Сайт, CRM и иностранные сервисы

Сайт может передавать сведения ещё до отправки формы. Сторонний счётчик, чат, пиксель и SDK приложения иногда получают адрес устройства, идентификатор, URL, событие заказа и содержимое полей. Поэтому проверка начинается с наблюдения сетевых запросов и настроек, а не с текста баннера. Одинаковое слово cookie охватывает технически и юридически разные операции.

Как понять, что именно собирается

По статье 3 Закона № 152-ФЗ оценивают, относятся ли сведения к определённому или определяемому человеку. Для этого учитывают связку идентификаторов и реальные возможности сопоставления у получателя. Само отсутствие ФИО не делает профиль обезличенным. Вместе с тем утверждение «любой cookie всегда персональные данные» слишком широко: необходимо исследовать назначение, содержание, связываемость и участников обработки.

Для каждого элемента составляют запись: когда он запускается, какие сведения получает, на чью цель работает, куда направляет данные, как долго хранит идентификатор, что происходит при отказе и удалении. Проверяют первое открытие, отказ, согласие только на одну цель, повторный визит и отзыв. Это инструкция для разрешённой проверки своего сайта; доступ к чужой инфраструктуре из неё не следует.

Необходимая сессия авторизации и рекламный профиль требуют разных оснований. Если оператор опирается на договор, он объясняет необходимость конкретной операции для услуги самому пользователю. Для прямого рекламного контакта нужны предварительное согласие и немедленное прекращение по требованию. Если используется согласие на аналитику, необязательная аналитическая передача должна соответствовать выбранному человеком объёму с момента запуска. Красивый баннер, который ничего не меняет в отправке данных, не доказывает исполнение. Статьи 3, 5, 6, 9, 15.

Что должен понимать пользователь

Рядом с формой объясните, кто получает данные и зачем; предоставьте доступ к политике. Уберите поля, не нужные для заявленной задачи. Запрос обратного звонка не следует одновременно объявлять бессрочным разрешением на любые рекламные предложения. Согласие, когда оно является основанием, с 01.09.2025 оформляется отдельно от оферты и иной подтверждаемой информации. Его содержание и факт получения должны восстанавливаться по журналу. Правило не устанавливает единственного дизайна интерфейса, но требует самостоятельного и понятного волеизъявления. Отдельное согласие.

В чате человек может сам прислать паспорт, диагноз или сведения о ребёнке. Это не даёт компании неограниченного права их использовать. Ограничьте ввод объяснением, настройте доступ и удаление избыточных вложений; для необходимой специальной категории проверьте статью 10. Передача содержимого чата в генеративный AI — новая операция: выясните цели поставщика, обучение на запросах, место обработки, поручение и возможность удаления. Настройка «не обучать» не решает локализацию и законность предоставления сама по себе.

Мобильное разрешение операционной системы на камеру или геолокацию подтверждает техническое разрешение приложения, но не автоматически все юридические условия обработки. Укажите назначение, включайте доступ по необходимости, проверьте фоновые сборы и сторонние SDK. Получение контактов адресной книги затрагивает также людей, которые не устанавливали приложение; необходимы их собственные основания, а не только согласие владельца телефона.

Доказательства и исправление

Сохраните версии интерфейса и текстов, перечень скриптов, настройки запусков, результаты проверки и журнал событий согласия с контролем доступа. Сам журнал также содержит сведения и требует срока хранения. При обнаружении лишней передачи отключите соответствующий поток, определите уже переданное, запросите у получателя прекращение и подтверждение исполнения. Если установлены признаки инцидента по статье 21, применяйте специальную процедуру, а не просто обновляйте политику. В ответ на жалобу объясняйте конкретные операции и их основание; субъекту доступны РКН и суд.

Практика и сильное возражение

В деле LinkedIn исследовались пользовательское соглашение, политика cookies, регистрация и синхронизация почты и устройств, открывающая сведения о третьих лицах. Мосгорсуд подтвердил нарушение в установленных обстоятельствах. Дело показывает, что содержание реальных потоков важнее одного названия файла; оно не вводит универсальной конструкции баннера и не разрешает вопрос каждого современного SDK. Дело № 33-38783/16.

