Персональные данные в лид-формах: согласие по 152-ФЗ и передача рекламодателю

Кто оператор

Оператор это тот, кто определяет цели обработки и состав данных. Если форма стоит на вашем сайте и вы сами решаете, какие поля собирать и кому передавать, оператором становитесь вы. Если форма и обработка полностью на стороне рекламодателя, например через встроенную форму или API по его правилам, оператор рекламодатель, а вы можете обрабатывать данные по его поручению.

Поручение обработки другому лицу оформляется договором, где перечислены данные, действия с ними, цели, обязанность хранить конфиденциальность и меры защиты (ч. 3 ст. 6). Перед человеком за исполнителя отвечает оператор (ч. 5 ст. 6).

Каким должно быть согласие

Согласие даётся свободно, своей волей и в своём интересе и должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9). С 1 сентября 2025 года, после изменений Федерального закона от 24.06.2025 № 156-ФЗ, согласие оформляется отдельно от других документов и сведений, которые человек подтверждает. Согласие, спрятанное внутри пользовательского соглашения или оферты, этому требованию не отвечает.

Обязанность доказать, что согласие получено, лежит на операторе (ч. 3 ст. 9). Поэтому сохраняйте текст согласия, его версию и время отправки формы. Надёжнее, когда галочку ставит сам человек, а не сайт по умолчанию.

Что передаётся рекламодателю

Человек должен понимать, кому уйдёт его заявка. В тексте согласия перечислите цель (подбор и оформление продукта), состав данных, получателей или их категории (рекламодатель, CPA-сеть как посредник), действия с данными, срок и способ отзыва. Для письменного согласия закон прямо называет обязательные пункты, включая наименование лица, которое обрабатывает данные по поручению (ч. 4 ст. 9).

• Собирайте только те поля, которые нужны для оффера: лишние данные увеличивают риск без пользы.
• Не передавайте одну заявку нескольким рекламодателям, если человек на это не соглашался.
• Не храните полные анкеты дольше, чем нужно для цели, особенно паспортные данные.
• Уточните в оферте сети, разрешены ли свои формы на этом оффере и как передаются заявки.

Обязанности оператора на сайте

Оператор, который собирает данные через интернет, публикует на сайте политику обработки персональных данных и обеспечивает к ней доступ (ст. 18.1). При сборе данных граждан России запись, систематизация и хранение должны вестись в базах данных на территории России (ч. 5 ст. 18): проверьте, где физически хранятся заявки, если вы пользуетесь сторонним конструктором форм.

До начала обработки оператор по общему правилу направляет уведомление в Роскомнадзор (ст. 22). Подать его и найти себя в реестре операторов можно на портале персональных данных Роскомнадзора.

Коротко

Своя лид-форма это не только конверсия, но и обязанности оператора. Если не готовы их выполнять, используйте формы и способы передачи заявок, которые предлагает рекламодатель через сеть. Статья не является юридической консультацией: для своей схемы обработки данных лучше получить оценку юриста.

Источники

1. ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6 «Условия обработки», КонсультантПлюс
2. ФЗ № 152-ФЗ, ст. 9 «Согласие субъекта персональных данных на обработку», КонсультантПлюс
3. ФЗ № 152-ФЗ, ст. 18 «Обязанности оператора при сборе персональных данных», КонсультантПлюс
4. ФЗ № 152-ФЗ, ст. 18.1 «Меры, направленные на обеспечение выполнения обязанностей оператора», КонсультантПлюс
5. ФЗ № 152-ФЗ, ст. 22 «Уведомление об обработке персональных данных», КонсультантПлюс
6. Роскомнадзор: портал персональных данных (реестр операторов, подача уведомления)