Менеджер закрыл карточку клиента в CRM, но телефон остался в выгрузке, почтовой системе и файле подрядчика. Через неделю клиент снова получил предложение. Статус карточки изменился, а обработка сведений за ее пределами продолжилась.
Работа с персональными данными в CRM начинается с карты процессов: откуда приходят сведения, зачем нужны, кто получает доступ и что происходит после изменения основания. Разберем правовые ориентиры и практические проверки на 20 октября 2026 года. Все примеры учебные; готовность конкретной компании проверяют по ее процессам и документам.
Начать с цели и пути данных
CRM — система для работы с клиентами, а не отдельное правовое основание хранить о них любые сведения. Сначала опишите задачу: обработать запрос, исполнить договор, разобрать обращение или вести разрешенное рекламное общение. У задач могут различаться состав данных, основания и сроки.
Статья 5 закона №152-ФЗ связывает обработку с конкретными законными целями и ограничивает избыточность. Поэтому к каждому полю полезно задать вопрос: какое действие требует этого значения? Желание «когда-нибудь лучше узнать клиента» не объясняет необходимость полной анкеты.
Затем проследите путь записи. Заявка с сайта попала в CRM, сотрудник выгрузил список, интеграция передала контакт в рассылку. Каждое звено нужно включить в разбор. Проверка только главной карточки оставляет за кадром файлы, журналы и внешние сервисы.
Лучше описать один процесс от входа до прекращения обработки, чем начать с массовой загрузки всей старой базы. На учебной записи легче заметить незапланированную передачу и понять, кто должен ее проверить.
Различать основание обработки и отметку в интерфейсе
Согласие — не единственное возможное основание. Статья 6 перечисляет условия обработки, включая предусмотренные законом договорные ситуации. Но из наличия заказа нельзя вывести разрешение на любую следующую задачу.
Для каждого процесса согласуйте основание с ответственным специалистом. В карточке можно хранить ссылку на подтверждение и статус, но поле «согласие: да» само по себе не объясняет, когда, кем и на что оно было получено.
Учебный магазин хранит сведения для доставки заказа. Маркетолог хочет включить тот же контакт в новую рекламную кампанию. До передачи нужно проверить основания именно для этой задачи, а не скопировать статус из обработки покупки.
Не переносите отметки из старой базы без подтверждений. Если источник и содержание разрешения неизвестны, это открытый вопрос для проверки. Массовое присвоение положительного статуса не восстанавливает отсутствующую историю.
Если используется согласие — проверить его оформление
По статье 9 согласие оформляют отдельно от иной информации и документов, которые человек подтверждает или подписывает. Оно должно отвечать установленным требованиям; обязанность подтвердить согласие или другое основание лежит на операторе.
В рабочем процессе полезно сохранять версию текста, факт действия и связь с нужной записью. Конкретный способ подтверждения должен соответствовать применимым требованиям. Заранее проставленная отметка не показывает отдельное решение человека.
Не стоит выпускать один универсальный шаблон для любых полей, целей и получателей. Сначала опишите реальную обработку, затем проверьте документ и способ получения. Красивый текст на сайте не исправит передачу, о которой в процессе никто не знал.
При изменении формы проверьте и старые записи. Новая редакция согласия не означает, что все прежние клиенты уже подтвердили ее. Для миграции нужна проверка оснований и сохранение различий между версиями.
Карта практических проверок CRM
Таблица помогает распределить работу. Это пример организации проверки, а не полный перечень мер по закону для любой информационной системы.
Участок | Что проверить | Подтверждение | Кто участвует |
|---|---|---|---|
Форма и импорт | Цель, состав, источник и основание | Версия формы, описание передачи | Владелец процесса и ответственный за данные |
Доступ сотрудников | Какие действия нужны каждой роли | Матрица прав и результат проверки | Руководитель и администратор |
Интеграция или подрядчик | Получатель, операции и условия обработки | Карта обмена и договорные документы | Юрист, владелец системы, исполнитель |
Прекращение и запросы | Основание дальнейшей обработки и связанные копии | Решение по запросу и проверка исполнения | Ответственный и владельцы систем |
Проверить размещение баз и весь обмен
Действующая часть 5 статьи 18 запрещает при сборе персональных данных граждан РФ перечисленные в ней операции с использованием баз за пределами России, кроме установленных исключений. К ним относятся запись, хранение, уточнение и другие названные действия.
Поэтому недостаточно спросить поставщика только о стране главного сервера. В схеме нужно разобраться с формой, интеграциями, резервированием и получателями. Наличие копии в России само по себе не доказывает правомерность всей архитектуры.
Не выбирайте решение по обещанию «подходит всем по 152-ФЗ». Запросите описание обработки и передайте его на правовую и техническую проверку. Вопросы зарубежной инфраструктуры и передачи требуют отдельного разбора применительно к фактическим действиям.
Определить роли и правила выгрузки
Статья 19 предусматривает правовые, организационные и технические меры защиты, включая правила доступа и учет действий. Состав защиты зависит от системы и угроз; один пароль не закрывает всю задачу.