Прямой акт ВС, устанавливающий единое правило для всех технических cookies, аналитики и рекламных пикселей, в просмотренных источниках не выявлен. Сильное возражение разработчика — передаются только несвязываемые технические значения. Оно заслуживает технической проверки, включая получателя и его другие базы. Пока связываемость и география неизвестны, нельзя объявить поток соответствующим закону. Локализация и иностранные сервисы, инцидент.

Российский адрес сервера не даёт полного ответа, если браузер одновременно отправляет заявку иностранной аналитике или зарубежный подрядчик выгружает CRM. Локализация сбора и трансграничная передача — отдельные проверки. Они обе нужны, когда факты охватывают оба режима; согласие пользователя не отменяет обязательную локализацию.

Что изменилось и какая дата решает

С 1 июля 2025 года часть 5 статьи 18 Закона № 152-ФЗ прямо запрещает при сборе данных россиян запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз за пределами РФ. Исключения отсылают к пунктам 2, 3, 4 и 8 части 1 статьи 6. Обычное согласие или удобство иностранного облака в этот перечень не входят. Поправку ввёл Закон № 23-ФЗ. Историческая формула «первично записали в России — значит, всё допустимо» требует проверки конкретных дальнейших действий: нельзя прикрывать российской промежуточной записью продолжающийся сбор в зарубежную базу. Статья 18, Закон № 23-ФЗ.

Трансграничная передача по пункту 11 статьи 3 — передача на территорию иностранного государства иностранному органу, физическому или юридическому лицу. Поэтому исследуются территория, получатель и операция. Удалённый доступ иностранного подрядчика к данным из-за рубежа может быть предоставлением доступа и требовать статьи 12, даже без скачанного файла. Поездка российского работника за границу сама по себе не позволяет без анализа назвать любого доступа иностранным получателем: нужно установить статус лица, устройство, облачные копии и место обработки.

С 26 июля 2026 года Закон № 265-ФЗ изменил статью 12: участие страны в Конвенции Совета Европы больше не является отдельным основанием для начала передачи по части 10. Имеет значение включение в перечень РКН. Проект нового перечня, обнаруженный в поиске, не подменяет действующий приказ. В сохранённой проверенной карточке приведён приказ № 128; перед конкретной передачей необходимо сопоставить страну и применимую редакцию перечня с действующими ограничениями. Глава не утверждает допустимость определённого облака во всех его дата-центрах. Закон № 265-ФЗ, статьи 1 и 7, перечень РКН.

Последовательность до включения интеграции

Опишите исходный сбор и все базы: основную, реплики, логи, резерв, аналитику, поддержку. Запросите у поставщика не маркетинговое обещание, а договорную сторону, территории, получателей, субподрядчиков, меры защиты и условия прекращения. Определите правовое основание дальнейшей обработки, поручение по статье 6 и необходимые сведения для субъекта. Выясните, может ли поставщик использовать данные в собственных целях или обучать модель; это не обычное техническое хранение по команде клиента.

До подачи отдельного уведомления о трансграничной передаче получите сведения по части 5 статьи 12: защита и прекращение, данные получателя, а для государства вне перечня — сведения о правовом регулировании. Проведите и датируйте оценку конфиденциальности и безопасности. Затем подайте уведомление отдельно от общего уведомления оператора: укажите основания, цели, данные, субъектов, страны, ответственного и дату оценки.

Для страны из перечня часть 10 позволяет начать передачу после направления уведомления до решения о запрете или ограничении, при соблюдении остальных условий. Для страны вне перечня нельзя начинать до истечения срока части 9: десять рабочих дней с поступления уведомления; рассмотрение приостанавливается при запросе дополнительных сведений. Исключение касается необходимой защиты жизни, здоровья и иных жизненно важных интересов. Запрошенные сведения предоставляют в десять рабочих дней с возможным мотивированным продлением на пять. Молчание органа не подтверждает соответствие другим требованиям закона.

Если орган запретил или ограничил передачу, нужно исполнить решение и обеспечить уничтожение ранее переданного у иностранного получателя по части 14 статьи 12. Именно поэтому договорная возможность остановки и удаления проверяется до интеграции. На оспаривании решения отдельно решают вопрос обеспечения; само несогласие не разрешает продолжать запрещённый поток.

