Сайт и 152-ФЗ: какие разделы обязательны, чтобы не получить штраф от Роскомнадзора

Многие владельцы сайтов считают, что закон о персональных данных касается только крупных компаний и интернет-магазинов. Но персональные данные — это и имя с телефоном из формы «Перезвоните мне». Значит, требования Федерального закона № 152-ФЗ «О персональных данных» распространяются практически на любой коммерческий сайт с формой заявки.

Статья носит информационный характер и не является юридической консультацией. Требования законодательства регулярно меняются, поэтому перед запуском сайта стоит сверить документы с актуальной редакцией закона или с юристом.

1. Политика обработки персональных данных

Оператор, который собирает персональные данные через интернет, обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему свободный доступ — в том числе со страницы, где данные собираются. На практике это отдельная страница сайта со ссылкой в подвале и рядом с каждой формой. В политике описывается, какие данные собираются, с какой целью, как долго хранятся, кому передаются и как пользователь может отозвать согласие.

2. Согласие на обработку данных

Перед отправкой формы пользователь должен дать согласие на обработку своих данных. С 1 сентября 2025 года согласие должно оформляться отдельно от иных документов — его нельзя «спрятать» внутри пользовательского соглашения или оферты. Обычно это отдельный текст согласия и не отмеченный заранее чекбокс рядом с формой.

3. Уведомление Роскомнадзора

Перед началом обработки персональных данных оператор, как правило, обязан направить в Роскомнадзор уведомление об обработке персональных данных — это делается онлайн на сайте ведомства. Многие владельцы небольших сайтов об этом не знают. С 2025 года штрафы за нарушения в сфере персональных данных существенно выросли, и неподача уведомления стала одним из самых частых и легко выявляемых нарушений.

4. Хранение данных в России

При сборе персональных данных граждан России их запись, систематизация и хранение должны осуществляться с использованием баз данных, находящихся на территории России. Если сайт, CRM или сервис рассылок хранит базу клиентов на зарубежных серверах, это стоит проверить. Если данные передаются за рубеж, в Роскомнадзор подаётся отдельное уведомление о трансграничной передаче.

5. Куки-файлы и аналитика

Системы веб-аналитики и куки-файлы могут собирать данные, которые в ряде случаев рассматриваются как персональные. Хорошая практика — уведомлять пользователя об использовании куки-файлов и описывать применяемые сервисы аналитики в политике конфиденциальности.

6. Сведения о продавце и оферта

Если на сайте продаются товары или услуги, закон о защите прав потребителей требует указывать информацию о продавце: наименование, адрес, регистрационные данные. Если оплата принимается онлайн, на сайте размещается публичная оферта с условиями оказания услуг, оплаты и возврата.

Итого

Минимальный набор для коммерческого сайта с формой заявки: политика обработки персональных данных, отдельное согласие с чекбоксом у каждой формы, поданное уведомление в Роскомнадзор, хранение данных в России, сведения о компании, а при онлайн-оплате — оферта. Всё это закладывается ещё на этапе разработки: доработать готовый сайт под требования обычно дольше и дороже.