Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: август 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Форма обратного звонка на сайте выглядит безобидно: поле «Имя», поле «Телефон», кнопка «Перезвоните мне». Но в момент, когда посетитель нажимает эту кнопку и отправляет свой номер, вы начинаете обрабатывать персональные данные. С этой секунды к вам применяется 152-ФЗ со всеми его требованиями — согласием, политикой конфиденциальности, уведомлением в Роскомнадзор. И именно требования к форме обратной связи по 152-ФЗ чаще всего игнорируют: форма собирает данные, а юридической обвязки под ней нет.
Разберём типовую форму по частям — заявка, подписка, обратный звонок — и посмотрим, что именно должно её сопровождать, чтобы она не превратилась в основание для штрафа.
Любая форма с контактами — это сбор персональных данных
По статье 3 152-ФЗ персональные данные — это любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Телефон, email, имя — всё это ПДн. Не имеет значения, что форма «маленькая» и просит всего два поля: одного номера телефона достаточно, чтобы идентифицировать человека.
Как только форма отправляет данные вам на почту, в CRM или в Telegram, вы становитесь оператором персональных данных. Обработка без законного основания подпадает под часть 1 статьи 13.11 КоАП — для юридических лиц это штраф от 150 000 до 300 000 рублей. А если данные из формы утекут (например, письма с заявками лежат в незащищённом почтовом ящике), в игру вступают новые санкции ФЗ № 420-ФЗ: до 20 млн рублей за первую утечку и оборотный штраф 1–3% выручки при повторной.
Основание для обработки данных из формы обычно одно — согласие субъекта по статье 6 части 1 пункт 1 и статье 9. Именно поэтому форма без правильно оформленного согласия юридически «пустая».
Чекбокс согласия: почему он не должен быть предустановлен
Главная ошибка в формах — галочка согласия, которая стоит по умолчанию. Разработчик ставит checked в коде, чтобы пользователь «не забыл», и этим убивает всю юридическую конструкцию.
Согласие по 152-ФЗ должно быть конкретным, информированным и сознательным. Предустановленная галочка не отражает волю человека: он её не ставил, значит, осознанного действия не было. Роскомнадзор и суды такое согласие не признают. С точки зрения закона это равно отсутствию согласия — то есть обработке без основания.
Правильно так: чекбокс пустой, пользователь ставит его сам, и без отметки кнопка отправки не срабатывает. Формулировка рядом с чекбоксом должна быть однозначной:
«Нажимая кнопку, я даю согласие на обработку персональных данных и принимаю условия Политики конфиденциальности».
Ещё одна распространённая ошибка — вообще один чекбокс на всё сразу: и на обработку, и на рассылку, и на передачу партнёрам. Так нельзя. Согласие на рекламную рассылку по статье 18 закона «О рекламе» — это отдельная воля, её нельзя «зашивать» в общее согласие на обработку. Если планируете писать письма и слать SMS, делайте вторую, отдельную галочку под маркетинг. Подробнее о том, как устроено само согласие, — в разборе что должно содержать согласие на обработку персональных данных.
Две ссылки под формой, а не одна
Рядом с формой обратной связи должны стоять две разные ссылки, и это не придирка — это два разных документа с разным назначением.
Первая — на политику конфиденциальности. Это публичный документ по статье 18.1, где описано, кто оператор, какие данные и зачем собираются, сколько хранятся, кому передаются и как субъект может отозвать согласие. Политика должна быть доступна с любой страницы, где есть форма. Как её составить правильно, разбирали в статье про политику конфиденциальности для сайта.
Вторая — текст согласия на обработку персональных данных. Формально это отдельная сущность: политика объясняет процессы оператора, а согласие фиксирует волю конкретного человека по девяти пунктам статьи 9 (ФИО оператора, цель, перечень данных, действия с ними, срок, способ отзыва и так далее).
На практике многие сайты дают только ссылку на политику и считают, что этого хватает. Не хватает: без текста согласия непонятно, на что именно человек согласился, а значит, доказать законность обработки при проверке будет нечем.
