Какие данные ваш сайт собирает прямо сейчас — и вы можете не знать об этом

Форма заявки на сайте выглядит просто: имя, телефон, кнопка «Отправить». За этой простотой часто скрывается вопрос, на который у владельца сайта нет готового ответа: куда именно уходят эти данные, кто их видит и на каком основании. Технический аудит персональных данных отвечает на этот вопрос буквально — построчным чтением кода, а не предположениями.

Первый шаг — инвентаризация, а не проверка на глаз

Прежде чем говорить о согласии и локализации, нужно просто перечислить всё, что собирает сайт: не только основную форму заявки, но и чат-виджет, всплывающие попапы с лид-магнитами, счётчики аналитики, форму подписки. На практике этих точек сбора обычно больше, чем кажется владельцу сайта — часть из них добавлялась разными подрядчиками в разное время и уже забыта.

Куда реально уходят данные

Дальше — карта потоков: данные из формы могут уходить в собственную базу, в Telegram-бота для уведомлений, в сторонний сервис аналитики, а если на сайте есть AI-чат — ещё и во внешний API языковой модели, физически расположенный за пределами России. Каждый такой узел — это отдельная точка, где данные обрабатываются и хранятся, и про каждую нужно понимать, что именно туда уходит.

Есть ли согласие — и зафиксировано ли оно

Форма с полями «имя» и «телефон» без чекбокса согласия и без ссылки на политику обработки персональных данных — частая ситуация, а не редкое исключение. Технически проверяется просто: стоит ли рядом с кнопкой отправки чекбокс (не предзаполненный), ведёт ли он на реальный документ, и фиксируется ли сам факт согласия где-то в базе, а не только в интерфейсе на момент отправки.

Где физически хранятся данные

Отдельный вопрос — локализация: часть 5 статьи 18 152-ФЗ требует, чтобы первичное хранение и обработка персональных данных граждан России велись на серверах на территории РФ. Если бэкенд или сторонний сервис, куда уходят данные, физически стоит за рубежом, это конкретный технический факт, который стоит зафиксировать и показать владельцу, а не спорить, насколько это критично, — решение здесь за бизнесом и юристом.

Чего этот разбор не заменяет

Результат такого разбора — не готовая политика конфиденциальности, а карта: что собирается, куда уходит, есть ли согласие, где хранится. На её основе можно подготовить черновик документов, но финальные формулировки и правовые основания должен проверить юрист. Технический аудит на 152-ФЗ закрывает свою половину задачи — факты о коде и потоках данных — и даёт юристу материал для разговора, а не заменяет его.