Практическая отправная точка — матрица ролей. Учебному сотруднику поддержки нужна история обращения, маркетологу для сводного анализа могут быть нужны только количества. Право просматривать запись и право выгружать всю базу стоит проверять отдельно.
Пройдите сценарий смены роли и ухода сотрудника. Что происходит с учетной записью, доступом к интеграциям и ранее созданными файлами? Если отзыв доступа затрагивает только вход в CRM, связанные каналы остаются вне проверки.
Для выгрузок согласуйте задачу, состав, получателя и место хранения. Не стоит добавлять телефоны в аналитический файл, если вопрос решается сводными числами. Именной доступ и журнал действий помогают разбирать случившееся, но их настройку тоже нужно проверить.
Согласовать документы и обучение с реальной работой
Статья 18.1 описывает организационные меры: для юридического лица — ответственного и документы, а также внутренний контроль и ознакомление сотрудников. При сборе через сеть закон устанавливает требования к доступности политики, в том числе на страницах сбора.
Проверьте, совпадает ли опубликованное описание с фактом. Если форма передает сведения еще одному исполнителю, это нельзя оставить неизвестным только потому, что прежний текст политики уже согласован. Документ и схема обработки должны обсуждаться вместе.
Обучение полезнее строить на знакомых случаях: клиент просит исправить номер, менеджер хочет выгрузку, подрядчик запрашивает доступ. Сотрудник должен понимать маршрут обращения и своего ответственного, а не только помнить название закона.
Разобраться с обработкой по поручению
Если другое лицо обрабатывает данные по поручению оператора, часть 3 статьи 6 требует определить в поручении сведения, операции, цели и установленные обязанности, включая конфиденциальность, безопасность и уведомление об инцидентах. Применимость поручения и оснований передачи проверяют по модели работы.
Договор на покупку CRM сам по себе не объясняет все операции исполнителя. Попросите описать, какие сведения он получает, для чего, кому дает доступ и как действует по запросу оператора. Обещание поставщика не снимает с бизнеса его собственные обязанности.
В учебной интеграции исполнитель получает только нужные для согласованной задачи поля. Если при обновлении обмена добавился новый набор, его нужно проверить до передачи. Старое одобрение не должно автоматически распространяться на незнакомый процесс.
Проверить уведомление об обработке
Статья 22 устанавливает уведомление уполномоченного органа до начала обработки с исключениями, указанными в законе. Устаревший совет «клиентская база всегда не требует уведомления» применять нельзя.
Ответственному нужно проверить свою ситуацию и актуальные сведения об обработке. Наличие записи в реестре не заменяет работу с основаниями, доступом и защитой. Это отдельная часть процесса, а не знак автоматической законности любой интеграции.
Обработать отзыв согласия и обращение клиента
У отзыва согласия, требования прекратить обработку и просьбы исправить сведения могут различаться основания и порядок действий. Статья 21 регулирует уточнение, блокирование, прекращение и уничтожение с установленными условиями и сроками. Не сводите разные обращения к одной кнопке «удалить».
Сначала передайте запрос ответственному, определите затронутые сведения и связанные системы. Проверьте, остается ли иное законное основание для части обработки. Отзыв согласия не означает автоматически уничтожить все документы по любому процессу.
Учебный клиент отказался от рекламного общения, но его заказ еще исполняется. Нужно разобрать разные задачи отдельно и проверить связанные действия. Закрыть карточку и оставить контакт в рекламной системе — не проверенный результат.
Учебная карточка проверки запроса
Так можно поставить внутреннюю задачу без настоящих клиентских сведений:
Случай: синтетический клиент отозвал согласие, которое использовалось для выбранного процесса. Уточнить затронутую цель и применимые основания дальнейшей обработки.
Проверка: CRM, интеграция, выгрузка и исполнитель по поручению. Установить нужное действие для каждого участка и ответственного за подтверждение.
Результат: сохранить решение, выполненные действия и открытые вопросы. Закрывать задачу после проверки исполнения, а не только изменения статуса карточки.
Карточка помогает ничего не потерять при передаче между коллегами. Правовое решение и сроки для конкретного обращения определяют по его обстоятельствам.
Подготовить порядок действий при инциденте
Для случая, описанного в части 3.1 статьи 21, закон предусматривает уведомление об инциденте в течение 24 часов и о результатах внутреннего расследования — в течение 72 часов. Речь об установленном факте неправомерной или случайной передачи либо доступа, повлекшем нарушение прав; отсчет связан с выявлением инцидента, а не завершением внутреннего согласования.
Заранее определите контакт ответственного, передачу информации от подрядчика и сохранение подтверждений. Сотрудник, заметивший подозрительную выгрузку, не должен ждать очередной встречи команды, чтобы сообщить о ней по принятому порядку.
На синтетическом упражнении проверьте маршрут: кому передают сигнал, кто оценивает обстоятельства и организует необходимые действия. Такая проверка не требует устраивать настоящую утечку или рассылать реальные сведения.
