интеграция сайта с CRM. По отдельности «utm-метка» или «IP» выглядят техническими полями. Но персональные данные — это любая информация, относящаяся к прямо или косвенно определённому лицу (ст. 3 п. 1 152-ФЗ). Сам по себе IP или cookie-идентификатор закон персональными данными не называет, но в связке с телефоном из той же заявки он позволяет определить конкретного человека — и тогда набор целиком становится персональными данными. Косвенно это подтверждает и надзорная практика: информирование пользователей об использовании cookie Роскомнадзор относил к типовым нарушениям на сайтах.
Следом в карточку доезжает то, чего в форме не было вовсе: переписка из чата, запись телефонного разговора, комментарии менеджеров. Про записи частая путаница: сама по себе запись не биометрия — биометрическими сведения становятся, только когда оператор использует их для установления личности (ст. 11 ч. 1 152-ФЗ). Обычными персональными данными запись при этом остаётся.
Итог: наружу уходит больше, чем вы вводили в форму. И уходит не в одно место.
Куда уходят заявки с сайта, кроме CRM
Проследите маршрут одной заявки от кнопки «Отправить»: форма → письмо на рабочую почту (а значит, и почтовому провайдеру) → дубль в мессенджер-бот → карточка в CRM → выгрузка в облачную таблицу → адрес в сервисе рассылок. Параллельно работают коллтрекинг с записью звонка, конструктор форм или квиз, хранящий копию ответов у себя, и вебхук-связка, которую когда-то настроили «на попробовать».
Строка, которую пропускают почти все, — люди: интегратор, агентство, маркетолог, уволившийся полгода назад, а доступ в аккаунт у него остался. Обработка включает «передачу (распространение, предоставление, доступ)» (ст. 3 п. 3 152-ФЗ). То есть выдать подрядчику логин в CRM — это уже обработка. А то, что делает интеграция, юридически называется «предоставление персональных данных» (ст. 3 п. 5).
Получателей у одной заявки обычно три-пять, а владелец сайта помнит про одного.
| Куда уходит | Что именно уходит | Кто это юридически |
|---|---|---|
| Облачная CRM | Содержимое формы, история сделки, комментарии менеджеров | Обычно обработчик по вашему поручению — смотреть договор |
| Почта и почтовый провайдер | Письмо с полным содержимым заявки | Обычно обработчик по поручению |
| Мессенджер-бот | Имя, телефон, текст заявки | Зависит от площадки; иностранная — плюс ст. 6 ч. 6 и ст. 18 ч. 5 |
| Облачная таблица с выгрузкой | Вся база заявок разом | Обычно обработчик по поручению |
| Коллтрекинг, запись звонков | Номер абонента, аудиозапись разговора | Обычно обработчик; запись — не биометрия |
| Конструктор форм и квизов | Все поля формы, часто и копия у сервиса | Обычно обработчик по поручению |
| Сервис e-mail- и SMS-рассылок | Адрес и телефон подписчика | Обычно обработчик; плюс отдельное согласие на рекламу |
| Платёжный сервис, агрегатор, банк | Данные плательщика | Однозначного статуса нет; часто самостоятельный оператор — смотреть договор |
| Интегратор, фрилансер, агентство | Доступ ко всей базе заявок | Обычно обработчик; доступ — это уже обработка |
Третья колонка — практическая рамка, а не норма, поэтому там везде «обычно». Передача персональных данных третьему лицу идёт не всегда по вашему поручению: у банков и платёжных сервисов есть собственная обязанность идентифицировать клиента (п. 1 ч. 1 ст. 7 115-ФЗ), а обработка для целей, предусмотренных законом, — самостоятельное основание (п. 2 ч. 1 ст. 6 152-ФЗ). Единого официального разъяснения нет: смотрите договор конкретного сервиса.
Если получатель за границей, добавляются локализация баз данных (ст. 18 ч. 5 152-ФЗ) и трансграничная передача, о намерении которой нужно уведомить Роскомнадзор до её начала (ст. 12). Это отдельная тема — разобрали её в материале про иностранные CRM и рассылки.
Проверить, куда уходят заявки с вашего сайта: покажем внешние сервисы на страницах, состояние политики, согласия и локализации.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтКто здесь кто: вы, CRM и ваш клиент
Всё, что говорит про интеграцию формы с CRM закон, помещается в один тест: оператор — тот, кто определяет цели обработки (ст. 3 п. 2 152-ФЗ). Вы решили собирать заявки, решили зачем и какие поля. Подключение CRM это не изменило: оператор — по-прежнему вы, а CRM обрабатывает данные по вашему поручению. Отсюда три следствия:
- CRM не соберёт согласия за вас — обработчик «не обязан получать согласие субъекта персональных данных» (ст. 6 ч. 4);
- перед клиентом отвечаете вы — «ответственность перед субъектом персональных данных за действия указанного лица несёт оператор» (ст. 6 ч. 5);
- если обработчик иностранный — отвечают двое, оператор и сам обработчик (ст. 6 ч. 6).
