Обратный звонок, чат и квиз: за что чаще всего штрафуют по 152-ФЗ

Штраф по 152-ФЗ чаще всего прилетает не за утечку базы, а за виджет обратного звонка, чат или квиз на сайте: форма собирает телефон и имя без чекбокса согласия и ссылки на политику обработки данных. Для юрлица это от 60 000 до 100 000 рублей за первое нарушение по статье 13.11 КоАП. Исправляется за один рабочий день.

почему возникает штраф за форму обратного звонка, чата и квиза

Московская компания, поставщик климатического оборудования, штат 22 человека. Маркетолог за вечер подключает квиз «подберите кондиционер по площади и бюджету» — три экрана, кнопка «получить расчёт», поле для телефона в конце. Отдел продаж рад: за первую неделю квиз приносит 47 заявок, конверсия в разы выше формы «оставить заявку» на карточке товара.

Но через месяц в компанию приходит запрос от Роскомнадзора: один из посетителей пожаловался, что оставил телефон в квизе и через два дня получил звонок с рекламой, хотя нигде не давал согласия на обработку данных. Чекбокса согласия в форме не было вообще — конструктор квизов не включил его по умолчанию. Ссылка «политика конфиденциальности» в футере вела на страницу с текстом трёхлетней давности, где не упоминались ни квиз, ни подрядчик, который хостит виджет.

Ставка здесь не абстрактная. Штраф для юрлица по части 1 статьи 13.11 КоАП — от 60 000 до 100 000 рублей за первое нарушение, при повторном — уже от 100 000 до 300 000. К штрафу добавляется предписание устранить нарушение в срок, а для B2B-компании есть и второй счёт: контрагент, который перед подписанием договора открывает сайт поставщика и видит форму без согласия, делает вывод о том, как в компании вообще обращаются с чужими данными. Для тендеров и госзаказчиков такая проверка сайта нередко идёт до первого звонка менеджеру.

какие требования 152-ФЗ чаще всего нарушают виджеты обратной связи

Проблема редко живёт в одном месте — обычно совпадают сразу несколько вещей.

чекбокс согласия отсутствует или стоит галочкой по умолчанию

152-ФЗ требует, чтобы согласие на обработку персональных данных было конкретным и осознанным действием пользователя. Предзаполненный чекбокс юридически не согласие — пользователь его не ставил сам, значит действия не было. Та же логика касается кнопки «отправить»: если она отправляет форму без отдельного клика по чекбоксу, согласия формально нет, даже если чекбокс присутствует на экране.

ссылка на политику обработки ведёт в никуда или не описывает конкретный виджет

Часто политика написана под форму заказа на сайте, а квиз или чат подключили подрядчики уже после её публикации. В документе не сказано, что данные передаются провайдеру виджета, где они хранятся и как долго. При проверке это читается как формальное несоответствие: документ есть, но он не покрывает конкретный способ сбора данных.

данные уходят на сторонний сервер, о котором в компании никто не знает

Виджеты обратного звонка и чата почти всегда — сторонний сервис: скрипт вставляется в код сайта, а сами заявки хранятся на серверах разработчика виджета. Если в договоре с этим разработчиком нет пункта об обработке персональных данных по поручению, отвечает за это компания как оператор данных — не подрядчик, который написал скрипт.

нет ограничения по сроку хранения и права на отзыв согласия

Закон обязывает обозначить, сколько времени данные будут храниться, и дать пользователю способ отозвать согласие и потребовать удаления. У большинства виджетов заявки лежат в базе бессрочно, а формы для отзыва на сайте просто нет — чтобы удалить свой номер, человеку нужно писать в поддержку стороннего сервиса напрямую, о чём он чаще всего даже не знает.

кто в компании отвечает за форму, если пришёл штраф

За виджет обычно отвечает тот, кто его подключил, — маркетолог или подрядчик по рекламе. Но по 152-ФЗ оператором персональных данных выступает юрлицо, которому принадлежит сайт, а не сотрудник, вставивший код виджета. Запрос от Роскомнадзора придёт на компанию, даже если человек, который когда-то подключал квиз, давно сменил работу.

На практике это значит: ответственность нельзя делегировать одному отделу и забыть про неё. Политику обработки персональных данных утверждает директор или назначенное лицо, а не тот, кто верстал лендинг под рекламную кампанию. Если за формы отвечают три-четыре человека и никто не смотрит на них вместе, разрыв между «маркетинг подключил» и «юрист согласовал» и порождает штраф — каждый уверен, что вопрос закрыт кем-то другим.

как исправить форму обратного звонка, чат и квиз без разработчика

Часть работы делается через админку сайта за час-два, без привлечения программиста.

• ✓Убрать предзаполненную галочку в чекбоксе согласия — пользователь должен поставить её сам отдельным действием.
• ✓Добавить рядом с формой короткую ссылку на политику обработки персональных данных, которая описывает именно этот виджет, а не форму заказа с другой страницы сайта.
• ✓Дописать в текст политики, кому передаются данные — назвать провайдера чата или квиза, цель обработки и срок хранения.
• ✓Проверить все копии формы на сайте: на главной, в мобильной версии, на посадочных страницах с рекламы. Часто чекбокс есть в одном месте и отсутствует в остальных.
• ✓Добавить на сайте способ отозвать согласие — почту или форму, куда можно написать с требованием удалить данные.
• ✓Сохранять факт согласия — время, IP-адрес, версию текста, под которым согласился пользователь: это пригодится при проверке.