Где в анализе можно обойтись без лишних идентификаторов
Если задача — понять повторяющиеся вопросы покупателей, не всегда нужен файл с именами и телефонами. Сначала определите, какое решение собираетесь принять: исправить инструкцию, уточнить комплектацию или разобрать конкретное обращение.
В аналитике отзывов Спикс можно работать с темами обратной связи. Это помогает выделить вопрос для проверки без дополнительного копирования контактов в рабочее обсуждение. Порядок обработки отзывов и доступ к сведениям компания проверяет отдельно.
Разбор темы и установление личности — разные задачи. Не стоит связывать отзыв с карточкой CRM по одному похожему имени. Нужны основания и подтвержденный способ сопоставления, если такая связь требуется процессу.
Как проверить импорт до загрузки всей базы
Выберите несколько синтетических записей с разными состояниями: новый запрос, действующий заказ, отозванное согласие, неверный контакт. Для каждой опишите ожидаемый путь. Проверка должна показать не только попадание в CRM, но и дальнейшую передачу.
Учебный файл содержит 12 записей. Для 9 известны нужные основания и статусы, для 3 история не подтверждена. Не присваивайте всем единое положительное значение ради успешного импорта. Сначала разберите, как система обрабатывает неизвестное состояние и кто принимает решение по нему.
После импорта сравните исходные поля и результат. Не превратилось ли пустое значение в «да»? Сохранилась ли версия подтверждения? Не попали ли все контакты в интеграцию по умолчанию? Одна неверная подстановка может затронуть больше задач, чем сама карточка.
Затем повторите передачу учебного события. Повтор не должен создавать новую независимую запись с другим статусом без объяснимого правила. Проверьте и конфликт: в одной системе новое ограничение уже есть, а в другой еще хранится прежнее состояние.
Результат удобно сохранить как список проверок с ожиданием, фактом и ответственным за исправление. Слово «импортировано» подтверждает техническое действие, но не готовность дальнейшей обработки.
Что проверять после изменения интеграции
Новая версия обмена может добавить поля, поменять получателя или порядок запуска. Поэтому после обновления стоит вернуться к карте процесса. Что изменилось в составе, задаче, инфраструктуре и доступе? Ответ «разработчик обновил модуль» не раскрывает эти последствия.
Учебная интеграция раньше передавала номер обращения и тему, а после обновления начала включать телефон. Для прежней задачи контакт может не требоваться. Сначала выясните причину изменения и согласуйте состав, затем проверьте фактическую передачу на синтетической записи.
Отдельно рассмотрите файлы и резервные копии. Нужно понимать, где они находятся, кто получает доступ и как выполняется принятый порядок хранения и прекращения обработки. Не обещайте человеку удаление из всех мест, пока ответственные не проверили, какие действия нужны и выполнены.
В журнале изменений сохраните дату, версию схемы и итог проверки. Если позже возникнет вопрос по старому случаю, команда увидит, какой порядок действовал тогда. Это точнее попытки объяснить прошлую передачу только сегодняшней настройкой.
При передаче задачи другому сотруднику оставьте карту процесса, владельцев систем и открытые вопросы. Если неизвестно, где хранится выгрузка, это нужно сохранить как вопрос, а не скрыть под отметкой «проверено». Новому исполнителю важно понимать, какое подтверждение еще требуется и к кому за ним обратиться. Тогда смена ответственного не обрывает разбор и не превращает незавершенное действие в формальное согласование.
Частые вопросы
Решает ли покупка CRM вопрос соответствия закону?
Нет. Нужно проверить процессы компании, основания, документы, доступ, инфраструктуру и работу подрядчиков. Возможность настройки в продукте еще не подтверждает, что нужная настройка применена и проверена.
Нужно ли согласие для любой записи?
Закон предусматривает несколько оснований. Подходящее основание выбирают под конкретную цель и обстоятельства, а при использовании согласия проверяют его оформление и доказательства.
Удаление карточки прекращает всю обработку?
Не обязательно. Связанные сведения могут оставаться в интеграциях и файлах. Нужны решение по обращению и проверка исполнения во всех затронутых процессах.
Что в итоге
- Опишите цель, состав и полный путь сведений.
- Проверьте основания, согласия и документы по фактическим процессам.
- Настройте и проверьте доступ, обмен и действия исполнителей.
- Разделяйте типы обращений и сохраняйте подтверждение исполнения.
- Подготовьте ответственных и маршрут действий при инциденте заранее.
Источники
- 152-ФЗ,статья5: принципы. Прочитано 20.10.2026.
- Статья6: основания и поручение. Прочитано 20.10.2026.
- Статья9: согласие. Прочитано 20.10.2026.
- Статья18: сбор данных. Прочитано 20.10.2026.
- Статья18.1: организационные меры. Прочитано 20.10.2026.
- Статья19: безопасность. Прочитано 20.10.2026.
- Статья21: обращения и инциденты. Прочитано 20.10.2026.
- Статья22: уведомление. Прочитано 20.10.2026.
Разбирайте обратную связь покупателей в Спикс
Темы отзывов помогают выбрать, что уточнить в товаре и объяснениях для покупателей. Посмотрите, как организовать эту работу в Спикс.
Попробовать Спикс