Любой сайт с формой обратной связи, заявки или регистрации собирает персональные данные — и автоматически попадает под действие 152-ФЗ. Разобрали, что конкретно должно быть на сайте: согласие, политика, уведомление Роскомнадзора, требования к хранению данных и сколько стоит игнорировать закон в 2026 году.
Если коротко: по 152-ФЗ каждый сайт, который собирает имена, телефоны, email или любую другую информацию о физических лицах, обязан иметь политику конфиденциальности, явное согласие пользователя на обработку данных, а если данные хранятся на серверах — уведомить Роскомнадзор. Штрафы за нарушения выросли в 2023–2024 годах и продолжают расти. Ниже — практический разбор без юридических дебрей: что поставить на сайт, как это оформить и чего точно нельзя пропускать.
Одна из типичных ситуаций, с которой к нам приходят клиенты из Хабаровска и со всего Дальнего Востока: сайт работает несколько лет, форм штук пять, а политики конфиденциальности нет вовсе либо скопирована чужая — из интернета, двухлетней давности, с другим названием компании. Роскомнадзор научился проверять это автоматически, а плановые проверки бизнеса участились после ужесточений 2023 года.
Важная оговорка: эта статья — общая информация о практических шагах, а не юридическая консультация. Конкретные вопросы соответствия законодательству решайте с профильным юристом.
Что такое персональные данные на сайте и кто попадает под закон
Персональные данные — любая информация, которая прямо или косвенно позволяет идентифицировать физическое лицо. Для сайта это практически любое поле формы: имя, фамилия, телефон, email, адрес доставки, дата рождения, IP-адрес (в ряде трактовок). Юридическое лицо персональными данными не является — закон защищает людей, а не компании.
Под 152-ФЗ попадает любой оператор, который собирает и обрабатывает такие данные. Оператором считается и ИП, и ООО, и физическое лицо, если оно ведёт сайт с формами. То есть интернет-магазин, корпоративный сайт с заявкой на обратный звонок, лендинг с формой «оставьте контакты» — все они обрабатывают персональные данные и должны соответствовать закону.
Что обязательно должно быть на каждом сайте с формами
Перечень минимально необходимых элементов — короткий, но каждый из них важен. Отсутствие любого пункта создаёт основание для предписания или штрафа.
- Политика конфиденциальности (обработки персональных данных). Отдельная страница, доступная по ссылке с любой формы. Содержит: кто оператор, какие данные собираются, с какой целью, как хранятся, кому передаются, как пользователь может их отозвать.
- Согласие на обработку ПДн. Явное, конкретное, добровольное. Не «предзаполненный» чекбокс — пользователь ставит галочку сам. Согласие должно быть привязано к конкретной цели: «обработка для обратного звонка», «регистрация в личном кабинете».
- Ссылка на политику рядом с чекбоксом. Формулировка вида «Я ознакомился с политикой конфиденциальности и согласен на обработку персональных данных» — текст, кликабельная ссылка, чекбокс.
- Cookie-баннер. Если сайт использует cookies для аналитики (Яндекс Метрика, Google Analytics), ремаркетинга или сторонних сервисов — нужно уведомить пользователя и получить согласие. Технические cookies (сессия, корзина) под это не подпадают.
- Контактные данные оператора в политике: название организации или ФИО ИП, ОГРН/ОГРНИП, адрес, email для обращений по вопросам ПДн.
Уведомление Роскомнадзора: кто обязан подать
По 152-ФЗ большинство организаций, которые обрабатывают персональные данные, обязаны встать на учёт в Роскомнадзоре как операторы ПДн. Уведомление подаётся до начала обработки данных — то есть до запуска сайта с формами, а не после. Из реестра операторов вас могут исключить только если данные обрабатываются исключительно для трудовых отношений с сотрудниками или ограниченного числа других случаев (полный перечень — в ст. 22 закона).
Уведомление подаётся через портал pd.rkn.gov.ru. Это бесплатно. После подачи организация вносится в реестр операторов, который Роскомнадзор публикует в открытом доступе. Проверить, есть ли ваша компания в реестре, можно там же — и именно это проверяют инспекторы в первую очередь.
Локализация данных: требование 242-ФЗ
С 2015 года действует поправка 242-ФЗ к основному закону: персональные данные российских граждан должны первично обрабатываться и храниться на серверах в России. Это означает, что если ваш сайт или CRM хранит данные клиентов — сервер должен физически находиться на территории РФ.
На практике это касается выбора хостинга. Использование зарубежных хостингов (AWS, Azure, Hetzner в Германии) для хранения ПДн российских пользователей создаёт нарушение. Российский хостинг или облако с дата-центром в РФ — обязательное условие. Для сайтов на 1С-Битрикс и решениях Аспро, которые мы развёртываем, мы используем только российские площадки: это и требование закона, и просто быстрее — задержки к московским ДЦ от Хабаровска меньше, чем к европейским.
Таблица штрафов за нарушения 152-ФЗ в 2026 году
Размеры санкций существенно выросли в 2023 году и продолжают применяться. Вот актуальные цифры по основным нарушениям:
| Нарушение | Штраф для ИП | Штраф для организации |
|---|---|---|
| Обработка ПДн без согласия субъекта | до 100 000 ₽ | до 300 000 ₽ |
| Отсутствие политики конфиденциальности | до 30 000 ₽ | до 60 000 ₽ |
| Хранение данных за рубежом без уведомления | до 100 000 ₽ | до 6 000 000 ₽ |
| Повторное нарушение при утечке данных | до 500 000 ₽ | до 15 000 000 ₽ |
| Непредоставление данных субъекту по запросу | до 40 000 ₽ | до 80 000 ₽ |
При крупных утечках (более 100 000 субъектов) санкции переходят в уголовно-правовую плоскость. Понятно, что у малого бизнеса таких баз нет — но даже небольшой штраф в 60–300 тысяч рублей неприятнее, чем потратить день на приведение сайта в порядок.
Как правильно оформить согласие на обработку ПДн
Чекбокс под формой — это минимум. Чтобы согласие имело юридическую силу, нужно соблюсти несколько условий. Согласие должно быть информированным: пользователь должен понимать, кто, зачем и как обрабатывает его данные. Общая фраза «согласен на обработку» без ссылки на конкретную политику — уязвимость.
Конкретная формулировка, которая работает: «Отправляя форму, вы соглашаетесь с обработкой персональных данных в соответствии с политикой конфиденциальности» — где курсив является кликабельной ссылкой. Рядом — незаполненный чекбокс, который пользователь ставит сам. Форма не должна отправляться без отметки в этом чекбоксе.
Отдельный момент — срок хранения согласия. Технически вам нужно уметь доказать факт согласия: когда было дано, с какого IP, для какой цели. Для этого логируют отправки форм или сохраняют подтверждения. На проектах на 1С-Битрикс и Битрикс24 это решается встроенными средствами CRM — каждая заявка автоматически сохраняет метаданные.
Cookie-баннер: нужен ли он вашему сайту
Если сайт устанавливает только технические cookies (сессия пользователя, корзина, авторизация) — закон не требует отдельного согласия. Если же используется Яндекс Метрика, пиксели соцсетей, ретаргетинговые коды или любая аналитика — пользователя надо уведомить и получить согласие. Большинство современных сайтов попадают в этот список.
Cookie-баннер — это всплывающее уведомление при первом посещении с кратким объяснением и кнопкой «Принять» (или «Настроить»). Технически его можно реализовать через JavaScript или готовые решения. Главное — сохранять выбор пользователя и не загружать трекинговые скрипты до получения согласия.
Частые вопросы
Если у меня лендинг всего с одной формой, нужна ли политика конфиденциальности?
Да, нужна. Даже одна форма с именем и телефоном означает обработку персональных данных. Политика должна быть размещена на отдельной странице со стабильным URL, а ссылка на неё — рядом с формой.
Можно ли использовать политику конфиденциальности, скачанную из интернета?
Формально нет. Политика должна отражать реальную практику конкретного оператора: ваше название, данные, которые вы собираете, цели обработки, контакты. Чужой текст, даже немного переделанный, создаёт расхождение между тем, что написано, и тем, что реально происходит — это тоже нарушение.
Как проверить, зарегистрирована ли моя компания как оператор ПДн?
Через официальный реестр операторов на сайте Роскомнадзора — pd.rkn.gov.ru. Поиск по ИНН или наименованию организации. Если вашей компании там нет, а формы на сайте собирают данные — это повод подать уведомление.
Что грозит за хранение данных на зарубежном хостинге?
По 242-ФЗ — штраф от 100 000 до 6 000 000 рублей для организаций, плюс возможная блокировка сайта Роскомнадзором до устранения нарушения. Прецеденты уже есть: в 2022–2024 годах ряд крупных сервисов получил предписания именно по этому основанию.
Нужно ли повторно получать согласие от существующих пользователей, если политика изменилась?
Если изменились цели обработки или состав собираемых данных — да, нужно уведомить пользователей и получить новое согласие. Если правки технические и не меняют суть обработки — достаточно обновить политику и разместить уведомление об изменениях с датой актуализации.
Привести сайт в соответствие с 152-ФЗ — это задача на один-два рабочих дня при наличии готовой политики и понимания, что конкретно нужно сделать. Мы помогаем с технической частью: добавить чекбоксы и их валидацию, подключить cookie-баннер, настроить хранение данных на российском хостинге, корректно интегрировать CRM. Разработку политики конфиденциальности лучше отдать юристу — мы же закроем всё остальное, в Хабаровске, Владивостоке и по всей России. Звоните: 8 800 55-100-10. Подробнее об обслуживании и доработке сайтов — поддержка сайтов или разработка.
