Многие владельцы сайтов рассуждают так: «у нас просто форма обратной связи». На деле через эту форму собираются имя, телефон, иногда адрес; они попадают в CRM, уходят на почту и через аналитические скрипты — к третьим сторонам.
Ниже шесть проверок. Провести их можно самостоятельно примерно за час. Для каждой указан объём работ на исправление и ориентировочная цена.
Владелец сайта тоже считается оператором?
Закон «О персональных данных» № ЗРУ-547 от 2 июля 2019 года регулирует обработку персональных данных. Если вы собираете через сайт имя и телефон физического лица, храните их и используете, вы являетесь стороной, которая обрабатывает эти данные.
Это не зависит от размера компании. Студия из трёх человек и завод на сотню сотрудников подчиняются одному правилу. Разница только в объёме: чем больше данных, тем дороже обходится ошибка.
Куда на самом деле уходят данные
На типичном бизнес-сайте после отправки формы данные не остаются в одном месте. Они расходятся минимум по четырём-пяти адресам, и владелец сайта часто не знает половины этой цепочки.
- Форма отправляет данные на сервер сайта, где они записываются в базу.
- Тут же уведомление уходит на корпоративную почту или в группу Telegram.
- В CRM создаётся новая заявка — нередко это облачный сервис за рубежом.
- Аналитический скрипт и рекламный пиксель отправляют данные о поведении на странице.
- На части сайтов содержимое формы передаётся ещё и в чат-бот или сервис обзвона.
Каждая стрелка — отдельное решение. Пользователь должен понимать, на какие из них он дал согласие, а вы должны уметь это показать.
Шесть проверок
| Проверка | На что смотрим | Типичная проблема |
|---|---|---|
| 1. Согласие | Есть ли в форме неотмеченный по умолчанию чекбокс и понятен ли его текст | Чекбокса нет вовсе или он отмечен заранее |
| 2. Политика конфиденциальности | Есть ли отдельная страница с описанием того, кто, что, зачем и как долго собирает | Страница скопирована с чужого сайта и не относится к компании |
| 3. Срок хранения | Сколько заявка живёт в CRM и кто её удаляет | База не чистилась ни разу с 2019 года |
| 4. Сторонние скрипты | Какие аналитические и рекламные скрипты работают на странице | Скрипты загружаются до получения согласия |
| 5. Доступы | Кто имеет доступ к базе и закрыт ли доступ уволенных сотрудников | Право полного экспорта есть у всех менеджеров |
| 6. Размещение | В какой стране находятся серверы сайта и CRM | Точного ответа не может дать никто |
Проверка 1: текст согласия
В форме должен быть чекбокс согласия, и по умолчанию он остаётся неотмеченным. В тексте нужно ясно указать, зачем собираются данные и кому они передаются. Общей фразы «согласен с условиями» недостаточно — пользователь должен понимать, на что именно соглашается.
Проверка 2: страница политики конфиденциальности
Страница должна находиться на самом сайте, а ссылка на неё — стоять в постоянном месте. В ней указываются название и реквизиты компании, виды собираемых данных, цель, срок хранения и канал связи. Скопированный с чужого сайта текст — самая частая ошибка: в нём обычно остаётся чужое название.
Проверка 3: срок хранения
Данные не должны храниться бесконечно. Практичное решение: задать срок для каждой категории — например, незакрытая заявка — 12 месяцев, карточка клиента — определённый срок после завершения договора. По истечении срока запись автоматически архивируется или удаляется.
Проверка 4: сторонние скрипты
Увидеть, какие скрипты работают на странице, можно в панели разработчика браузера. На многих сайтах аналитика и рекламные пиксели загружаются сразу при открытии страницы, до всякого согласия. Правильное решение — запускать такие скрипты только после согласия.
Проверка 5: у кого есть доступ к базе
Проверьте, сколько сотрудников может выгрузить всю клиентскую базу. Ответ обычно оказывается больше ожидаемого. Разделите роли, ограничьте право экспорта и внесите закрытие доступов уволенным сотрудникам в обязательный чек-лист.
Проверка 6: на каком сервере данные
Выясните точно, в какой стране находятся хостинг сайта, ваша CRM и почтовый сервис. Если ответ «не знаю», это уже отдельная проблема — потому что требование из следующего раздела зависит именно от этого ответа.
Как изменилось требование локализации в 2026 году?
