Сначала оговорка
Этот материал - технический и редакционный чек-лист, а не юридическая консультация. Требования зависят от организации, состава данных, способов обработки, отрасли и используемых сервисов. Перед публикацией документов их стоит проверить с юристом под конкретный бизнес.
Начните не с шаблона, а с карты данных
Запишите, какие данные сайт получает и куда они уходят:
- формы обратной связи;
- телефон и email;
- регистрация и личный кабинет;
- заявки на вакансии;
- аналитика и рекламные системы;
- чат и мессенджеры;
- CRM;
- платежные сервисы;
- внешние виджеты.
Без этой карты невозможно понять, соответствует ли политика реальной обработке.
Какие документы и процессы проверить
Политика обработки персональных данных
Если оператор собирает персональные данные через сайт, часть 2 статьи 18.1 152-ФЗ требует опубликовать политику обработки персональных данных и обеспечить доступ к ней на страницах, через которые идет сбор. Актуальная норма доступна в статье 18.1 закона №152-ФЗ. Документ должен описывать реальный процесс, а не сервисы и цели из чужого шаблона.
Tilda публикует отдельную инструкцию для сайтов с формами и предлагает шаблонные инструменты, но сама платформа предупреждает, что шаблон не гарантирует соответствие всем требованиям конкретной компании. См. справку Tilda по обработке данных на сайте.
Согласие на обработку персональных данных - отдельно
С 1 сентября 2025 года статья 9 Федерального закона №152-ФЗ прямо предусматривает, что согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Изменение внесено Федеральным законом №156-ФЗ. Актуальную норму можно проверить в статье 9 закона №152-ФЗ.
Практически это означает: не стоит прятать согласие одной фразой внутрь другого большого документа и считать задачу закрытой. Текст согласия и механика подтверждения должны быть спроектированы отдельно под вашу обработку.
Формы сайта
Проверьте каждую форму, а не только главную:
- какие данные собираются;
- есть ли ссылка на нужные документы;
- как пользователь выражает согласие, когда оно является основанием обработки;
- не установлен ли чекбокс заранее;
- фиксируется ли факт действия;
- совпадает ли набор полей с описанной целью.
Отдельно проверьте попапы, квизы, формы в футере, вакансии и скачивание материалов.
Аналитика, cookies и сторонние сервисы
Не используйте универсальную формулировку нам всегда нужен cookie-баннер без анализа. Требования зависят от того, какие технологии применяются и какие данные обрабатываются. Составьте перечень счетчиков и виджетов и покажите его юристу вместе с политикой.
Технически полезно знать, какие внешние домены загружаются до взаимодействия пользователя и какие идентификаторы устанавливаются в браузере.
CRM и другие обработчики
Данные формы редко остаются только в Tilda. Они могут уходить в CRM, почту, таблицу, calltracking или собственный backend. Эти маршруты должны соответствовать внутренним документам и договорным отношениям с сервисами.
Для работы с самой платформой Tilda публикует соглашение об обработке данных. Но наличие DPA одного сервиса не описывает всю вашу цепочку.
Реквизиты и обязательная информация о продавце
Если сайт продает товары или услуги дистанционно, оказывает регулируемые услуги или работает в специальной отрасли, набор обязательной информации может расширяться. На коммерческом сайте в любом случае проверьте, легко ли найти сведения о компании и способы связи, которые соответствуют реальному продавцу или исполнителю.
Уведомление Роскомнадзора нужно проверять отдельно
Статья 22 Федерального закона №152-ФЗ устанавливает общее правило: оператор до начала обработки персональных данных уведомляет уполномоченный орган, кроме прямо предусмотренных законом случаев. После изменений 2022 года большая часть прежних исключений была убрана. Актуальный текст нормы опубликован в статье 22 закона №152-ФЗ.
Наличие политики в футере не отвечает на вопрос, подано ли уведомление и корректны ли сведения в реестре операторов. Это отдельная организационная обязанность, которую нужно проверить вместе с юристом или ответственным за персональные данные.
Локализация баз данных для граждан РФ
С 1 июля 2025 года часть 5 статьи 18 152-ФЗ действует в редакции, по которой при интернет-сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России в общем случае не допускаются, кроме установленных законом исключений. См. статью 18 закона №152-ФЗ.
Для сайта это означает, что карта данных должна включать не только форму, но и фактическое место обработки: CRM, почту, таблицы, backend, аналитику и другие сервисы. Нельзя оценить соответствие только по тому, где физически размещена сама страница.
Если сайт продает товары дистанционно
Для интернет-магазина дополнительно проверяются требования законодательства о защите прав потребителей. Статья 26.1 требует до заключения договора предоставить покупателю, в частности, сведения об основных свойствах товара, продавце, цене, условиях приобретения и доставки, порядке оплаты и других существенных условиях. Актуальная редакция доступна в статье 26.1 закона о защите прав потребителей.
Для сайта услуг, маркетплейса, медицинской или другой регулируемой деятельности набор требований будет другим. Поэтому универсальная страница Правовая информация не заменяет проверку модели бизнеса.
Практическая карта проверки
| Что происходит на сайте | Что проверить |
|---|---|
| Форма заявки | Основание обработки, отдельное согласие там, где оно требуется, доказательство получения |
| Данные уходят в CRM | Маршрут данных, договорные отношения, место обработки и локализация |
| Подключена аналитика | Какие идентификаторы и данные собираются, что отражено в документах |
| Интернет-магазин | Информация о продавце, товаре, цене, доставке, оплате, возврате |
| Новая интеграция | Не изменилась ли фактическая схема обработки и опубликованные документы |
Эта таблица не дает юридического заключения. Она помогает разработчику и бизнесу вовремя увидеть точки, которые нужно передать профильному специалисту.
Можно ли использовать генератор документов
Как черновик - да. Например, у Tilda есть генератор политики. Но результат нужно сверить с собственными процессами. Генератор не знает автоматически, какие CRM, формы, подрядчики и основания обработки есть у вашей компании.
Чек-лист перед публикацией
- составлена карта данных и сервисов;
- политика соответствует реальной обработке;
- согласие оформлено отдельно там, где оно требуется;
- проверены все формы;
- нет заранее отмеченных согласий;
- ссылки на документы открываются с мобильного;
- CRM и внешние сервисы включены в анализ;
- тексты проверены под конкретную организацию;
- есть процесс обновления документов при изменении сайта.
Храните версии опубликованных документов
Если политика или согласие меняются, полезно фиксировать дату редакции и сохранять архив. Тогда можно установить, какой текст действовал в конкретный период. Это особенно важно, когда сайт активно собирает заявки и документы регулярно обновляет юрист.
Для CMS и общего футера проверьте, что ссылка ведет на одну актуальную страницу, а старые копии не продолжают жить по случайным URL.
Фиксируйте дату юридической проверки
В 2026 году нормы продолжают меняться, поэтому для внутреннего учета полезно записывать дату, когда юрист или ответственный последний раз проверял документы и форму согласия. Это не заменяет правовую экспертизу, но не дает забыть о ней после следующего редизайна.
Документы нужно обновлять вместе с функционалом
Добавили новую CRM, чат, форму вакансии или рекламный счетчик - пересмотрите карту обработки. Юридический слой сайта не является файлом, который один раз положили в футер навсегда.
При разработке сайта этот чек-лист стоит проходить до релиза, а не после первой претензии. Техническую часть форм и интеграций можно включить в аудит сайта на Tilda, а юридические выводы подтвердить у профильного специалиста.