Два частых мифа: «CRM российская — значит, всё в порядке» и «теперь за данные отвечает CRM». Российская юрисдикция снимает вопрос локализации, но не ваши обязанности: отвечает перед клиентом оператор (ст. 6 ч. 5), а согласие обработчик получать не обязан вовсе (ст. 6 ч. 4). Документы всё равно ваши.
И самый недооценённый момент: клиент вправе получить сведения о лицах, которые имеют доступ к его данным или которым они могут быть раскрыты по договору с оператором (ст. 14 ч. 7 п. 4 152-ФЗ). Список получателей — не внутренняя кухня. Не можете за минуту назвать всех, кто получил заявку, — не ответите и на запрос клиента.
CRM и 152-ФЗ: что оформить — четыре вещи
1. Основание передачи — поручение обработки
Оператор вправе поручить обработку другому лицу на основании договора (ст. 6 ч. 3 152-ФЗ). Закон перечисляет, что в нём должно быть определено: перечень данных и действий, цели, конфиденциальность, требования по локализации и безопасности, обязанность предоставлять подтверждающие документы и уведомлять оператора об инцидентах. Полный разбор условий — в статье про поручение обработки персональных данных третьим лицам. У части вендоров такой документ опубликован публично, у части его в открытом доступе нет — тогда условия ищут в оферте или запрашивают отдельно.
2. Текст согласия, где назван получатель
В перечне сведений для согласия есть наименование и адрес лица, которое будет обрабатывать данные по поручению (ст. 9 ч. 4 п. 6). Оговорка важна: этот перечень формально относится к согласию в письменной форме, поэтому для веб-формы он работает как эталон содержания. Указывать получателя принято, и это прямо следует из перечня ч. 4 ст. 9.
3. Политика с категориями получателей
Политику публикуют в том числе на тех страницах сайта, через которые идёт сбор данных (ст. 18.1 ч. 2 152-ФЗ; норма действует с 1 сентября 2022 года). Что писать про получателей, Роскомнадзор описал в Рекомендациях от 31.07.2017: в п. 3.5 регулятор рекомендует указывать условия передачи данных третьим лицам — например, наличие договора поручения, — а также наименование и местонахождение этих лиц, цели и объём передачи.
4. Уведомление в Роскомнадзор — только если изменились сведения
Здесь пугают чаще всего зря. Подключение CRM само по себе обязанности актуализировать уведомление не создаёт: в форме уведомления (Приложение № 1 к Приказу РКН от 28.10.2022 № 180) слова «поручение» нет вообще, а ближайший по смыслу п. 10.2 ч. 3 ст. 22 касается только государственных и муниципальных информационных систем. Актуализировать нужно, если реально изменились сведения — прежде всего наличие трансграничной передачи (п. 10) и место нахождения базы данных (п. 10.1). Срок — не позднее 15-го числа месяца, следующего за месяцем изменений (ст. 22 ч. 7).
| Что оформить | Где смотреть | Если этого нет |
|---|---|---|
| Поручение обработки (ст. 6 ч. 3) | Договор или оферта вендора | Данные уходят без оформленного основания |
| Согласие с указанием получателя (эталон — ч. 4 ст. 9) | Страница по ссылке у чекбокса | Клиент не знает, кто получит его заявку |
| Согласие отдельно от оферты (ч. 1 ст. 9, с 01.09.2025) | Сама форма на сайте | Галочка «принимаю условия» согласием не считается |
| Политика с категориями получателей (ч. 2 ст. 18.1) | Страница политики | Не назовёте получателей по запросу клиента |
| Политика на страницах сбора (ч. 2 ст. 18.1) | Каждая страница с формой | Документ есть, но не там, где собирают данные |
| Срок хранения заявок и записей (ст. 5 ч. 7, ст. 21 ч. 4) | Регламент и настройки CRM | База растёт бессрочно «на всякий случай» |
| Уведомление в РКН: п. 10 и 10.1 ч. 3 ст. 22 | Поданное уведомление | Сведения расходятся с фактическими |
| Отдельное согласие на рекламу (ст. 18 ч. 1 38-ФЗ) | Второй чекбокс в форме | Доказывать согласие придётся вам |
Что настроить на стороне сайта и на стороне CRM
Документы — половина дела. Вторая половина в том, как устроена передача заявок в CRM: согласие должно быть получено раньше, чем данные уедут.
Проверьте первым делом: откройте сайт с телефона и отправьте тестовую заявку, не ставя галочку согласия. Пришло уведомление на почту? Появилась карточка в CRM? Значит, данные уходят раньше, чем человек соглашается. Закон требует, чтобы согласие было дано в форме, позволяющей подтвердить факт его получения (ст. 9 ч. 1) — а если данные ушли до отметки, подтверждать нечего. Прямой нормы «нельзя отправлять данные до клика» в законе нет, это интерпретация, но проверить у себя стоит: чинится правкой в скрипте формы.