Что доказывать и чем рискует оператор

Сохраните схему потока, результаты технического наблюдения, документы провайдера, территориальные настройки, журналы, уведомления и квитанции, оценку иностранного получателя, предписания и подтверждение удаления. При расследовании нельзя ограничиться IP-адресом одного узла: он может не показывать место хранения и всех получателей.

Части 8 и 9 статьи 13.11 КоАП устанавливают за нарушение локализации для юридического лица 1–6 млн рублей, повторно — 6–18 млн; ИП по примечанию отвечает как юридическое лицо. Это не универсальные санкции за любую иностранную передачу: сначала устанавливается состав, время и ответственность. КоАП.

Практика и сильное возражение

Мосгорсуд в деле LinkedIn № 33-38783/16 подтвердил решение от 04.08.2016 о нарушении и ограничении доступа. Были исследованы целенаправленный сбор данных российских пользователей, обработка сведений иных людей через синхронизацию, положение компаний группы и отсутствие локализации. Доводы о другом иностранном юридическом лице и неприменимости российского права отклонены. Историческое дело не толкует запрет редакции 2025 года или изменения 2026 года; оно показывает необходимость устанавливать реальный операторский контур. Апелляционный акт.

Сильное возражение поставщика: передаются действительно обезличенные сведения, не позволяющие получателю установить человека, либо операция не является сбором. Проверяют сам массив, дополнительные таблицы, доступные получателю данные и назначение операции. Название «аналитика» или удаление ФИО этого не доказывает. Прямой позиции ВС о любой современной схеме «российская CRM плюс иностранный AI» в исследованной выборке не найдено; неизвестную архитектуру нельзя объявить законной по одному договору.

Связанные материалы: роли, сайт и аналитика, обезличивание, безопасность.

Сервер CRM стоит в России, но сайт передаёт идентификаторы в иностранную аналитику, а подрядчик входит из другой страны. Российский адрес одного сервера не доказывает соблюдения всех условий. Проследите каждую операцию, маршрут данных и получателя, включая резервирование, журналы, техподдержку и скрытые интеграции.

В карте укажите субъектов, категории, цель, основание и участника, определяющего цель. Подрядчик по поручению и самостоятельный оператор имеют разную ответственность. Установите, передаются ли за границу персональные данные, в какой момент и кому; удалённый доступ исследуйте фактически, не называйте его автоматически безопасным только из-за отечественного хостинга. Локализация и трансграничное уведомление — разные условия, одно не заменяет другое.

Сохраните сетевую и договорную карту, настройки тегов, тексты пользовательских действий, перечень стран, условия поручения и документы иностранного получателя. Это план юридической проверки, не разрешение тестировать чужую систему. До запуска передачи выполните условия статьи 12 и проверьте актуальный перечень государств и решение органа, если применимо. Изменение Закона № 152-ФЗ от 26.07.2026 № 265-ФЗ исследовано в главе: прежнее автоматическое рассуждение через участие государства в Конвенции нельзя использовать без актуальной проверки.

Дело LinkedIn показывает, что суд исследует фактическую организацию ресурса и обработки, а не только объяснение группы компаний, кто формально отвечает за регион. Это конкретная практика 2016 года; современный вывод основывается прежде всего на действующих статьях 12 и 18, прочитанных отдельно. Сильное возражение бизнеса — аналитика получает действительно обезличенные сведения, из которых лицо не определяется. Его проверяют содержанием и возможностью связывания, а не названием cookie «техническая».

Исполнимый итог — отключённые до проверки лишние передачи, согласованные поручения, подтверждённые уведомления и разрешённая схема доступа с контролем. Российский правовой выпуск не удостоверяет соблюдение GDPR или иностранного отраслевого режима; наличие такой обязанности проверяют отдельно по территории и деятельности.

Основания маршрута: Закон № 152-ФЗ: прочитанные статьи о жизненном цикле персональных данных, Трансграничная передача: июльское изменение 2026 года, Перечень государств с адекватной защитой: приказ № 128, Мосгорсуд: LinkedIn, оператор и локализация. Точные положения, факты и пределы практики раскрыты в связанных главах; обстоятельства этого сценария условные.