Форма заявки, квиз или кнопка «Оставить телефон» на лендинге — это сбор персональных данных, и с этого момента вы обработчик по 152-ФЗ. Перед запуском рекламы нужны три вещи: согласие пользователя на форме, опубликованная политика обработки данных и — если данных много — уведомление Роскомнадзора. Без них рекламная кампания работает, но штраф может прилететь в любой момент проверки.
Зачем 152-ФЗ касается лендинга с формой заявки
152-ФЗ регулирует лендинг с того момента, как на нём появляется форма для имени, телефона или e-mail. Закон не делает исключения для «просто заявки на консультацию» — если вы получаете данные конкретного человека и что-то с ними делаете (сохраняете в CRM, передаёте менеджеру, загружаете в рекламный кабинет для ретаргетинга), вы становитесь оператором персональных данных со всеми обязанностями по закону.
Дальше идёт вопрос, кто именно оператор. Чаще всего — заказчик, чей бизнес и чья форма. Но если вы как директолог сами собираете заявки на свой номер, ведёте отдельную CRM или загружаете базу клиента в рекламные аудитории для похожих сегментов, оператором по этой операции становитесь и вы. Закон не делает различий между ИП-фрилансером и агентством: обязанность оформить согласие и политику одна и та же, размер бизнеса на неё не влияет.
Отдельный нюанс — рекламный кабинет. Загрузка списка телефонов клиента в сегмент для показа рекламы — тоже обработка персональных данных, и на неё нужно отдельное основание: либо это делает сам оператор с уже полученным согласием, либо у подрядчика есть договор поручения на обработку.
Что закон считает персональными данными
Персональные данные — любая информация, которая прямо или косвенно относится к конкретному человеку: имя, телефон, e-mail, адрес, сам факт, что человек заполнял форму именно на вашем лендинге. Для формы заявки этого достаточно — даже одного телефона хватает, чтобы через оператора связи установить личность.
Есть частое заблуждение: «мы не спрашиваем ФИО, только телефон — значит, это не персональные данные». Это не так. Телефон и e-mail — самостоятельные идентификаторы, по которым человека можно однозначно определить. Cookie и данные счётчиков в чистом виде обезличены, но становятся персональными данными, как только привязываются к конкретной заявке — например, если вы сопоставляете клик по рекламе с телефоном из формы для отчёта клиенту.
Практический вывод: если на лендинге есть форма — вы работаете с персональными данными, и весь чек-лист ниже относится к вам.
Согласие на обработку — как оформить на лендинге
Согласие — это отдельный чекбокс на форме, который пользователь ставит осознанно, до нажатия кнопки «Отправить». Он не может быть проставлен заранее и не может быть частью общего согласия с офертой или правилами сайта — 152-ФЗ требует, чтобы согласие на обработку персональных данных было отдельным и однозначным действием.
Что обязательно указать в тексте согласия
Текст рядом с чекбоксом или по ссылке из него должен содержать: кто оператор, какие данные обрабатываются, с какой целью, кто ещё получает доступ к данным (агентство, CRM, сервис рассылок), срок хранения и то, что согласие можно отозвать. Ссылка «согласен с политикой обработки персональных данных» без самого текста политики по ссылке не работает — юридически это не согласие, а декорация.
Чекбокс должен быть отдельным от других галочек
Частая ошибка — один чекбокс сразу под три пункта: согласие на обработку данных, согласие на рассылки и принятие оферты. Это нарушение: каждое согласие даётся отдельно, пользователь вправе согласиться на обработку заявки, но отказаться от рассылок. Для квиз-лендинга это особенно важно — там несколько экранов с полями, и чекбокс часто ставят только на последнем шаге, а не на каждом, где собираются данные.
Политика обработки персональных данных
Политика обработки персональных данных — публичный документ на отдельной странице сайта, доступный по прямой ссылке с лендинга, обычно из футера и рядом с чекбоксом согласия. Без него чекбокс юридически бессмыслен: пользователь должен иметь возможность прочитать, что вы делаете с его данными, до того, как отправит форму.
Что обязательно включить в документ
Название и реквизиты оператора, перечень собираемых данных, цели обработки, правовые основания, сроки хранения, порядок уничтожения данных по запросу, а если данные передаются третьим лицам (CRM-сервису, агентству, сервису рассылок) — кому и зачем. Шаблон «взять из интернета и поменять название компании» — плохая идея: если в документе перечислены данные или цели, которых у вас на самом деле нет, при проверке это тоже вопрос к оператору.
Страница должна открываться без авторизации и с любого устройства, включая мобильный — форму заявки на лендинге чаще всего заполняют именно с телефона.
Уведомление Роскомнадзора — когда нужно
Уведомление Роскомнадзора о начале обработки персональных данных — отдельная процедура, не связанная с чекбоксом на лендинге. Часть операторов от неё освобождена законом: например, если данные обрабатываются только для заключения и исполнения договора с самим субъектом данных — типичный случай для формы «оставить заявку на услугу» — и не передаются третьим лицам без согласия.
На практике многие маркетинговые лендинги подпадают под освобождение, если данные используются строго для обработки заявки менеджером. Но как только вы передаёте базу третьей стороне, используете данные для профилирования и таргетинга без прямого согласия на это или храните данные дольше срока, нужного для исполнения заявки, — обязанность подать уведомление возникает. Список исключений и порядок подачи описаны на портале Роскомнадзора; перед первым запуском кампании стоит свериться с актуальной редакцией, а не с чужой статьёй трёхлетней давности — правила менялись несколько раз.