Галочка не должна быть проставлена заранее — как оформляется чекбокс согласия в форме и что писать рядом с ним, разобрано отдельно. С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые подтверждает или подписывает человек (ч. 1 ст. 9 в редакции 156-ФЗ от 24.06.2025): общая галочка «принимаю оферту и политику» согласием не работает. Отдельно подумайте, что останется у вас через полгода: дата, время и версия текста, с которым человек согласился.
Согласие на обработку данных и согласие на рекламу — разные вещи и, на практике, два разных чекбокса. Как только заявка из CRM попадает в рассылку или обзвон, включается ст. 18 ч. 1 38-ФЗ: реклама по сетям связи допускается только при предварительном согласии абонента, и доказывать наличие согласия обязан бизнес.
Ещё три быстрых пункта. Не делайте обязательными поля, без которых сделка возможна: отказать потребителю в договоре из-за отказа дать данные, не связанные непосредственно с его исполнением, нельзя (ст. 16 ч. 4 закона «О защите прав потребителей»). Проверьте список пользователей аккаунта CRM и закройте доступы тем, кто уже не работает: внутренний контроль и аудит обработки — обязанность оператора (ст. 18.1 ч. 1 п. 4). И задайте срок хранения: данные хранят не дольше, чем требуют цели (ст. 5 ч. 7), а на уничтожение по достижении цели и при отзыве согласия отводится 30 дней (ст. 21 ч. 4 и ч. 5).
Как за 15 минут выяснить, куда на самом деле уходят ваши заявки
Упражнение на один раз, чтобы дальше говорить о документах предметно. Оценивать ничего не нужно — только выписать.
- Откройте в CMS или конструкторе раздел интеграций и подключённых приложений — перепишите список.
- Отправьте тестовую заявку с реальным телефоном и посмотрите, кому и куда пришло уведомление: почта, мессенджер, карточка в CRM, что-то ещё.
- Откройте в CRM список подключённых приложений: коллтрекинг, телефония, рассылки, коннекторы мессенджеров.
- Посмотрите список пользователей аккаунта: кто из сотрудников, подрядчиков и «бывших» ещё имеет доступ.
- Сведите всё в один список получателей и сверьте с текстом политики и согласия.
Этот же список — ваш готовый ответ на запрос клиента о том, кому раскрыты его данные. Держите его под рукой и дополняйте, когда подключаете новый сервис.
Не хотите собирать список вручную? Проверим, куда уходят заявки с вашего сайта, и покажем, что из этого не отражено в документах.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтCRM подключили месяц назад, документов нет: что делать сейчас
Порядок действий без паники — пять шагов:
- Составьте список получателей заявок по шагам из предыдущего раздела.
- Найдите или запросите у каждого вендора условия обработки по поручению: публичный документ, раздел оферты или отдельное соглашение.
- Перепишите текст согласия и политику под фактическую картину — получатели, цели, объём передачи.
- Проверьте поданное уведомление в РКН на предмет п. 10 и п. 10.1 ч. 3 ст. 22.
- Задайте срок хранения заявок и записей разговоров и удалите лишнее.
Отдельно про инциденты. Об утечке на стороне сервиса вы узнаете вовремя только если обязанность уведомить вас записана в поручении: у оператора всего 24 часа на уведомление регулятора и 72 часа на результаты внутреннего расследования (ст. 21 ч. 3.1 152-ФЗ). Кто и за что отвечает, если данные утекли у подрядчика, разбирали здесь — кто отвечает за утечку персональных данных. Логика закона последовательна: прекратить неправомерную обработку, которую ведёт «лицо, действующее по поручению оператора», в срок не более трёх рабочих дней обязан сам оператор (ст. 21 ч. 3).
Про цену вопроса — коротко и честно. Отдельного состава «нет договора поручения» в КоАП не существует. Практика относит передачу данных без надлежаще оформленного основания к ч. 1 ст. 13.11 КоАП: юрлицо — 150 000–300 000 ₽, должностное лицо — 50 000–100 000 ₽, а ИП отвечает как должностное лицо, а не как юрлицо. Это интерпретация юристов, а не буква закона; подтверждённых дел именно за передачу заявок в CRM без поручения мы не нашли и пугать несуществующими прецедентами не будем.
Если разбираться самостоятельно некогда, начните с проверки сайта на 152-ФЗ и оформления документов под вашу фактическую схему передачи заявок.
Итоговая рамка простая. Проблема возникает не оттого, что вы подключили CRM к сайту, — персональные данные клиентов просто поехали наружу мимо документов. Оформлять это правильнее до подключения, но и «после» лечится за пару дней.
Материал носит информационный характер и не является юридической консультацией.