РКН Аудит
152-ФЗ не делится на отраслевые главы: обязанности оператора одинаковы у клиники, автосалона и онлайн-школы. Разница возникает из состава данных, которые собирает форма на сайте. Как только в заявке появляются сведения о здоровье или о судимости, включается особый режим статьи 10 152-ФЗ; если данные касаются ребёнка — нужно согласие законного представителя; если заявка уходит партнёру — отдельное основание на передачу. Финансовые данные специальной категорией не являются, но почти всегда тянут за собой передачу третьим лицам. Отрасль — это не правовой режим, а подсказка, какие поля окажутся в форме.
Проверить бесплатно, какие данные собирают формы на вашем сайте и что о них сказано в политике ←
Отличаются ли требования 152-ФЗ по отраслям?
Формально — нет. Закон говорит об операторе вообще, а не о клинике или банке. Практически разница огромна, и складывается она из трёх вещей.
Состав данных. Обычная форма «имя, телефон, почта» и форма «имя, телефон, диагноз» — это разный правовой режим, хотя обе живут на одной странице одного сайта.
Основание обработки. Заявка на обратный звонок обрабатывается по согласию, заказ — по договору, обращение о некачественной услуге — по обязанности, установленной законом. Одна и та же отрасль может опираться на разные основания в разных формах.
Отраслевые обязанности поверх 152-ФЗ. Врачебная тайна, тайна усыновления, банковская тайна, обязанности работодателя — это отдельные правовые институты. Они не смягчают 152-ФЗ и не заменяют его: обязанности складываются, а не выбираются.
Дальше — по группам, в которых собирается большая часть форм рунета.
Что меняется, когда данные становятся специальной категорией?
Часть 1 статьи 10 152-ФЗ перечисляет специальные категории: расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. По общему правилу обработка таких данных не допускается — закон формулирует это именно как запрет с исключениями, а не как разрешение с условиями. Сведения о судимости стоят в той же статье, но отдельно, в части 3, и режим у них свой — о нём ниже, в разделе про наём.
Практически для сайта важны два следствия.
Первое: по общему правилу согласие нужно в письменной форме. Это тот редкий случай, когда закон действительно требует письменной формы — в отличие от обычной формы обратной связи, где достаточно любой формы, позволяющей подтвердить факт получения согласия. Электронная подпись или иной способ, приравненный законом к письменной форме, здесь тоже работает, но «галочка» в привычном виде — нет. При этом письменное согласие — только первый пункт перечня исключений в части 2 статьи 10 152-ФЗ: там же есть, например, обработка в медико-профилактических целях и для оказания медицинских услуг лицом, обязанным сохранять врачебную тайну.
Второе: цена ошибки другая. Составы по статье 13.11 КоАП различаются в зависимости от того, требовал ли закон письменной формы согласия. Таблица санкций собрана в статье «Штрафы Роскомнадзора в 2026 году».
Отдельно стоят биометрические данные: по статье 11 152-ФЗ это сведения о физиологических и биологических особенностях, которые оператор использует для установления личности. Фотография становится биометрией не сама по себе, а тогда, когда применяется для идентификации, — деталь, которую особенно часто искажают в отраслевых материалах.
Медицина и здоровье: почему форма записи к врачу — не обычная форма?
Самая распространённая ошибка отрасли — переносить на сайт клиники форму, скопированную у интернет-магазина.
Что в ней обычно появляется: выбор специалиста, выбор услуги, поле «что вас беспокоит», иногда возраст пациента и загрузка результатов анализов. Каждое из этих полей превращает заявку в сведения о состоянии здоровья конкретного человека.
Минимальный набор действий:
- Сократить форму. Имя, телефон и удобное время — это не данные о здоровье. Конкретику уточняет администратор по телефону, где она фиксируется уже в медицинской системе, а не в почтовом ящике сайта.
- Если конкретика в форме нужна — определиться с основанием. Для самой медицинской организации работает пункт 4 части 2 статьи 10 152-ФЗ: обработка в медико-профилактических целях, для установления диагноза и оказания медицинских услуг лицом, обязанным сохранять врачебную тайну. Если же данные о здоровье собирает не медорганизация — агрегатор записи, маркетинговое агентство, сайт-посредник — или цель шире лечения, остаётся согласие в письменной форме, и специальную категорию в нём нужно назвать прямо.
- Проверить, куда уходит заявка. Бесплатный почтовый ящик, чат-виджет и внешняя CRM означают, что данные о здоровье покидают ваш контур. Чаще всего это поручение обработки по части 3 статьи 6 152-ФЗ, и тогда нужны согласие субъекта на поручение и договор с перечнем данных, действий и целей; если сервис использует данные в своих целях — это уже передача третьему лицу, и нужно согласие на неё.
