Почти любой коммерческий сайт собирает персональные данные: имя и телефон в форме заявки, email для рассылки, данные аналитики. Поэтому требования 152-ФЗ «О персональных данных» касаются практически каждого бизнеса в интернете. С 2025 года штрафы за нарушения кратно выросли, а требования к согласиям стали строже. Разберём, что должно быть на сайте, — в формате чек-листа.
Кто считается оператором персональных данных
Оператор — тот, кто собирает и обрабатывает персональные данные и определяет цели обработки. Если на вашем сайте есть форма заявки, где человек оставляет имя и телефон, вы — оператор. Не важно, ИП вы или компания, большой у вас бизнес или маленький.
Чек-лист 152-ФЗ для сайта
1. Уведомление в Роскомнадзор
Перед началом обработки персональных данных оператор подаёт уведомление в Роскомнадзор и попадает в реестр операторов. Подать его можно онлайн на портале pd.rkn.gov.ru. В уведомлении указываются цели обработки, категории данных, меры защиты и места хранения.
Если у вас уже есть регистрация, но появился новый сайт или новые цели обработки, в уведомление нужно внести изменения.
2. Политика обработки персональных данных
На сайте должна быть опубликована политика: кто оператор, какие данные собираются, с какой целью, кому передаются, сколько хранятся, как защищаются и как субъект может реализовать свои права. Ссылка на политику — в подвале и рядом с формами.
Типичная ошибка — скопировать чужую политику. В ней оказываются чужие реквизиты, цели и сервисы, которыми вы не пользуетесь. Политика должна описывать реальные процессы вашей компании.
3. Отдельное согласие в формах
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов — его нельзя «спрятать» в пользовательском соглашении или оферте. На практике это означает:
- отдельный чекбокс согласия в каждой форме;
- чекбокс не отмечен заранее;
- рядом ссылка на текст согласия;
- без согласия форма не отправляется.
4. Cookie и аналитика
Сервисы аналитики, такие как Яндекс.Метрика, собирают данные о посетителях. Безопасная практика:
- баннер cookie при первом визите;
- аналитические cookie подключаются только после согласия;
- отдельная политика cookie с перечнем используемых файлов.
5. Хранение данных в России
Базы данных с персональными данными граждан России должны находиться на территории России. Проверьте, где хранятся заявки: хостинг сайта, CRM, почтовые сервисы, сервисы рассылок.
6. Защита данных
Минимальный набор мер:
- HTTPS на всех страницах;
- ограничение доступа к заявкам — только сотрудникам, которым они нужны;
- защита форм от спама и ботов;
- резервное копирование;
- регулярные обновления сайта и CMS.
7. Порядок действий при утечке
При утечке персональных данных оператор обязан уведомить Роскомнадзор в течение 24 часов и направить дополнительную информацию о результатах расследования в течение 72 часов. Порядок действий лучше описать заранее.
Что грозит за нарушения
С 2025 года действуют повышенные штрафы по статье 13.11 КоАП. Они различаются для граждан, должностных лиц, ИП и организаций и зависят от вида нарушения: отсутствие уведомления, нарушение условий обработки, утечка. За утечки предусмотрены штрафы в миллионы рублей, а за повторные — оборотные. Для малого бизнеса даже штраф за отсутствие уведомления ощутим, поэтому базовые требования проще выполнить сразу.
Типичные ошибки на сайтах
| Ошибка | Как исправить |
|---|---|
| Согласие отмечено галочкой по умолчанию | Убрать предустановленную отметку |
| Нет ссылки на политику рядом с формой | Добавить ссылку на политику и согласие |
| Метрика загружается до согласия | Подключать после выбора в баннере cookie |
| Заявки уходят на зарубежную почту или сервис | Перенести обработку на российские сервисы |
| Политика скопирована с другого сайта | Подготовить документ под ваши процессы |
| Нет уведомления в Роскомнадзор | Подать уведомление на pd.rkn.gov.ru |
Как мы делаем сайты с учётом 152-ФЗ
На сайтах, которые мы разрабатываем, по умолчанию есть политика обработки персональных данных, отдельное согласие в формах, баннер cookie с подключением аналитики после согласия и хранение данных на серверах в России. Заявки можно передавать в CRM КРОУ Leads, которая хранит данные в России.
Итог
152-ФЗ касается любого сайта с формой заявки. Минимум, который нужен каждому: уведомление в Роскомнадзор, политика обработки ПДн, отдельное согласие в формах, cookie-баннер и хранение данных в России. Если не уверены, всё ли в порядке на вашем сайте, закажите бесплатный аудит — мы проверим и этот пункт.
Частые вопросы
Да. Имя и телефон в форме — это персональные данные, а владелец сайта, который их получает, является оператором персональных данных.