Пройтись по всем формам вручную реально для сайта из 5-6 страниц. Когда лендингов и виджетов больше десятка, быстрее и надёжнее смотреть на них через технический аудит сайта, который находит каждую копию формы и проверяет её по чек-листу 152-ФЗ, а не только ту, что на глазах у маркетолога.

что делать, если ошибка с формами повторяется после доработки

Через месяц после правок та же компания получает повторную жалобу. Форма на главной — с чекбоксом, всё чисто. Но менеджер по рекламе давно ведёт трафик на отдельный лендинг под контекстную рекламу, собранный на другом конструкторе, а там стоит копия старого квиза без единой правки. Поэтому одна исправленная форма не значит, что нарушение закрыто: на сайте B2B-компании обычно живёт 4-6 форм — на главной, в карточках товаров, в футере, на лендингах под рекламу, в мобильной версии, иногда отдельная в личном кабинете.

Причины, почему нарушение возвращается, обычно одни и те же:

• ✓виджет обновляется у провайдера и сбрасывает пользовательские настройки чекбокса при автообновлении скрипта — правку приходится вносить заново после каждого релиза;
• ✓кеш страницы отдаёт посетителям старую версию формы без согласия, хотя в коде правка уже стоит;
• ✓CRM-интеграция подтягивает поле «телефон» из формы, которую забыли включить в правку, потому что она вела к другому сценарию отправки;
• ✓за разные формы отвечают разные подрядчики — тот, кто верстал лендинг под рекламу, не в курсе правки на основном сайте и работает со старым шаблоном.

Решение — не разовая правка, а регулярный чек с одним ответственным: раз в квартал или сразу после запуска новой рекламной кампании проверять, что все формы на сайте синхронизированы и ведут на один актуальный текст политики. Если новых лендингов и виджетов за квартал набирается больше двух-трёх, точечные проверки перестают успевать — тогда список форм и их статус имеет смысл вести как часть постоянного технического аудита, а не как разовую задачу маркетолога.

как предотвратить штраф за формы на сайте: чек-лист

Общий принцип простой: форма должна запрашивать минимум данных, необходимых для обработки заявки, а не всё, что придумал дизайнер квиза. Чем меньше полей и чем очевиднее чекбокс согласия, тем ниже риск и тем выше, как правило, конверсия — лишние поля отпугивают заявителя не хуже, чем отсутствие галочки отпугивает проверяющего.

Проверять формы раз в квартал недостаточно, если ответственного нет — тогда чек-лист просто не открывают. Практика, которая работает: один человек (чаще руководитель маркетинга или ИТ-специалист) ведёт список всех форм на сайте с датой последней проверки, а при запуске новой рекламной кампании или лендинга обязательный пункт в чек-листе — чекбокс согласия и актуальная ссылка на политику, прежде чем страница уйдёт в рекламу.

Три формы ведут себя по-разному, и риск у них не одинаковый.

Формы — только один из девяти блоков, которые мы проверяем в аудите сайта: туда же входят политика конфиденциальности целиком, куки-баннер и интеграции с рекламными кабинетами — они передают телефон дальше не реже, чем квизы. На выходе не абстрактный отчёт, а список конкретных страниц и строк кода, которые нужно поправить, с приоритетом по риску, а не общими рекомендациями «улучшить безопасность».

Для компаний, которые уже проходили проверку Роскомнадзора, есть смысл не чинить формы разово, а закладывать повторный аудит в план: новые лендинги и виджеты появляются быстрее, чем успевает обновляться политика. Состав пакетов и стоимость — на странице тарифов.

❓ Частые вопросы

Какой штраф грозит за форму без согласия на сайте?

По части 1 статьи 13.11 КоАП штраф для юрлица — от 60 000 до 100 000 рублей за первое нарушение, при повторном — от 100 000 до 300 000. Дополнительно Роскомнадзор выдаёт предписание устранить нарушение в конкретный срок, и его придётся выполнить, иначе штраф выпишут повторно.

Чем чат-виджет отличается от формы обратного звонка с точки зрения риска?

Чат хранит переписку целиком, а не только телефон — если провайдер чата не указан в политике конфиденциальности как получатель данных, это отдельное нарушение. Обратный звонок обычно собирает меньше данных, но чаще передаёт их напрямую внешнему сервису для дозвона, о котором на сайте не сказано ни слова.

Нужно ли согласие на обработку данных, если квиз не сохраняет email?

Да. Согласие требуется на любые персональные данные, которые позволяют идентифицировать человека — имени и телефона для этого достаточно. Отсутствие email ничего не меняет: чекбокс согласия и ссылка на политику обязательны для любой формы, где пользователь оставляет контакт для обратной связи.

Как быстро можно закрыть нарушение после жалобы или предписания?

Технически чекбокс и ссылку на политику добавляют за один-два часа. Дольше занимает актуализация текста политики под все формы на сайте и проверка, куда данные передаются физически — на это закладывают 2-3 рабочих дня, если делать через аудит сайта с готовым чек-листом.

Как узнать, сколько форм на самом деле есть на сайте?

Ручной подсчёт часто занижает цифру: отдельные формы стоят на лендингах под рекламу, в мобильной версии, в интеграциях с CRM. Технический аудит сайта проходит по всем страницам и находит каждую точку сбора данных, включая те, что не видны в стандартном меню CMS.