Сайт автосервиса и персональные данные клиентов

Почему у автобизнеса данных больше, чем кажется

Владелец сервиса рассуждает так: «мы не клиника, у нас в заявке имя и телефон». Но в автобизнесе в каждой записи есть второй объект — машина. А машина всегда чья-то: госномер, VIN, пробег и история ремонтов лежат в одной строке с ФИО и телефоном.

Связка «человек + автомобиль + история обслуживания» превращает базу сервиса в самостоятельно ценный актив: видно, у кого какая машина, когда он был на ТО и сколько тратит. Закрытого перечня персональных данных закон не даёт — это любая информация, относящаяся к прямо или косвенно определяемому лицу (п. 1 ст. 3 152-ФЗ).

Дальше разводим две модели. Независимый сервис: сайт на конструкторе, виджет онлайн-записи, заявки в CRM и в мессенджер мастера. Официальный дилер: сайт на платформе дистрибьютора, брендовая CRM, рядом тест-драйв, трейд-ин, кредит и страховка.

Что на самом деле собирает сайт автосервиса

Документы пишутся не «вообще», а под фактический перечень данных и целей: согласие обязано называть конкретную цель и перечень персональных данных (ч. 4 ст. 9 152-ФЗ). Поэтому начинаем с инвентаризации.

У независимого сервиса живы строки про запись, кузовной калькулятор, обратный звонок и напоминания; у дилера сверху ложатся тест-драйв, трейд-ин и кредит. Отдельно проверьте сторонние виджеты записи, обратного звонка и чата и пиксели рекламных кабинетов: они грузятся до всякого чекбокса и иногда утаскивают в события содержимое полей формы.

И частое заблуждение про запись на сервис: согласие нужно не всегда. Приём заявки на ремонт — обработка для заключения договора по инициативе самого клиента (п. 5 ч. 1 ст. 6 152-ФЗ). Но состав полей формы всё равно должен быть обоснован целью: чекбокс не заменяет обоснование.

Автодилер: обработка персональных данных на платформе импортёра

У официального дилера сайт часто живёт на платформе дистрибьютора: шаблон, формы и база — не его, заявка уходит в брендовую CRM и уже оттуда возвращается в салон. Ключевой вопрос — кто здесь оператор. По ст. 3 152-ФЗ это тот, кто самостоятельно или совместно с другими организует обработку. Если цели обработки данных клиентов определяет дилер, оператор он, а платформа импортёра — обработчик по поручению. Если импортёр ведёт общую базу бренда в своих целях — это уже передача другому оператору.

Что делать, когда платформа не ваша: запросить договор поручения по ч. 3 ст. 6, выяснить, где физически лежит база, проверить, что политика опубликована на сайте, с которого идёт сбор (ч. 2 ст. 18.1), и что реквизиты на страницах — того лица, которое отвечает перед клиентом. Это базовые требования Роскомнадзора к сайту, и фразой «за сайт отвечает импортёр» они не закрываются.

Если платформа или CRM зарубежная, включается локализация: данные граждан РФ записываются и хранятся в базах на территории России, а в редакции ч. 5 ст. 18 152-ФЗ, действующей с 1 июля 2025 года, прямо перекрыта схема «сначала собираем туда, потом дублируем сюда». Плюс отдельное уведомление РКН о трансграничной передаче (ч. 3 ст. 12).

Госномер и VIN: персональные данные или нет

Однозначного ответа в законе нет. 14 августа 2026 года на Дне открытых дверей Роскомнадзора начальник управления по защите прав субъектов персональных данных публично высказал позицию регулятора.

Госномер и VIN «относятся к автомобилю. Не к владельцу, а именно к автомобилю» — сами по себе идентификатором субъекта они не являются. И тут же оговорка: если рядом появляются ФИО и адрес, «в совокупности можно рассматривать эту историю как обработку персональных данных».

Статус позиции важен: регулятор публично её придерживается и не в первый раз, но это устное заявление на публичном мероприятии, а не письменное разъяснение и не норма.

