Если данные из формы на сайте утекут, перед клиентом отвечает владелец сайта, а не Яндекс - даже когда форма собрана в бесплатном конструкторе Яндекс.Формы. Закон разрешает поручить обработку данных стороннему сервису, но поручение требует одновременно согласия клиента и договора с закрытым перечнем условий (ч. 3 и ч. 5 ст. 6 152-ФЗ). У бесплатных Форм на личном аккаунте такого договора с Яндексом нет - он есть только у платного тарифа «360 для бизнеса».

Форма стоит на сайте пару лет, заявки приходят исправно, и владелец ни разу не задумывался, куда уходят данные из поля «телефон» после нажатия кнопки - пока клиент не спросил напрямую, кто отвечает, если они утекут.

У Натальи стоматология на два кресла и сайт с формой записи, которую пять лет назад настроил знакомый мужа - обычная Яндекс.Форма, привязанная к личному аккаунту. Имя, телефон, желаемая дата приёма. Наталья раз в неделю открывает таблицу с ответами и обзванивает записавшихся - и не задумывалась, что юридически она поручила обработку персональных данных пациентов постороннему сервису.

Форма в Яндекс.Формах - это поручение обработки, а не просто виджет

Форма на сайте не хранит данные сама: имя и телефон уходят на серверы Яндекса, там же лежит таблица с ответами. С точки зрения 152-ФЗ это не «просто инструмент», а поручение обработки персональных данных другому лицу - тому самому случаю, который описывает ч. 3 ст. 6 152-ФЗ.

Норма требует двух вещей одновременно: согласия субъекта на само поручение и договора с закрытым перечнем условий - перечень данных, перечень действий, цели обработки, обязанность конфиденциальности, требования по локализации и защите данных, обязанность предоставлять документы по запросу оператора. Устного понимания «Яндекс же надёжный» закону недостаточно.

Наталья такой договор с Яндексом не подписывала. Она просто зашла на форму, выбрала шаблон «запись на приём» и вставила код на сайт - обычный путь для любого владельца сайта без юриста в штате.

Платный Яндекс 360 и бесплатные Формы - разные документы

Здесь и начинается развилка, о которой редко пишут. У платного тарифа «360 для бизнеса» есть отдельное соглашение об обработке персональных данных: Яндекс прямо принимает на себя обязанности обработчика по поручению клиента, с таблицей целей, перечнем данных и указанием, что базы лежат на территории России.

У бесплатных Форм на личном Яндекс ID такого документа в условиях использования нет. Условия сервиса, наоборот, перекладывают обязанность иметь правовое основание для сбора данных на создателя формы - то есть на владельца сайта, а не на Яндекс. Формально поручение по ч. 3 ст. 6 152-ФЗ в бесплатном тарифе просто не оформлено: нет ни договора, ни закрытого перечня условий.

Наталья на бесплатном личном аккаунте - значит, у неё нет даже той защиты, которую даёт платный договор. Она поручила обработку данных пациентов сервису, с которым нет оформленных отношений по 152-ФЗ вообще, а не просто «сервису с более слабым договором».

Кто отвечает перед клиентом, если данные утекут

Ответ на главный вопрос статьи прямо в законе: если оператор поручает обработку другому лицу, ответственность перед субъектом персональных данных за действия этого лица несёт оператор, а обработчик отвечает перед оператором - не перед клиентом напрямую (ч. 5 ст. 6 152-ФЗ). Наталья не может показать клиенту на Яндекс и сказать «это к ним».

Тот же принцип работает и в обратную сторону: лицо, обрабатывающее данные по поручению, не обязано само собирать согласие субъекта (ч. 4 ст. 6 152-ФЗ). Значит согласие на сайте - зона ответственности Натальи, а не общие условия использования Яндекс.Формы, которые пациент никогда не читал и не подписывал применительно к своим данным.

Сроки, за которые нужно успеть уведомить, закон устанавливает отдельно - точную цифру мы по первоисточнику не сверяли, поэтому здесь её не называем. Но сама обязанность и штраф за её нарушение относятся к владельцу сайта, а не к сервису формы, вне зависимости от того, платный он или бесплатный.

