152-ФЗ для сайта: что должно быть, чтобы не поймать штраф

Если на сайте есть хоть одна форма — заявка, обратный звонок, подписка, запись, — вы обрабатываете персональные данные и попадаете под 152-ФЗ. Минимум, который должен быть у обычного коммерческого сайта: опубликованная политика обработки, отдельное непредустановленное согласие у каждой формы, реквизиты оператора и поданное в Роскомнадзор уведомление. Ниже — что это значит на практике и что можно сделать самому за вечер.

Сразу оговорка, без которой дальше нельзя: это разбор с точки зрения разработчика, со ссылками на нормы, а не юридическая консультация. Спорные случаи и оценку рисков по вашей ситуации даёт юрист.

Что закон считает персональными данными

Любую информацию, относящуюся к прямо или косвенно определённому человеку (п. 1 ст. 3 152-ФЗ). Имя и телефон — очевидно. Но и одна только почта вида ivan.petrov@…, и связка «IP-адрес плюс поведение на сайте» в практике трактуются как данные, относящиеся к человеку. Поэтому «мы же просто спрашиваем email» — не аргумент.

Оператор — тот, кто определяет цели обработки. Для сайта компании это сама компания или ИП, а не подрядчик, который сайт делал.

Минимум для коммерческого сайта

Что нужно	Норма	Как выглядит на сайте
Политика обработки ПДн	ч. 2 ст. 18.1 152-ФЗ	отдельная страница, ссылка в подвале
Согласие на обработку	ч. 1 ст. 9 152-ФЗ	пустой чекбокс у формы + текст согласия
Реквизиты оператора	—	ИНН/ОГРН и адрес в подвале или в политике
Уведомление в РКН	ст. 22 152-ФЗ	подаётся до начала обработки
Хранение данных в РФ	ч. 5 ст. 18 152-ФЗ	база и хостинг на серверах в России

Политика

Публикуемый документ: кто оператор, какие данные и зачем собираются, сколько хранятся, как их удалить по запросу. Шаблон из интернета годится как каркас, но его нужно привести к тому, что сайт реально собирает: политика, обещающая защиту «фамилии, паспорта и биометрии» на сайте с одной формой обратной связи, выглядит как формальность — и является ею.

Согласие

По ч. 1 ст. 9 согласие должно быть конкретным, предметным, информированным, сознательным и однозначным — и данным в форме, позволяющей подтвердить факт его получения. С 1 сентября 2025 года там же появилось требование оформлять согласие отдельно от иных информации и (или) документов (изменение внесено Федеральным законом от 24.06.2025 № 156-ФЗ). Отсюда практические выводы:

Чекбокс не должен быть отмечен заранее. Предустановленная галочка — не действие человека.
Согласие — отдельное действие, а не строчка «нажимая кнопку, вы соглашаетесь» мелким шрифтом.
Согласие не смешивается с офертой и условиями использования в одной галочке: закон требует оформления отдельно от иных документов.
Текст согласия совпадает с реальностью. Если форма собирает имя и почту, в согласии перечислены имя и почта — не больше.

Последний пункт нарушают чаще всего: копируют чужой текст, где упомянуты паспортные данные и фотографии, которых у вас нет.

Как устроена законная форма по шагам, что хранить как доказательство согласия и какие пять ошибок встречаются чаще всего — в отдельном разборе «Согласие на обработку данных».

Уведомление в Роскомнадзор

Уведомление об обработке персональных данных подаётся до начала обработки (ст. 22 152-ФЗ). Перечень исключений за последние годы сузился, поэтому обычному сайту с формой заявки уведомление, как правило, нужно. Подаётся через портал Роскомнадзора, бесплатно, занимает вечер.

Локализация

Базы, в которых накапливаются данные россиян, должны находиться в России (ч. 5 ст. 18 152-ФЗ). Практический вывод: хостинг и почтовый сервис для форм выбирайте с серверами в РФ.

Что грозит за нарушения

Ответственность установлена ст. 13.11 КоАП РФ, и после изменений последних лет суммы выросли: по разным составам это вилки от десятков до сотен тысяч рублей для организаций, а за утечки предусмотрены отдельные, более жёсткие санкции — вплоть до оборотных. Точную квалификацию и сумму определяет уполномоченный орган или суд, поэтому конкретных цифр я не публикую: источники расходятся, а цена ошибки в такой цифре высока.

Практически: типовые претензии к малому бизнесу — это отсутствие политики, предустановленная галочка и неподанное уведомление. Всё три чинятся за день.

Чего в этом списке нет

ПП РФ № 102 — постановление о требованиях к сайтам государственных органов, органов местного самоуправления и подведомственных организаций. К обычному коммерческому сайту оно напрямую не относится, хотя его любят упоминать в коммерческих предложениях. Если вы бюджетное учреждение — это отдельный разговор и отдельный набор требований.

Требования к доступности для коммерческих сайтов в России пока не обязательны. Делать сайт доступным стоит по другой причине: это те же люди с деньгами, просто им сейчас неудобно.

Проверьте свой сайт за десять минут

Есть ли в подвале ссылка на политику обработки данных?
Открывается ли она и написана ли на ваших реквизитах?
У каждой формы есть отдельный чекбокс — и он не отмечен заранее?
Совпадает ли текст согласия с тем, что форма спрашивает?
Указаны ли ИНН/ОГРН на сайте?
Подано ли уведомление в Роскомнадзор?

Первые пять пунктов частично проверяет мой экспресс-аудит — он смотрит наличие политики, чекбоксов у форм и реквизитов и показывает нормы рядом с наблюдениями. Привести сайт в порядок целиком — отдельная работа, 15–30 тысяч рублей.

Коротко

Любая форма на сайте — это обработка ПДн и обязанности оператора.
Минимум: политика (ч. 2 ст. 18.1), непредустановленное согласие (ч. 1 ст. 9), реквизиты, уведомление в РКН (ст. 22), хранение данных в РФ (ч. 5 ст. 18).
С 01.09.2025 согласие оформляется отдельно от иных информации и документов.
Текст согласия должен совпадать с реальным составом собираемых данных.
Штрафы по ст. 13.11 КоАП — вилками; точные суммы зависят от состава и решения органа.
ПП № 102 — про госсектор, коммерческих сайтов напрямую не касается; кому и что там предписано, разобрано в статье про доступность сайта.

Частые вопросы

У меня только форма обратной связи. Всё равно нужно?

Да. Объём данных не отменяет обязанностей: одна форма с именем и телефоном — уже обработка. Хорошая новость в том, что и требования к такому сайту минимальны.

Достаточно ли фразы «нажимая кнопку, вы соглашаетесь»?

Это распространённая практика, но она хуже соответствует требованию о сознательном и конкретном согласии, чем отдельный пустой чекбокс со ссылкой на текст. Я делаю чекбоксом — так спокойнее и мне, и клиенту.

Кто отвечает — я или разработчик?

Оператор — вы: цели обработки определяет владелец сайта. Разработчик отвечает за то, чтобы техническая часть соответствовала этим целям, и обычно выступает обработчиком по поручению.

Нужно ли согласие для метрики и куки?

Аналитика — отдельная и более спорная тема, чем формы: практика по счётчикам и куки продолжает складываться. Разумный минимум сегодня — описать использование аналитики в политике; за более точной оценкой стоит идти к юристу.