152-ФЗ для сайта: что обязан сделать владелец

Многие владельцы небольших сайтов уверены, что закон о персональных данных — это забота банков и крупных компаний. Но если на сайте есть хотя бы одна форма «Оставьте заявку» с полями «Имя» и «Телефон», вы уже оператор персональных данных. А значит, на вас распространяются требования 152-ФЗ — и штрафы за их нарушение за последние годы выросли в разы.

Разберём, что закон требует от обычного сайта и как привести его в порядок. Это не юридическая консультация: документы для вашей компании лучше подготовить или проверить у юриста, а я расскажу, как всё это выглядит на сайте и в его технической части.

Почему 152-ФЗ касается почти каждого сайта

Персональные данные — это любая информация, по которой можно определить человека: имя, телефон, электронная почта, адрес, а в связке с другими данными — даже IP-адрес и cookie. Оператор — тот, кто эти данные собирает и обрабатывает. Получается, что оператор — это и интернет-магазин, и сайт стоматологии с записью, и лендинг с формой обратного звонка.

Неважно, сколько заявок приходит в месяц и храните ли вы их где-то кроме почты: сам факт сбора данных через сайт делает вас оператором.

Что требует закон от владельца сайта

Политика обработки персональных данных

Оператор, который собирает данные через интернет, обязан опубликовать на сайте документ о своей политике обработки персональных данных и обеспечить к нему свободный доступ. В нём описывается, какие данные вы собираете, зачем, как долго храните, кому передаёте и как человек может отозвать согласие. Ссылка на политику обычно размещается в подвале сайта и рядом с каждой формой.

Согласие на обработку данных

Обрабатывать данные можно только на законном основании — чаще всего это согласие человека. Согласие должно быть конкретным, информированным и сознательным. А с 1 сентября 2025 года оно должно оформляться отдельно от других документов: его нельзя «спрятать» внутри пользовательского соглашения, оферты или политики.

На практике это значит, что у формы должен быть отдельный чекбокс согласия со ссылкой на его текст, и этот чекбокс не должен быть отмечен заранее. Формулировка мелким шрифтом «Нажимая кнопку, вы соглашаетесь…» — устаревшая практика, которая сегодня создаёт риски.

Уведомление Роскомнадзора

Перед началом обработки персональных данных оператор должен подать уведомление в Роскомнадзор и попасть в реестр операторов. С сентября 2022 года исключений из этого правила почти не осталось, так что владельцу сайта с формами уведомление нужно практически всегда. Подать его можно онлайн на портале персональных данных Роскомнадзора.

Хранение данных в России

Персональные данные граждан России при сборе должны записываться, храниться и обновляться в базах данных на территории России. С 1 июля 2025 года прямо запрещено использовать для этого иностранные базы данных. Для сайта это значит: заявки должны попадать на сервер в России, а не напрямую в зарубежные сервисы форм, CRM или почты.

Если данные затем передаются за рубеж — например, в иностранный сервис рассылок или аналитики, — это трансграничная передача, о которой тоже нужно заранее уведомить Роскомнадзор.

Cookie и счётчики аналитики

Яндекс Метрика, вебвизор, рекламные пиксели собирают cookie и IP-адреса посетителей — а это могут быть персональные данные. Поэтому на сайте нужен баннер с информацией о cookie и отдельный документ о том, какие cookie и зачем используются. Лучшая практика — не загружать необязательные счётчики, пока посетитель не дал согласие.

Защита данных и утечки

Оператор обязан защищать данные: HTTPS на всём сайте, ограниченный доступ к заявкам и админке, надёжные пароли, обновлённое ПО. Если утечка всё-таки произошла, о ней нужно сообщить в Роскомнадзор в течение 24 часов, а в течение 72 часов — передать результаты внутреннего расследования.

Чем грозит нарушение

С 30 мая 2025 года вступили в силу новые штрафы по статье 13.11 КоАП. Вот ориентиры для юридических лиц:

не подали уведомление в Роскомнадзор об обработке данных — от 100 до 300 тысяч рублей;
не сообщили об утечке — от 1 до 3 миллионов рублей;
допустили утечку — от 3 до 15 миллионов рублей в зависимости от числа пострадавших;
повторная утечка — оборотный штраф от 1 до 3% выручки, но не менее 20 и не более 500 миллионов рублей;
нарушили требование о хранении данных в России — от 1 до 6 миллионов рублей, повторно — до 18 миллионов.

Отдельно наказываются обработка данных без законного основания и нарушения при получении согласия. А с декабря 2024 года в Уголовном кодексе появилась статья 272.1 о незаконном использовании и передаче компьютерной информации с персональными данными.

Проверки Роскомнадзора — не единственный риск. Жалобу может подать любой посетитель сайта, которому, например, начали звонить с непрошеными предложениями.

Чек-лист: что проверить на своём сайте

на сайте опубликована политика обработки персональных данных, ссылка на неё есть в подвале и у каждой формы;
у каждой формы есть отдельный, не отмеченный заранее чекбокс согласия со ссылкой на текст согласия;
формы собирают только необходимое: для обратного звонка достаточно имени и телефона;
заявки сохраняются на сервере в России, а не уходят напрямую в иностранные сервисы;
компания есть в реестре операторов Роскомнадзора;
если данные передаются в зарубежные сервисы, подано уведомление о трансграничной передаче;
есть баннер о cookie и документ о том, какие cookie использует сайт;
весь сайт работает по HTTPS, доступ к заявкам и админке ограничен;
понятно, кто и как действует при утечке, чтобы уложиться в 24 и 72 часа.

Чем я могу помочь

Юридические документы — политику и тексты согласий — лучше доверить юристу. А техническую часть я сделаю сам: страницы с документами, отдельные чекбоксы согласия во всех формах, cookie-баннер, который не загружает счётчики до согласия, сохранение заявок на сервере в России и передачу их в CRM, HTTPS и защиту админки.

Напишите мне, и я проверю ваш сайт по этому чек-листу и скажу, что нужно поправить.

152-ФЗ для сайта: что обязан сделать владелец и чем грозит нарушение