1. Составьте карту обработки
Зафиксируйте не только видимые формы, но и все системы, которые получают данные посетителя:
- формы заявки, обратного звонка, регистрации и подписки
- телефон, email и мессенджеры
- онлайн-чат, CRM, коллтрекинг и сервис рассылок
- аналитика, рекламные пиксели, карты и внешние виджеты
- cookies, localStorage, IP-адреса и идентификаторы устройств
- серверы, резервные копии и подрядчики, имеющие доступ к данным
2. Определите цель и основание
Для каждого набора данных запишите цель, минимально необходимый состав, срок хранения и правовое основание. Не добавляйте поля и данные «на будущее», если для них нет определённой цели. Если обработка основана на согласии, с 1 сентября 2025 года его оформляют отдельно от другой информации и документов, которые пользователь подтверждает или подписывает.
3. Проверьте пользовательские документы
Откройте каждую форму как посетитель и сопоставьте её с документами:
- политика обработки персональных данных опубликована, открывается с формы и описывает её реальную работу
- согласие является конкретным, предметным, информированным, сознательным и однозначным, а система сохраняет доказательство его получения; для письменного согласия включён полный состав сведений по части 4 статьи 9
- у формы есть понятная ссылка на отдельное согласие, если оно используется как основание
- cookie-информация перечисляет фактически используемые технологии и внешние сервисы
- в документах нет несуществующих форм, подрядчиков или целей
4. Проверьте обязанности оператора
По общему правилу оператор уведомляет Роскомнадзор до начала обработки; сначала проверьте, относится ли компания к предусмотренному законом исключению. До начала трансграничной передачи подаётся отдельное уведомление по части 3 статьи 12 — общее уведомление по статье 22 его не заменяет. Проверьте также договоры с обработчиками, меры защиты, порядок ответа пользователям и план действий при инциденте.
С 1 июля 2025 года при сборе персональных данных граждан РФ нельзя использовать зарубежные базы для записи, систематизации, накопления, хранения, уточнения и извлечения данных, кроме прямо названных законом случаев. Уточните фактическую страну размещения CRM, хостинга, аналитики, резервных копий и журналов. Встроенная аналитика и серверные логи учитываются, даже если в коде страницы нет отдельного счётчика. Наличие российской первичной базы не отменяет трансграничную передачу, если иностранный получатель получает данные или доступ к ним.
5. Протестируйте сайт
Отправьте тестовую заявку и проследите, куда она попала. Сравните сетевые запросы до и после выбора cookies, откройте все ссылки на документы и убедитесь, что имена, телефоны, email и другие идентификаторы не попадают в URL и рекламные системы. Зафиксируйте результат в карте обработки, перечне нужных документов и техническом задании с конкретными изменениями сайта.