Законом № ЗРУ-1125 от 26 марта 2026 года статья 27-1 закона ЗРУ-547 изложена в новой редакции. В ней прямо перечислены данные, подлежащие обязательному хранению на территории Узбекистана: биометрические данные физических лиц, генетические данные физических лиц и данные пользователей услуг операторов телекоммуникаций, действующих в Узбекистане.
Остальные персональные данные могут обрабатываться за пределами страны при выполнении условий, предусмотренных законом. Одновременно новая редакция статьи 20 предусматривает регистрацию баз, подлежащих обязательному хранению в стране, в Государственном реестре.
Практический вывод для обычного бизнес-сайта такой. Если вы собираете только имя и телефон и не работаете с биометрическими или генетическими данными, использование зарубежного облака не запрещено автоматически — но требуется выполнить условия, установленные законом. Если же вы работаете с биометрией, например с распознаванием лица на входе, вопрос ставится совершенно иначе.
Сколько стоит исправление и сколько занимает?
Диапазоны ниже — типичный объём работ из практики Innobek. Точная сумма зависит от того, как собран ваш сайт и какая у вас CRM.
| Работа | Объём | Ориентировочная цена |
|---|---|---|
| Добавить в форму чекбокс согласия и понятный текст | 2–4 часа | до 1 млн сум |
| Разместить страницу политики и связать её ссылками | 4–8 часов | 1–2 млн сум |
| Задать срок хранения и правило автоархивации в CRM | 8–16 часов | 2–4 млн сум |
| Аудит скриптов и их запуск только после согласия | 16–40 часов | 4–10 млн сум |
| Перестройка ролей и прав на экспорт | 8–24 часа | 2–6 млн сум |
| Перенос хостинга или базы на другой сервер | 1–3 недели | 3–8 млн сум |
| Постоянная техническая поддержка | ежемесячно | от 3,5 млн сум в месяц |
В цену не входят: подготовка и проверка юридического текста, подписка на новый хостинг или облако, отдельные требования для систем, работающих с биометрией. Текст политики лучше готовить юристу — разработчик только размещает его.
Какой штраф? Честный ответ
Цифры штрафов, которые ходят по интернету, не совпадают между собой, и многие из них опираются на устаревшее значение базовой расчётной величины. Поэтому конкретную сумму мы здесь не приводим.
Правильный шаг другой: уточните действующий размер ответственности и его применимость к вашему случаю у своего юриста. С технической стороны шесть проверок выше стоит выполнить независимо от размера штрафа — они снижают и риск утечки данных.
Цена бездействия
- +Утечка клиентской базы — репутационный удар, который не исправить быстро никаким бюджетом.
- +Уволившийся менеджер выгружает базу — ваша воронка продаж оказывается у конкурента.
- +Корпоративный клиент или организатор тендера запрашивает политику конфиденциальности, и её отсутствие срывает договор.
- +Если согласие нигде не зафиксировано, вы не сможете подтвердить законность получения данных.
- +Бесконечно растущая база — это ответственность и за те данные, которые вам давно не нужны.
Когда эта работа избыточна
- +На сайте вообще нет форм и указан только телефон — большая часть описанных работ пока не нужна.
- +Сайт в ближайшее время переделывается — не правьте старый, внесите требования в техзадание нового.
- +Внутри нет ответственного — документы появятся, а процесс работать не будет. Сначала назначьте человека.
- +Вы не используете аналитические скрипты — четвёртая проверка к вам не относится.
- +Переносите базу на другой сервер, только если этого требует результат шестой проверки. Иначе это лишние расходы.
План аудита на неделю
- День 1: составьте список всех форм на сайте — контакты, обратный звонок, скачивание, подписка.
- День 2: проследите, куда уходят данные каждой формы, и нарисуйте цепочку.
- День 3: прочитайте текст политики конфиденциальности и убедитесь, что в нём не осталось чужого названия.
- День 4: найдите самую старую запись в CRM и пропишите правило срока хранения.
- День 5: составьте список сотрудников с доступом к базе и закройте лишние.
- День 6: письменно выясните, в какой стране находятся ваш хостинг, CRM и почтовый сервис.
- День 7: покажите результат юристу и упорядочите список исправлений по важности.
Самая большая польза приходит на второй день. Многие компании впервые видят свою цепочку данных целиком именно тогда — и в тот же день отключают половину лишних скриптов.