Аргумент «это данные о вещи»: государственный регистрационный номер присваивается транспортному средству регистрационным подразделением (ст. 13 283-ФЗ). Косвенно туда же играет сервис Госавтоинспекции: по VIN он показывает периоды регистрации «за различными собственниками», не раскрывая их данных.

Аргумент «это данные о человеке»: в регистрационные данные ТС по закону входят одновременно VIN, госномер, ФИО владельца и его место жительства (ст. 11 283-ФЗ) — связка «номер ↔ человек» существует нормативно. Служба Правового консалтинга ГАРАНТ относит VIN и регистрационный знак к идентификаторам, по которым сведения могут быть отнесены к ПДн. Проверяемых судебных актов по этому вопросу в открытых источниках нет — ссылаться на «практику судов» здесь не на что.

Выигрывать спор владельцу сервиса и не нужно. В вашей базе госномер не лежит отдельно — он в одной строке с именем, телефоном и историей ремонтов, а такая запись целиком относится к косвенно определяемому лицу (п. 1 ст. 3 152-ФЗ). Где проходит граница вообще — в материале что считается персональными данными. Для автосервиса персональные данные на сайте — это вся карточка записи, а не отдельные поля.

Куда уходит заявка: поручение или передача другому оператору

После нажатия кнопки данные идут по одному из двух маршрутов, и это два разных правовых режима: либо к обработчику по поручению, либо к другому самостоятельному оператору.

Что упускают чаще всего: сервис записи или CRM не собирает согласие вместо вас (ч. 4 ст. 6), а перед клиентом за действия подрядчика отвечает оператор (ч. 5 ст. 6). Что обязано быть в договоре поручения и как его запросить — в статье поручение обработки персональных данных третьим лицам.

С банком и страховой сложность в другом: получатель в согласии должен быть назван. Прямого запрета «согласия пакетом на всех партнёров» одной нормой нет, но он складывается из совокупности: согласие должно быть конкретным и предметным (ч. 1 ст. 9), в нём указываются цель и перечень действий (ч. 4 ст. 9). Зеркальный случай — лиды с агрегаторов: данные получены не от субъекта, и до начала обработки ему нужно сообщить, кто вы, зачем обрабатываете и откуда взяли контакты (ч. 3 ст. 18).

Тест-драйв, кредит и трейд-ин: где данных слишком много

Здесь состав полей резко прыгает вверх. Заявка на тест-драйв — данные уже не «имя плюс телефон»: ФИО, дата рождения, водительское удостоверение, стаж, иногда скан паспорта. Трейд-ин — VIN и фото СТС или ПТС с ФИО собственника. Кредит — контакты плюс сведения о доходе. Норма здесь рабочая: данные должны отвечать целям и не быть избыточными (ч. 4–5 ст. 5 152-ФЗ).

У автосервисов есть отраслевой аргумент, которого нет у других ниш. С 1 сентября 2025 года действуют новые Правила оказания услуг по техобслуживанию и ремонту (ПП РФ от 29.05.2025 № 780, прежние Правила 2001 года утратили силу). Их пункт 9 перечисляет, что должно быть в договоре: ФИО, телефон и адрес потребителя, марка, модель, номера основных агрегатов и государственный регистрационный номер. VIN и пробег в этом перечне прямо не названы. Спрашивать их не запрещено — но поле «VIN» обосновывается целью (подбор запчастей), а не привычкой.

Кредитный отчёт предоставляется с согласия субъекта кредитной истории, и у согласия свой срок — по общему правилу 6 месяцев, для субъектов МСП и сделок с ними с 15 декабря 2025 года год (ст. 6 218-ФЗ). Это отдельное согласие, а не строка в общем чекбоксе. Фото повреждений и скан прав биометрией сами по себе не становятся: по разъяснениям РКН обработка фотографии без процедур идентификации биометрической не считается. Но это обычные ПДн, и у них есть срок хранения.