- Описать это в политике. Если политика не упоминает данные о здоровье, а форма их собирает, расхождение видно снаружи — механика разобрана в статье «Формы собирают больше данных, чем описано в политике».
Образование и детские услуги: чьё согласие нужно?
Вторая группа, где ошибка стоит дороже общей, — всё, что связано с детьми: школы, кружки, детские центры, репетиторы, онлайн-курсы.
Ключевое отличие: данные ребёнка предоставляет не он сам. Согласие на обработку данных ребёнка до 14 лет даёт законный представитель; с 14 до 18 лет подросток даёт его сам, но с письменного согласия представителя (часть 1 статьи 26 ГК РФ). В форме на сайте это должно быть отражено — начиная с того, кто именно её заполняет. Разбор — в статье «Согласие на обработку персональных данных ребёнка».
Второе отличие — состав данных. Класс, успеваемость, особенности здоровья, фотографии с занятий: сведения о здоровье — специальная категория по статье 10 152-ФЗ, а фотография уходит в отдельный режим статьи 11, но только если организация использует её для узнавания человека. Что из этого требуется от образовательной организации, разобрано в статье «152-ФЗ для онлайн-школы», а частный случай самозанятого преподавателя — в статье «Персональные данные у репетитора».
Финансы, займы и страхование: что добавляется?
Здесь к 152-ФЗ добавляются обязанности, которые приходят из финансового регулирования и из закона о рекламе, а сами формы традиционно перегружены.
Что характерно для отрасли:
- Много данных в одной форме. Сумма, срок, доход, занятость, иногда паспортные данные. Само по себе «до договора» не значит «на основании согласия»: пункт 5 части 1 статьи 6 152-ФЗ отдельно называет основанием обработку, необходимую для заключения договора по инициативе самого человека. Согласие нужно там, где данные используются шире преддоговорной цели, — для рассылок, скоринга сторонними сервисами или передачи партнёрам.
- Заявка почти всегда уходит дальше. Агрегаторы и партнёрские витрины передают анкету нескольким организациям сразу. Это передача третьим лицам, и она требует своего основания и перечня получателей.
- Требования к самой рекламе. Часть 1 статьи 28 закона «О рекламе» (38-ФЗ) требует называть в рекламе финансовых услуг лицо, которое эти услуги оказывает. А если в рекламе сообщается хотя бы одно условие, влияющее на сумму доходов или расходов клиента, нельзя умалчивать об остальных таких условиях (пункт 2 части 2 статьи 28). Это требования закона о рекламе, а не 152-ФЗ, но проверяют их одни и те же страницы сайта.
Отдельная типичная проблема — калькуляторы. Калькулятор, который считает платёж только в браузере, персональных данных не обрабатывает. Калькулятор, который отправляет введённые параметры на сервер вместе с идентификатором посетителя, — обрабатывает, и об этом в политике обычно ничего нет.
Недвижимость, авто и услуги: кому на самом деле уходит заявка?
Отрасли, где лид — товар. Заявка с сайта агентства недвижимости или автосалона часто уходит одновременно застройщику, банку и страховой компании.
Юридически здесь есть только две конструкции, и смешивать их нельзя.
| Передача третьему лицу | Поручение обработки | |
|---|---|---|
| Кто определяет цели | Получатель — свои собственные | Вы, получатель действует по вашему заданию |
| Что нужно | Согласие человека на передачу с указанием получателя и цели | Согласие человека на поручение обработки (часть 3 статьи 6 152-ФЗ, если иное не установлено федеральным законом) плюс договор поручения с перечнем данных, действий, целей и требований к защите |
| Кто отвечает перед человеком | Каждый оператор за себя | Вы: подрядчик отвечает перед вами |
| Что должно быть в политике | Категории получателей и цель передачи | Указание, что обработка поручается, и цели поручения |
| Типичный пример | Отправка анкеты банку-партнёру | Хранение заявок во внешней CRM |
Формулировка «данные могут быть переданы партнёрам компании» не подходит ни под один столбец: она не называет ни получателей, ни цели. Как устроена ответственность, когда в цепочке несколько компаний, разобрано в статьях «Маркетплейс и персональные данные: кто здесь оператор» и «Передача персональных данных курьерской службе».
Наём и HR: почему форма «отправить резюме» живёт по другим правилам?
Раздел «Вакансии» обычно делают последним и по остаточному принципу — и получают форму, которая собирает больше чувствительных данных, чем весь остальной сайт.