Чек-лист из 9 пунктов перед запуском рекламы
Ниже — что проверить на лендинге и в рекламном кабинете до запуска, а не после первой жалобы или проверки. Каждый пункт закрывает конкретный риск: от отклонённой модерации до штрафа за отсутствие согласия.
| № | Пункт чек-листа | Что проверить | Критичность |
|---|---|---|---|
| 1 | Чекбокс согласия на форме | Отдельный от оферты и рассылок, не проставлен заранее | Высокая |
| 2 | Текст согласия | Указаны оператор, цель, состав данных, срок хранения | Высокая |
| 3 | Страница политики обработки ПД | Открывается по прямой ссылке, без авторизации | Высокая |
| 4 | Ссылка на политику с лендинга | Есть в футере и рядом с формой | Средняя |
| 5 | Уведомление РКН | Подано, если оператор не подпадает под исключение | Высокая |
| 6 | Передача данных в CRM/рассылки | Указана в политике, есть основание | Средняя |
| 7 | Загрузка базы в рекламный кабинет | Согласие на ретаргетинг получено отдельно | Высокая |
| 8 | Срок хранения данных | Прописан и соблюдается, без «вечного» хранения без причины | Средняя |
| 9 | Канал для отзыва согласия | Указан контакт, куда писать для удаления данных | Средняя |
Для быстрой самопроверки перед стартом кампании удобно прогнать лендинг через «Проверку перед Директом» или чекер лендинга клиента — оба смотрят форму и юридические страницы, а не только скорость загрузки.
Частые ошибки на лендингах и в рекламе
Самая частая ошибка — не техническая, а организационная: чекбокс согласия и политика есть, но текст скопирован с чужого сайта вместе с названием чужой компании или списком данных, которые вы на самом деле не собираете. Вторая по частоте — форма квиза без чекбокса на промежуточных экранах, где уже вводится телефон.
Ещё три повторяющиеся истории: пиксель или счётчик аналитики настроен так, что передаёт email или телефон в открытом виде в URL, политика обработки данных есть, но недоступна с мобильного из-за верстки, и — формально не 152-ФЗ, но идёт рядом при проверке рекламы — объявления без обязательной маркировки, из-за чего к директологу приходят вопросы сразу по двум законам одновременно.
Проверяйте лендинг клиента до первого запуска, а не по факту жалобы: обычно это делается на этапе аудита перед взятием клиента, где юридические страницы — такой же пункт, как скорость и адаптив.
Чем грозит нарушение 152-ФЗ
Ответственность за нарушение 152-ФЗ — административная, по статье 13.11 КоАП РФ: отдельные составы за отсутствие согласия, за отсутствие или ненадлежащую политику обработки, за непредоставление уведомления РКН и отдельно — за утечку данных. Суммы штрафов за последние годы неоднократно росли, точные цифры на дату запуска кампании смотрите в действующей редакции кодекса, а не в статьях за прошлые годы — старые цифры в интернете часто уже не актуальны.
Помимо штрафа есть репутационный риск: жалоба пользователя в Роскомнадзор запускает проверку, а проверка — это запрос документов (политики, текста согласия, договора с CRM-сервисом) в сжатый срок. Если документов нет, штраф не единственная проблема: заказчик теряет доверие к подрядчику, который запустил рекламу без базовой юридической гигиены на лендинге. Для директолога это отдельная статья репутационных издержек рядом со штрафами за саму рекламу — например, за некорректную маркировку.
Кто отвечает — заказчик, директолог или подрядчик
Формально оператором персональных данных чаще всего выступает заказчик — владелец лендинга и бизнеса, на который оформлена форма заявки. Но это не снимает ответственности с подрядчика: если вы как директолог сами настраиваете форму, подключаете CRM или загружаете базу клиентов в рекламный кабинет, вы становитесь обработчиком по договору поручения, и в случае утечки или жалобы вопросы придут и к вам.
Чтобы разграничить ответственность, в договоре с клиентом стоит прямо прописать, кто отвечает за какой пункт чек-листа: чекбокс и политику обычно готовит и утверждает заказчик — это его юридические формулировки, — а директолог отвечает за то, что не грузит в рекламный кабинет данные без согласия и не хранит переписку с телефонами клиентов дольше необходимого. Это же стоит фиксировать в отчёте клиенту по рекламе — отдельной строкой, что юридические страницы лендинга проверены на дату запуска, а не «когда-то давно».
Частые вопросы
Нужен ли чекбокс согласия, если форма — просто «узнать цену»?
Да. Название формы не влияет на обязанность: если поле собирает телефон или e-mail, это персональные данные независимо от того, как называется кнопка — «узнать цену», «получить расчёт» или «оставить заявку».
Достаточно ли купить готовый шаблон политики обработки данных?
Как основа — да, но шаблон нужно подогнать под реальный список данных и целей именно вашего лендинга. Политика, скопированная без правок, часто описывает данные, которые вы не собираете, или не упоминает то, что собираете, — оба случая проблема при проверке.
Обязательно ли подавать уведомление в Роскомнадзор для лендинга с одной формой?
Не всегда — есть законные основания для освобождения, например обработка данных строго для исполнения договора с самим субъектом. Но список исключений точный, и его стоит сверить в действующей редакции закона, а не полагаться на общее «наверное, не нужно».
Кто платит штраф, если рекламу вёл директолог, а лендинг — клиента?
По умолчанию отвечает оператор — обычно заказчик. Но если в договоре с директологом прописана обработка данных (загрузка базы в рекламный кабинет, ведение отдельной CRM), ответственность может лечь и на подрядчика в части его действий.
Источники
Для проверки актуальных формулировок и сумм штрафов на дату запуска рекламы:
