Как привести сайт в соответствие с 152-ФЗ: почему важен порядок
Обычно владелец начинает с политики конфиденциальности: скачал шаблон, поставил ссылку в подвал, успокоился. Проблема в том, что документ описывает обработку, которой вы ещё не видели целиком. Через неделю выясняется, что форма заказа звонка отправляет заявки в зарубежный сервис, а в шаблоне висит пиксель соцсети — и политику приходится переписывать.
Поэтому порядок здесь такой: сначала разобраться, что происходит на сайте на самом деле, затем убрать технические признаки риска, и только после этого писать документы. Уведомление в Роскомнадзор подаётся, когда цели и перечень данных уже определены, — иначе его придётся уточнять.
Каждый шаг ниже разбит на три части: что сделать, как проверить себя и где чаще всего ошибаются.
Шаг 1. Составьте опись данных, форм и сервисов
Что сделать. Откройте сайт как посетитель и выпишите в таблицу всё, куда человек вводит сведения о себе: заявка, обратный звонок, регистрация, корзина, подписка, отзыв, онлайн-чат, квиз, загрузка резюме. Для каждой формы отметьте поля, цель сбора и адрес, куда уходят данные: почта, CRM, телеграм-бот, таблица.
Отдельной строкой впишите «невидимый» сбор: счётчики аналитики, рекламные пиксели, виджеты карт и видео, коллтрекинг. Они тоже получают сведения о посетителе — как минимум IP-адрес и идентификаторы cookie.
Как проверить. Опись готова, если по ней можно ответить на три вопроса про любое поле: зачем оно нужно, где хранится и кто ещё его видит.
Типичные ошибки. Забывают про старые посадочные страницы, всплывающие окна и формы в личном кабинете. Поле «Отчество» или «Дата рождения» собирают «на всякий случай», хотя для заявки хватает имени и телефона. Лишнее поле — лишняя обязанность.
Шаг 2. Проверьте хостинг и зарубежные сервисы
Что сделать. С 1 июля 2025 года действует новая редакция ч. 5 ст. 18 152-ФЗ: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных за пределами России не допускаются. Проверьте, в какой стране стоят сервер сайта, почтовый сервис, CRM, конструктор форм, чат и сервис рассылок.
Если что-то из этого работает за рубежом, варианты два: перенести сервис в российский дата-центр или заменить аналогом. Когда передача за границу всё же нужна, до её начала подаётся отдельное уведомление в Роскомнадзор о трансграничной передаче (ст. 12, действует с 1 марта 2023 года).
Как проверить. Узнайте страну IP-адреса сервера сайта через любой сервис WHOIS. В описи из шага 1 у каждого сервиса должна стоять страна хранения данных.
Типичные ошибки. Считают, что раз сайт на российском хостинге, то всё в порядке, — а заявки при этом падают в зарубежную CRM или в иностранную почту. Подключают зарубежную капчу, шрифты или CDN, которые получают IP посетителя. Возможный штраф за нарушение локализации по ч. 8 ст. 13.11 КоАП для организаций — от 1 до 6 млн рублей, поэтому этот шаг стоит сделать одним из первых.
Шаг 4. Переделайте формы и согласие на обработку
Что сделать. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов (ч. 4 ст. 9 в редакции 156-ФЗ). Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Для формы на сайте это означает:
- чекбокс рядом с кнопкой отправки, не отмеченный заранее;
- ссылка ведёт на отдельный текст согласия, а не на политику или оферту;
- в тексте названы оператор, цель, перечень данных, срок и способ отзыва;
- факт согласия фиксируется: дата, время, версия текста, идентификатор заявки.
Согласие на рекламные рассылки собирайте отдельной галочкой. По ст. 15 152-ФЗ и ст. 18 закона «О рекламе» такие рассылки допустимы только с предварительного согласия и прекращаются немедленно по требованию человека.
Как проверить. Попробуйте отправить каждую форму без галочки — отправка не должна пройти. Откройте текст согласия по ссылке: в нём должна быть ваша компания, а не «Администрация сайта».
Типичные ошибки. Одна галочка «согласен с политикой и условиями оферты» на всё сразу. Предотмеченный чекбокс. Согласие без названия оператора. Текст согласия лучше составлять под конкретную форму, а не один на весь сайт.
Шаг 5. Опубликуйте документы сайта
Что сделать. Оператор, который собирает данные через интернет, публикует на сайте политику обработки персональных данных и обеспечивает к ней доступ (ч. 2 ст. 18.1). Минимальный набор публичных документов:
| Документ | Зачем | Где разместить |
|---|---|---|
| Политика обработки ПДн | описывает цели, данные, сроки, права людей | ссылка в подвале каждой страницы |
| Согласие на обработку | основание для обработки заявок | ссылка у каждой формы |
| Политика cookie | перечень cookie и сервисов | ссылка в баннере |
| Согласие на рассылку | основание для писем и SMS | у формы подписки |
Как проверить. Сверьте политику с описью из шага 1: каждая цель и каждый сервис из таблицы должны найтись в тексте. Если в описи есть Метрика, а в политике о ней ни слова, — это расхождение.
Типичные ошибки. Политика скопирована с чужого сайта вместе с чужими реквизитами. Документ описывает «данные банковских карт», которых сайт не собирает. Черновик по вашей описи соберёт генератор политики; политику cookie удобно вести отдельным документом. Возможный штраф за неопубликованную политику — по ч. 3 ст. 13.11 КоАП: для организаций 30–60 тыс. рублей, для ИП 10–20 тыс.
Шаг 6. Разместите реквизиты владельца
Что сделать. Ч. 2 ст. 10 закона «Об информации» (149-ФЗ) требует, чтобы на сайте были наименование владельца, место нахождения, адрес и электронная почта для обращений. Для ИП — фамилия, имя, отчество и адрес. Удобнее всего собрать их на странице «Контакты» и продублировать в подвале.