Что приходит вместе с резюме: дата рождения, адрес, сведения об образовании, о предыдущих работодателях, иногда фотография, семейное положение, отношение к воинской обязанности. Отдельные поля, которые встречаются в анкетах и почти всегда лишние на этапе отклика, — гражданство, наличие судимости, состояние здоровья. Данные о здоровье — специальная категория по части 1 статьи 10 152-ФЗ, их обработка возможна по письменному согласию. С судимостью строже: часть 3 статьи 10 152-ФЗ разрешает её обработку государственным и муниципальным органам в пределах полномочий и иным лицам только в случаях и порядке, которые определяются в соответствии с федеральными законами. Согласием кандидата это поле не легализуется — спрашивать о судимости можно лишь там, где ограничение на работу прямо установлено законом.
Три отличия HR-формы от маркетинговой:
- Цель узкая. Данные собраны для рассмотрения кандидатуры на конкретную вакансию. Рассылать по этой базе предложения об услугах компании нельзя: это другая цель, и она требует согласия по статье 15 152-ФЗ.
- Срок хранения короче, чем кажется. Резюме отклонённого кандидата хранится, пока это нужно цели, ради которой оно получено. «Оставим в базе на будущее» — самостоятельная цель, о которой человека нужно спросить.
- Кадровое агентство — не всегда подрядчик. Если оно подбирает кандидатов в своих интересах и ведёт собственную базу, это отдельный оператор, а не исполнитель поручения.
Практический минимум для страницы вакансий: короткая форма, отдельный текст согласия с целью «рассмотрение кандидатуры», названный срок хранения и явный ответ на вопрос, что происходит с резюме после закрытия вакансии.
Какие требования добавляются именно вашей форме?
Универсальный способ — не смотреть на вывеску, а перечислить поля и ответить на пять вопросов.
| Вопрос о форме | Если «да» — что добавляется |
|---|---|
| Есть поля о здоровье, диагнозе, услуге врача? | Специальная категория, статья 10 152-ФЗ: согласие в письменной форме |
| Данные касаются ребёнка? | Согласие законного представителя, явное указание, кто заполняет форму |
| Загружается фотография и используется для узнавания человека? | Биометрия, статья 11 152-ФЗ, отдельный режим |
| Заявка уходит другому юридическому лицу? | Согласие на передачу с перечнем получателей либо согласие на поручение обработки и договор поручения по части 3 статьи 6 152-ФЗ |
| Планируются рассылки и звонки с предложениями? | Отдельное согласие на продвижение по статье 15 152-ФЗ |
Пять ответов «нет» означают обычный режим: политика по статье 18.1 152-ФЗ, корректное согласие по статье 9, уведомление в реестре операторов. Каждый ответ «да» добавляет документ или поле, а не заменяет предыдущие.
Что из отраслевой специфики видно снаружи?
Больше, чем кажется. Роскомнадзор смотрит на сайт до всякого запроса документов, и рассогласования видны без доступа к вашей CRM:
- форма собирает данные, которых нет в перечне категорий в политике;
- клиника, школа или кадровое агентство используют типовую политику интернет-магазина;
- в целях обработки, заявленных в реестре операторов, нет ни медицины, ни образования, ни передачи партнёрам;
- одна галочка закрывает и оферту, и обработку, и рассылку;
- заявка с чувствительными полями уходит через сторонний виджет.
Почти всё из этого списка бесплатный скан на rkn-ok.ru проверяет автоматически: состав форм, текст согласий, содержание политики, сторонние скрипты на страницах с формами и запись компании в реестре операторов по ИНН — включая расхождение между категориями данных в формах, в политике и в уведомлении РКН. Формулировки целей обработки в реестре скан не оценивает — это ручная сверка. Отраслевые документы — согласие в письменной форме, договоры поручения, порядок работы с тайной — придётся собрать самостоятельно, но начинать имеет смысл с того, что уже открыто всем.
→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)
Что читать дальше
- Статья 15 152-ФЗ: обработка данных для маркетинга — согласие на рассылки и бремя доказывания
- Персональные данные покупателей интернет-магазина — базовый сценарий, от которого считаются отраслевые надстройки
- Согласие на обработку ПДн ребёнка — кто подписывает и что указывать
- Рекомендательные алгоритмы и персональные данные — что добавляется, когда маркетинг становится автоматическим
- Формы собирают больше данных, чем описано в политике — самое частое расхождение
Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 6, 9, 10, 11, 15, 18.1; КоАП РФ — статья 13.11; Федеральный закон №38-ФЗ «О рекламе» — статья 28; Гражданский кодекс РФ — часть 1 статьи 26.