Политика для CRM-системы: 1С, Битрикс24

Прежде чем писать политику, установите, какие данные реально хранятся в системе. Это не формальность: состав ПДн определяет категорию обработки, уровень защищённости ИСПДн и перечень мер по ст. 19 ФЗ-152.

Типовые данные в CRM-системах делятся на три группы. Первая — общие ПДн: ФИО контактного лица, должность, рабочий телефон и email, наименование организации, история взаимодействия. Вторая — данные физических лиц — покупателей: имя, личный телефон, домашний адрес, дата рождения, история заказов. Третья — специальные или биометрические категории: если в CRM хранятся фотографии клиентов, записи звонков с идентификацией голоса или медицинские данные пациентов — требования резко возрастают по ст. 10 и ст. 11 ФЗ-152.

Для Битрикс24 проверьте: модули телефонии (записи звонков), CRM-формы на сайте (сбор данных через браузер), интеграции с мессенджерами и почтой, поля кастомных карточек. Для 1С:CRM — конфигурацию базы, дополнительные реквизиты контрагентов, журналы взаимодействий.

Итог шага: список полей CRM с отнесением каждого к категории ПДн. Этот список станет основой раздела «Состав обрабатываемых ПДн» в политике.

Ст. 5 ФЗ-152 требует, чтобы каждое действие с ПДн преследовало конкретную, заранее определённую цель. Обработка сверх этой цели — нарушение, за которое предусмотрен штраф по ч. 1 ст. 13.11 КоАП от 150 000 до 300 000 ₽.

Типовые цели для CRM: исполнение договора с клиентом (п. 5 ч. 1 ст. 6 ФЗ-152), выполнение законодательно установленных обязанностей (п. 2 ч. 1 ст. 6), маркетинговые коммуникации по согласию субъекта (п. 1 ч. 1 ст. 6). Смешивать базы с несовместимыми целями запрещает ст. 5 ФЗ-152: нельзя использовать данные из договорной CRM для рекламных рассылок без отдельного согласия.

Для каждой цели укажите правовое основание из ч. 1 ст. 6 ФЗ-152 и перечень действий: сбор, запись, хранение, передача третьим лицам (например, службе доставки или колл-центру на аутсорсе). Это содержание раздела «Цели, основания и состав обработки» в политике.

Ч. 2 ст. 18.1 ФЗ-152 определяет обязательные разделы политики. Документ должен быть опубликован в открытом доступе — на сайте или на информационном стенде. Отсутствие публикации — самостоятельный состав по ч. 3 ст. 13.11 КоАП.

Обязательные разделы политики для оператора с CRM:

• Общие положения: наименование и реквизиты оператора, ФИО ответственного по ст. 22.1 ФЗ-152, дата вступления в силу.
• Принципы обработки: ссылка на ст. 5 ФЗ-152, перечисление принципов своими словами применительно к деятельности компании.
• Цели и основания: таблица «цель — правовое основание — состав ПДн — категория субъектов» (вместо таблицы в HTML — структурированный список).
• Права субъектов: перечень прав по ст. 14–21 ФЗ-152, порядок подачи запроса, срок ответа — 10 рабочих дней по ст. 20 ФЗ-152 с возможностью продления на 5 рабочих дней.
• Меры защиты: описание организационных и технических мер по ст. 19 ФЗ-152 без раскрытия конфигурации.
• Передача третьим лицам: перечень обработчиков (интеграторы CRM, облачные сервисы, колл-центры) и основания передачи по п. 3 ст. 6 ФЗ-152.
• Трансграничная передача: если данные уходят за рубеж через облачную инфраструктуру CRM — уведомление РКН по ст. 12 ФЗ-152.
• Порядок уничтожения: сроки и способ уничтожения ПДн по достижении целей.

Объём политики — от 5 до 15 страниц для среднего оператора. Документ не должен быть декларативным: каждый раздел содержит конкретные сроки, перечни и ссылки на нормы.

До начала обработки ПДн оператор обязан уведомить Роскомнадзор по ст. 22 ФЗ-152. Форма — Приказ РКН №180 от 28.10.2022, подача через pd.rkn.gov.ru с УКЭП или через ЕСИА. Включение в реестр занимает до 30 дней.

Три типичных нарушения при уведомлении для операторов с CRM:

• Уведомление не подано вовсе — штраф по ч. 10 ст. 13.11 КоАП от 100 000 до 300 000 ₽.
• Уведомление подано, но реальная обработка шире заявленной: добавились новые цели, новые категории субъектов или новые обработчики. Ст. 22 ФЗ-152 обязывает уведомлять об изменениях в течение 10 рабочих дней.
• В уведомлении не указана трансграничная передача, хотя CRM работает на зарубежных серверах или использует иностранные интеграции (Salesforce, HubSpot, зарубежный облачный модуль Битрикс24).

Для Битрикс24 в облачной версии (Bitrix24.ru) серверы находятся в России — трансграничная передача по общему правилу отсутствует. Для коробочной версии с размещением на зарубежном хостинге — уведомление РКН по ст. 12 ФЗ-152 обязательно до начала передачи.

ФЗ-156 от 24.06.2025 изменил ч. 1 ст. 9 ФЗ-152: с 01.09.2025 согласие на обработку ПДн должно быть оформлено отдельным документом. Его нельзя включать в текст договора, оферты, пользовательского соглашения или регистрационной формы CRM.

Что изменить в процессе сбора данных через CRM-формы:

• CRM-форма на сайте: чекбокс согласия — отдельный элемент с отдельным текстом, не встроенный в условия использования сервиса.
• Согласие на маркетинговые рассылки: отдельный документ с реквизитами по ст. 9 ФЗ-152 (цель, состав ПДн, срок, способ отзыва).
• Согласие на передачу данных партнёрам или обработчикам: если передача не охватывается договором или законом — отдельное согласие.
• Согласие на распространение ПДн (публикация отзывов, кейсов, фото): отдельный документ по ст. 10.1 ФЗ-152.

Ранее полученные согласия, включённые в текст договора или оферты до 01.09.2025, продолжают действовать. Но при обновлении форм или заключении новых договоров после этой даты — требование об отдельном документе применяется.

Ст. 22.1 ФЗ-152 обязывает оператора-юрлицо назначить лицо, ответственное за организацию обработки ПДн. Назначение оформляется приказом руководителя. Без этого документа при проверке РКН — нарушение ст. 18.1 ФЗ-152 и основание для штрафа.

Минимальный комплект внутренних документов для оператора с CRM:

• Приказ о назначении ответственного за обработку ПДн по ст. 22.1 ФЗ-152 с описанием его полномочий.
• Приказ об утверждении политики обработки ПДн и перечня лиц, допущенных к обработке.
• Соглашение о конфиденциальности с каждым сотрудником, имеющим доступ к CRM.
• Договор (поручение) на обработку ПДн с вендором CRM или интегратором по п. 3 ст. 6 ФЗ-152 — если они обрабатывают данные от имени оператора.
• Регламент реагирования на инциденты: 24 часа на первичное уведомление РКН по ч. 3.1 ст. 21 ФЗ-152, 72 часа на отчёт о расследовании по Приказу РКН №187.
• Журнал учёта обращений субъектов.

Для Битрикс24 отдельно проверьте: настроены ли права доступа к CRM по ролям, ведётся ли журнал действий пользователей, включена ли двухфакторная аутентификация. Это элементы технических мер по ст. 19 ФЗ-152 и Приказу ФСТЭК №21.