Отдельно про cookie. Если форма стоит на странице, где работают Яндекс.Метрика, пиксели или другие счётчики, вам нужен ещё и корректный cookie-баннер — но это уже про аналитику, а не про саму форму, и путать эти два основания не стоит.
Минимизация полей: не просите лишнего
Статья 5 закона требует, чтобы состав данных соответствовал целям обработки. Проще говоря: собирайте ровно столько, сколько нужно для конкретной задачи, и ни полем больше.
Если цель формы — перезвонить клиенту, вам нужны имя и телефон. Всё. Дата рождения, паспортные данные, адрес проживания в форме обратного звонка — это избыточные данные, и их наличие само по себе является нарушением принципа минимизации.
Практический ориентир по типам форм:
- Обратный звонок — имя, телефон.
- Заявка на услугу — имя, телефон или email, короткий комментарий.
- Подписка на рассылку — только email (плюс отдельное согласие на рекламу).
- Регистрация в личном кабинете — email, пароль, при необходимости телефон.
Каждое дополнительное поле — это данные, которые вам придётся защищать, хранить и удалять в срок. Чем меньше собрали, тем ниже риск и меньше обязательств. Если форма просит паспорт или другие чувствительные данные, это отдельная история со статьёй 10 и повышенными требованиями — и почти всегда для обычной заявки такие поля не нужны.
Кто оператор: подпись под формой имеет значение
Посетитель, отправляя данные, должен понимать, кому он их передаёт. В тексте согласия и в политике должно быть явно указано, кто оператор: полное наименование ИП или ООО, ИНН, адрес. «Наш дружный коллектив» и «администрация сайта» операторами быть не могут — это не субъекты права.
Это важно не только формально. Именно к указанному оператору субъект будет обращаться, если захочет отозвать согласие или потребовать удалить свои данные. И сроки здесь жёсткие: на предоставление информации об обработке у вас 30 дней по части 3 статьи 20, а на уточнение или уничтожение данных по требованию субъекта — 7 рабочих дней по части 1 статьи 21. Эти сроки часто путают, но они про разное: один про «расскажите, что вы обо мне храните», другой про «удалите».
Если данные из формы уходят в стороннюю CRM, сервис рассылок или коллтрекинг, то это уже поручение обработки, и с таким подрядчиком нужен отдельный договор по статье 6 части 3. Форма, которая молча отправляет заявки в чужой сервис без такого договора, — ещё одно типичное нарушение.
Частые ошибки в формах, за которые штрафуют
Собрал то, что встречается почти на каждом втором сайте:
- Предустановленный чекбокс согласия (или его полное отсутствие).
- Один чекбокс на обработку и на рекламную рассылку сразу.
- Ссылка только на политику, без текста согласия.
- Битая ссылка на политику — файл удалили, а форма осталась.
- Избыточные поля: дата рождения и адрес там, где хватило бы телефона.
- Не указан оператор — непонятно, кому уходят данные.
- Данные пересылаются в Telegram или на личную почту без описания этого канала в политике.
Каждый пункт по отдельности выглядит мелочью. Но при проверке Роскомнадзора они складываются в состав нарушения, а форма — это первое, что инспектор открывает на сайте.
Что делать прямо сейчас
Начните с инвентаризации: откройте свой сайт и найдите все формы — обратный звонок, заявки, подписку, регистрацию, чат. По каждой проверьте четыре вещи: есть ли пустой чекбокс согласия, ведут ли ссылки на живые политику и согласие, не собираете ли лишних полей, указан ли оператор.
Не уверены, что ваши формы оформлены по закону? Запустите бесплатный аудит на соответствие 152-ФЗ → — он проверит формы на сайте, найдёт поля с персональными данными, отсутствие согласия и битые ссылки на документы, и покажет, какие из них создают риск штрафа.
Использованные нормативные акты: Федеральный закон № 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 9, 10, 18.1, 20, 21); Кодекс РФ об административных правонарушениях (ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024, действует с 30.05.2025); Федеральный закон № 38-ФЗ «О рекламе» (ст. 18).