Как проверить. Название организации и ИНН на сайте совпадают с тем, что указано в политике и в согласии.
Типичные ошибки. На сайте бренд «Ромашка», в политике — ООО с другим названием, а в согласии — ИП директора. Посетитель не понимает, кто оператор, а проверяющий видит три разных лица.
Шаг 7. Подайте уведомление в Роскомнадзор
Что сделать. По ст. 22 152-ФЗ уведомление об обработке подаётся до её начала. Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180, подача — на портале pd.rkn.gov.ru. С 1 сентября 2022 года сведения указываются отдельно по каждой цели обработки.
Если что-то изменилось, информационное письмо подаётся не позднее 15-го числа месяца, следующего за месяцем изменений. Прекратили обработку — сообщите в течение 10 рабочих дней. Подготовить текст поможет мастер уведомления.
Как проверить. Найдите себя по ИНН в реестре операторов на pd.rkn.gov.ru и сравните цели и перечень данных с политикой на сайте.
Типичные ошибки. Подали уведомление пять лет назад и забыли про него, хотя с тех пор появились новые формы и сервисы. Возможный штраф за неподанное или несвоевременно поданное уведомление — по ч. 10 ст. 13.11 КоАП: для организаций 100–300 тыс. рублей.
Шаг 8. Оформите внутренние документы и процессы
Что сделать. Сайт — только витрина обработки. Ст. 18.1 требует от оператора принять меры: назначить ответственного за организацию обработки, утвердить локальные акты, оценить вред, который может быть причинён людям (приказ РКН от 27.10.2022 № 178), определить уровень защищённости (ПП РФ № 1119). Кроме бумаг нужны работающие процедуры:
- ответ на запрос человека — 10 рабочих дней, продление ещё на 5 с мотивированным уведомлением;
- отзыв согласия — прекратить обработку и уничтожить данные не позднее 30 дней;
- уничтожение — с подтверждением по приказу РКН от 28.10.2022 № 179;
- утечка — сообщить в Роскомнадзор в течение 24 часов о факте и в течение 72 часов о результатах расследования.
Как проверить. Задайте себе вопрос: если завтра клиент попросит удалить его данные, кто это сделает и в какой системе? Если ответа нет, процесса тоже нет.
Типичные ошибки. Приказы есть, но о них не знает ни один сотрудник. Заявки годами копятся в почте без срока хранения.
Шаг 9. Проверьте результат снаружи
Что сделать. Когда всё настроено, посмотрите на сайт глазами проверяющего: без выбора в баннере, после отказа и после согласия. Автоматическая проверка prdomain.ru делает именно это — открывает сайт трижды с российского IP, обходит до 20 внутренних страниц, проверяет формы, документы, реквизиты и страну сервера и ставит балл от 0 до 100. Отчёт показывает, на какой странице и в каком сценарии найден каждый признак риска.
Как проверить. В отчёте не осталось признаков риска с высоким приоритетом, а счётчики не появляются в сценарии «без выбора» и «отказ».
Типичные ошибки. Проверили только главную страницу, а на старом лендинге осталась форма без согласия.
Шаг 10. Поддерживайте порядок
Что сделать. Соответствие — состояние, а не разовая работа. Каждое изменение сайта способно его нарушить: маркетолог добавил пиксель, подрядчик подключил новый чат, появилась форма с полем «Дата рождения». Заведите простое правило: новый сервис или форма попадают на сайт только после записи в опись, правки политики и при необходимости — письма в Роскомнадзор.
Как проверить. Раз в квартал повторяйте внешнюю проверку и сверяйте опись с реальностью.
Типичные ошибки. Считать задачу закрытой после публикации документов. Не следить за изменениями закона: в 2025–2026 годах в 152-ФЗ и ст. 13.11 КоАП изменения выходили несколько раз.
Что можно сделать за один вечер, а что потребует юриста
Не всё из списка требует специальных знаний. Разделим задачи по сложности.
| За вечер своими силами | С юристом или специалистом |
|---|---|
| Опись форм, полей и сервисов | Оценка оснований обработки для сложных случаев |
| Снять предотметку с чекбоксов, добавить ссылки | Текст согласия и политики под реальные процессы |
| Удалить лишние поля из форм | Внутренние акты, оценка вреда, уровень защищённости |
| Подключить баннер с блокировкой счётчиков | Трансграничная передача и уведомление о ней |
| Разместить реквизиты владельца | Специальные категории данных (здоровье и др.) |
| Проверить себя в реестре операторов | Ответ на запрос или предостережение Роскомнадзора |
Если у вас клиника, интернет-магазин с доставкой или сайт принимает резюме, юрист нужен почти наверняка: здесь появляются данные о здоровье, передача курьерским службам, данные соискателей. Для типичного сайта услуг с формой заявки и Метрикой большую часть шагов можно пройти самостоятельно.
Если нет времени разбираться, всю работу — от баннера до документов и уведомления — можно передать в исправление под ключ.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
- Федеральный закон от 24.06.2025 № 156-ФЗ (согласие оформляется отдельно)
- Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
- Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»
- Кодекс РФ об административных правонарушениях, ст. 13.11
- Приказ Роскомнадзора от 28.10.2022 № 180 (формы уведомлений)
- Приказ Роскомнадзора от 28.10.2022 № 179 (подтверждение уничтожения)
- Приказ Роскомнадзора от 27.10.2022 № 178 (оценка вреда)
- Постановление Правительства РФ от 01.11.2012 № 1119 (уровни защищённости)
- Портал персональных данных Роскомнадзора: уведомления и реестр операторов