Персональные данные клиентов в CRM: что требует 152-ФЗ

Кратко

Федеральный закон № 152-ФЗ «О персональных данных» распространяется на любую компанию, которая хранит в CRM или системе заявок имя, телефон или email клиента, — размер компании и намерения роли не играют. Как только в системе появляется карточка клиента с контактными данными, компания становится оператором персональных данных и обязана: уведомить Роскомнадзор о начале обработки, опубликовать политику обработки данных, иметь законное основание для каждой цели обработки и обеспечивать техническую защиту данных. Согласие — одно из оснований, но не единственное: статья 6 закона называет и другие, например исполнение договора с самим клиентом. Ниже — что из этого действительно нужно сделать и что грозит за игнорирование.

Актуально на 23 сентября 2026 года.

Кто становится оператором персональных данных

Закон не делает исключения для малого бизнеса или конкретного вида деятельности. Оператором становится любая организация или ИП, которая собирает и обрабатывает данные, по которым можно определить человека, — это происходит уже на этапе формы обратной связи на сайте, карточки клиента в CRM или таблицы с контактами в Excel.

Что обязан сделать оператор персональных данных

Право человека на обращение по поводу своих данных и порядок ответа на такое обращение разобраны подробно в статье Обращение субъекта персональных данных: как ответить — там же пример с датами и таблица шагов.

Что делать при утечке персональных данных

Начиная с изменений последних лет у утечки появился жёсткий график реагирования, и опоздание с уведомлением наказывается отдельно от самого факта утечки.

Штрафы за нарушения в этой области пересмотрены в 2025–2026 годах в сторону увеличения и делятся по тяжести нарушения:

• за отсутствие уведомления о начале обработки или несвоевременную регистрацию в реестре операторов — санкция для юридических лиц измеряется сотнями тысяч рублей;
• за несвоевременное уведомление Роскомнадзора об утечке — санкция для организации исчисляется миллионами рублей;
• за массовую утечку (данные значительного числа субъектов) — санкция для юридического лица достигает десятков миллионов рублей;
• за повторное нарушение действует оборотный штраф — процент от выручки компании с установленными минимальной и максимальной суммой.

Точные пороговые суммы по каждой категории нарушения пересматриваются законодателем регулярно — при подготовке внутреннего регламента стоит сверяться с действующей редакцией ст. 13.11 КоАП РФ на момент проверки, а не опираться на цифры из статьи многолетней давности.

Частые ошибки в работе с персональными данными клиентов

• Считать, что закон касается только крупного бизнеса. Обязанности оператора — уведомление Роскомнадзора, политика обработки, законное основание и защита данных — не зависят от числа клиентов в CRM: единственная карточка с телефоном уже их создаёт.
• Собирать согласие «по умолчанию». Если обработка опирается на согласие, заранее отмеченный чекбокс или предположение, что отправка формы автоматически означает согласие, не соответствует требованию к согласию как отдельному действию субъекта.
• Не ограничивать доступ к карточкам клиентов внутри компании. Ролевой доступ — не формальность, а часть обязанности по технической защите данных: оператор поддержки без доступа к чужому отделу не должен видеть карточки клиентов другого отдела.
• Не иметь плана действий на случай утечки. Срок первичного уведомления Роскомнадзора — 24 часа; узнавать о существовании этого срока в момент самой утечки — поздно.
• Хранить данные дольше цели обработки без причины. Закрытая заявка годичной давности с полными персональными данными клиента, который давно не пользуется услугами, — риск без пользы для бизнеса.

Как это устроено в TehProf.kz Support

Доступ к карточкам клиентов и заявкам в TehProf.kz Support настраивается по ролям: оператору можно ограничить область видимости заявок — своими, группой или всеми, — что закрывает часть требования к техническим мерам защиты данных внутри компании (подробнее — в статье Роли и права). Форму получения согласия на обработку персональных данных под конкретный виджет система не формирует — это остаётся задачей администратора: текст согласия со ссылкой на политику конфиденциальности компании нужно разместить в приветствии виджета или на странице сайта рядом с кнопкой обращения, как описано в статье Персональные данные в форме обратной связи: согласие.

Частые вопросы

С какого момента компания обязана выполнять требования 152-ФЗ?

С момента фактического начала сбора персональных данных — то есть с первой формы на сайте или первой карточки клиента в CRM с контактными данными, а не с момента, когда компания выросла до определённого размера.

Нужно ли согласие клиента, если он сам написал в WhatsApp или оставил заявку на сайте?

Зависит от цели обработки. Если данные нужны, чтобы исполнить договор с этим клиентом — ответить по его заказу или услуге, — законным основанием может быть сам договор (ст. 6 152-ФЗ), и отдельное согласие для этого не требуется. Для других целей нужно своё основание. Для рекламной рассылки обычно это согласие — чекбоксом со ссылкой на политику обработки данных. Передача данных третьим лицам тоже требует основания: где-то это договор или требование закона, где-то согласие. Основание для каждой цели компания выбирает сама и фиксирует в политике; в спорных случаях решение стоит сверить с юристом.

Что грозит за отсутствие регистрации в реестре операторов персональных данных?

Административная ответственность по ст. 13.11 КоАП РФ, штраф для юридических лиц — величина, регулярно пересматриваемая законодателем в сторону повышения; актуальный размер стоит проверять в действующей редакции статьи.

Как долго можно хранить персональные данные клиента после закрытия заявки?

Закон не называет единый срок для всех случаев — хранение должно соответствовать заявленной цели обработки; после того как цель достигнута и данные не нужны для исполнения договора или другого законного основания, их следует удалить или обезличить.

Связанные статьи

• Обращение субъекта персональных данных: как ответить
• Персональные данные в форме обратной связи: согласие
• Роли и права