Что должно быть в согласии, которое собирает форма

Отдельно от вопроса поручения стоит вопрос самого согласия клиента на обработку его данных - то, ради чего форма вообще существует. Закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным, однозначным и оформленным отдельно от прочих документов (ч. 1 ст. 9 152-ФЗ).

Стандартный шаблон Яндекс.Формы такой галочки по умолчанию не добавляет - форма просто собирает ответы на вопросы, которые задал создатель. Текст согласия, ссылка на политику обработки и отдельное поле-подтверждение - забота владельца сайта, не встроенная функция конструктора.

Подробный образец текста согласия и разбор типичных ошибок вроде одной галочки на всё - в статье «Согласие на обработку персональных данных на сайте». Логика та же: форма из Яндекса не освобождает от этих требований, а лишь меняет то, где физически хранятся ответы.

Что сделать с формой уже сегодня

Наталье не обязательно переезжать на другой сервис. Первый шаг проще: добавить в форму отдельное поле-галочку с текстом согласия на обработку данных для записи на приём, без предустановленной отметки. Рядом - ссылку на политику обработки персональных данных сайта, а не только на общие условия Яндекса.

Второй шаг - решить, остаётся ли форма на бесплатном личном аккаунте или переходит на платный тариф с оформленным договором поручения. Выбор зависит от объёма данных и от того, готов ли бизнес платить за формальные отношения с сервисом вместо самостоятельного риска. Готового правильного ответа на все случаи здесь нет - это решение владельца, а не техническая настройка.

Наталья в итоге не меняет форму на другой сервис - переписывает текст согласия и добавляет отдельную галочку под полем «телефон». Если у вас тоже стоит форма, которую когда-то настроили без вопросов о том, кто и на каких условиях обрабатывает данные клиентов, проверьте сайт бесплатно: сканер покажет, какие юридические документы уже есть на сайте, а каких не хватает.

Частые вопросы

Нужно ли обязательно переходить на платный тариф Яндекса, чтобы законно собирать данные клиентов через форму?

Нет, платный тариф не единственный законный вариант. Но на бесплатном личном аккаунте оформленного договора поручения с Яндексом нет - значит владелец сайта берёт вопросы согласия и защиты данных полностью на себя, без документа, который частично снимал бы риск.

Можно ли использовать Google Forms вместо Яндекс.Форм, чтобы не разбираться с поручением?

Смена сервиса вопрос поручения не убирает, а меняет его условия. У зарубежного сервиса добавляется отдельный вопрос - трансграничная передача и локализация данных россиян, который у российского сервиса так остро не стоит.

Если добавить в бесплатную Яндекс.Форму галочку согласия самому, этого достаточно?

Своя галочка закрывает вопрос согласия клиента перед оператором - то, что требует ч. 1 ст. 9 152-ФЗ. Формального договора поручения с Яндексом это по-прежнему не создаёт: это две разные обязанности, не одна.

Кто отвечает, если утечка произошла не из-за Яндекса, а из-за слабого пароля от личного кабинета формы?

Перед клиентом всё равно отвечает оператор, то есть владелец сайта - закон не разделяет утечки по техническому источнику, важен сам факт, что данные обрабатывались под его ответственностью.

Нужно ли отдельно писать в согласии, что данные обрабатывает именно Яндекс?

Поручение обработки другому лицу закон разрешает именно с согласия субъекта на это поручение - разумно указать в тексте согласия, что данные из формы хранятся и обрабатываются на стороне стороннего сервиса, а не только у владельца сайта.

Как понять, какой у меня аккаунт в Яндекс.Формах - личный бесплатный или тариф 360 для бизнеса?

Тип аккаунта видно в настройках оплаты личного кабинета: личный Яндекс ID работает бесплатно по умолчанию, а тарифы «360 для бизнеса» и «360 для команды» подключаются отдельно и оплачиваются.

Источники

Нормы сверены по действующим редакциям: 152-ФЗ - ред. от 26.07.2026, КоАП РФ - ред. от 04.07.2026.