Короткий ответ: почти всегда, если через форму к вам попадают сведения о человеке. Даже форма из одного поля «Телефон» собирает персональные данные. Вопрос не в том, обрабатывает ли форма данные, а в том, правильно ли она это делает.
Ниже разберем, почему так, какое основание нужно форме, когда без согласия не обойтись и как должна выглядеть форма, к которой у Роскомнадзора не будет вопросов.
Почему форма считается обработкой
Причин две.
Первая: персональные данные в Законе № 152-ФЗ определены очень широко. Это любая информация, которая прямо или косвенно относится к определенному или определяемому человеку. Сюда попадает почти все, что собирают формы: имя, телефон, email, адрес, текст вопроса, а в связке с ними и технические идентификаторы вроде IP-адреса или cookie.
Исключение составляют только данные, по которым вообще нельзя понять, о ком идет речь: без имени, контактов и идентификаторов. В формах заявок такое почти не встречается, ведь смысл формы как раз в том, чтобы с человеком связаться.
Вторая: сбор данных закон прямо называет одним из видов обработки. Человек нажал «Отправить», данные попали к вам, значит, обработка уже началась. А дальше идут запись, хранение, использование для звонка, передача в CRM.
На каком основании форма собирает данные
Обработке нужно законное основание из статьи 6 закона. Для форм на практике встречаются два.
Договор. Если человек сам оформляет заказ или записывается на услугу, данные нужны для заключения и исполнения договора по его инициативе. Это отдельное основание, и согласие на обработку для него не обязательно.
Согласие. Для форм, которые не ведут прямо к договору, обычно нужно согласие: вопрос специалисту, заявка на консультацию, «перезвоните мне», квиз с контактом в конце, подписка на полезные материалы. А для рекламной рассылки нужно еще и отдельное согласие на получение рекламы по Закону «О рекламе».
На практике многие компании берут согласие во всех формах сразу. Так можно, если согласие оформлено правильно. Плохо, когда галочку ставят «на всякий случай» под размытым текстом, который ничего толком не описывает.
Каким должно быть согласие в форме
Статья 9 закона требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года добавилось еще одно правило: согласие оформляется отдельно от другой информации и документов, которые человек подтверждает или подписывает.
Для формы на сайте это значит:
- у согласия своя галочка, отдельная от галочки «принимаю условия оферты» или «ознакомлен с политикой»;
- галочка не стоит заранее, человек ставит ее сам;
- рядом ссылка на текст согласия, где указаны оператор, цели, перечень данных, действия с ними, срок и способ отзыва;
- если данные передаются подрядчику по поручению, например в колл-центр, это тоже видно из текста;
- согласие на рекламу, если оно нужно, идет отдельной необязательной галочкой.
Фраза «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности» под кнопкой вряд ли выдержит проверку как согласие. Это скорее уведомление, а после поправок 2025 года такая склейка особенно рискованна. Разницу между политикой и согласием мы подробно разобрали в отдельной статье.
Что еще нужно оформить вокруг формы
Сама галочка только часть работы. Если сайт собирает данные, оператору обычно нужно:
- Опубликовать политику обработки персональных данных и дать на нее ссылку на странице с формой. Это требование части 2 статьи 18.1.
- Подать уведомление в Роскомнадзор или проверить, что действующее описывает и сайт.
- Подготовить текст согласия для форм, где оно нужно.
- Убедиться, что данные из формы сначала записываются в базы на территории России, а не на зарубежный сервер или почтовый ящик.
- Оформить отношения с сервисами, куда уходят заявки: CRM, почтовый сервис, конструктор сайта, Telegram-бот.
- Определить срок хранения заявок и порядок удаления.
Пункт про локализацию часто упускают. Если заявки с сайта уходят на почту в зарубежном сервисе или в CRM с серверами за рубежом, это риск нарушения части 5 статьи 18. Штраф для организации по части 8 статьи 13.11 КоАП составляет от 1 до 6 млн рублей.
Как может выглядеть правильная форма
Форма заявки на консультацию:
- поля: имя, телефон, текст вопроса (необязательное);
- галочка «Даю согласие на обработку персональных данных» со ссылкой на текст согласия;
- необязательная галочка «Хочу получать полезные материалы и предложения» со ссылкой на текст согласия на рассылку;
- под формой ссылка на политику обработки персональных данных;
- кнопка «Отправить» неактивна, пока не отмечено согласие на обработку.
На стороне сервера при этом сохраняются дата и время отправки, версия текста согласия, источник (какая форма и страница). Это пригодится, если когда-нибудь придется доказывать, что согласие было. По закону доказывать наличие согласия должен оператор.
Частые ошибки в формах
Чаще всего мы видим лишние поля. Город, дата рождения или должность, если они не нужны для ответа, нарушают принцип соразмерности из статьи 5 закона.
Вторая по частоте ошибка: заранее проставленная галочка. Такое согласие трудно назвать сознательным. Рядом с ней обычно встречается одна галочка на все сразу, и политика, и оферта, и обработка данных, и реклама.
Бывает, что ссылка под формой ведет на политику, а текста согласия на сайте нет вообще. Или политика описывает одну CRM, а заявки давно уходят в другую. Или заявки падают на личную почту менеджера, которую компания не контролирует.
Отдельная история с квизами. Телефон собирают на последнем шаге, и про согласие и политику на этом экране просто забывают. А капча и виджеты зарубежных сервисов передают данные посетителя за рубеж, о чем в документах нет ни слова.
Частые вопросы
Если в форме только телефон, нужно ли согласие?
Номер телефона персональные данные, поэтому вопрос основания встает так же, как с полной анкетой. Нужно ли согласие, зависит от цели формы, а не от числа полей.
Можно ли объединить согласие на обработку и согласие на рассылку?
Лучше не надо. Это разные согласия по разным законам. Человек должен иметь возможность оставить заявку и не подписываться на рекламу.
Нужно ли согласие для формы оформления заказа в интернет-магазине?
Для данных, без которых заказ не выполнить, основанием служит договор. Но если в той же форме есть подписка на рассылку или данные идут куда-то еще, например партнерам, для этих целей нужно отдельное согласие.
Как хранить доказательства согласия?
Сохраняйте в базе дату и время, идентификатор формы, версию текста согласия и данные, которые человек отправил. Скриншот формы тоже полезен, особенно при смене текстов.
Форма заявки только на первый взгляд технический элемент. На деле это точка, где начинается обработка данных клиента, и ее нужно оформить юридически, технически и в документах одновременно.