Статус ремонта по номеру и напоминания о ТО

Механика «узнайте статус ремонта по госномеру» и личный кабинет с историей обслуживания — удобно для клиента. Проблема появляется, когда сведения выдаются по одному идентификатору без аутентификации: тогда их получит любой, кто знает номер машины. А номер написан на самой машине.

Это конкретная группа обязательных мер: оператор обязан защищать данные от неправомерного доступа (ст. 19 152-ФЗ), уровни защищённости определяются по ПП РФ № 1119, а в приказе ФСТЭК России № 21 прямо названы «идентификация и аутентификация субъектов доступа» и «управление доступом».

Вторая забытая механика — обзвон и рассылки по базе. «Ваш автомобиль на гарантии, подошёл срок планового ТО» и «скидка 20% на шиномонтаж до конца месяца» — разные сообщения. Второе реклама, а её распространение по сетям электросвязи (звонки, СМС, мессенджеры, e-mail) допускается только с предварительного согласия абонента, причём доказывать согласие обязан рекламораспространитель (ч. 1 ст. 18 38-ФЗ). Состав здесь специальный: общая ч. 1 ст. 14.3 КоАП применяется «за исключением случаев, предусмотренных частями 2–17», а за рекламу по сетям электросвязи без согласия абонента отвечают по ч. 4.1 ст. 14.3 КоАП — 300 000–1 000 000 ₽ для юрлица (граждане 10 000–20 000 ₽, должностные лица и ИП 20 000–100 000 ₽). Чем это согласие отличается от согласия на обработку данных и как его правильно оформить — в разборе согласия на рекламную рассылку.

Честно: жёсткой границы «сервисное сообщение — реклама» закон не проводит, специального разъяснения ФАС про напоминания о ТО найти не удалось. Практический выход — собирать согласие на рекламные сообщения отдельно от согласия на обработку данных. Сюда же запись разговоров: нормы «предупредите о записи» в 152-ФЗ нет, работает общая конструкция согласия, факт которого оператор обязан доказать (ст. 9).

Чек-лист: сайт автосервиса и 152-ФЗ за 20 минут

Уведомление в Роскомнадзор подаётся до начала обработки (ч. 1 ст. 22 152-ФЗ), перечень исключений узкий — сайт с формой записи под них не подпадает. Ответственность одной строкой: обработка без надлежащего согласия — 300 000–700 000 ₽ для юрлица (ч. 2 ст. 13.11 КоАП), неподанное уведомление — 100 000–300 000 ₽ (ч. 10 ст. 13.11), размеры применяются с 30 мая 2025 года.

Но штраф — не худший сценарий. База «госномер + марка + телефон + история ремонтов» — готовый материал для телефонного мошенничества: звонящий «из вашего сервиса» знает машину, пробег и последние работы. Что такие сведения имеют цену и покупателя, показывает приговор: 19 июня 2026 года Чкаловский районный суд Екатеринбурга назначил бывшему инспектору ГИБДД 4 года лишения свободы за фотографирование карточек учёта ТС и передачу данных более чем о 350 гражданах (ст. 272.1 УК РФ и другие составы).

1. Выписать все формы и виджеты со страниц записи, кузовного расчёта, тест-драйва и трейд-ин.
2. По каждому полю ответить: под какую цель оно и что будет, если убрать. Начать с VIN, пробега и сканов.
3. Проверить договор поручения с сервисом записи, CRM и коллтрекингом — и где физически лежит база.
4. Убедиться, что в согласии названы обработчик и конкретные получатели, а не «партнёры».
5. Проверить, что заявку примут без галочки на маркетинговую передачу.
6. Отделить согласие на рекламные напоминания от согласия на обработку данных.
7. Проверить, что «статус ремонта» и личный кабинет не отдают историю по одному номеру без аутентификации.
8. Проверить, что политика опубликована на сайте сбора и совпадает со списком форм, а уведомление в РКН подано.

Материал носит информационный характер и не заменяет юридическую консультацию: конкретный набор документов зависит от того, какие формы стоят на вашем сайте и куда уходят заявки.