Если сайт собирает имена, телефоны, почту или использует аналитические cookie, он обрабатывает персональные данные и подпадает под 152-ФЗ. Минимум: уведомление Роскомнадзора, опубликованная политика обработки данных, отдельное согласие у каждой формы, информирование о cookie и хранение баз с данными россиян на серверах в России. Статья — практический обзор, а не юридическая консультация.
Важная оговорка
Законодательство о персональных данных в последние годы менялось неоднократно: ужесточились штрафы, появились требования к отдельному согласию и уведомлению об утечках. Правоприменение тоже развивается. Мы описываем, как требования обычно реализуются на сайтах, но не даём юридических гарантий. Для конкретного бизнеса — особенно если вы работаете с медицинскими данными, детьми, трансграничной передачей или большими базами — проконсультируйтесь с юристом, специализирующимся на персональных данных.
Когда сайт обрабатывает персональные данные
Персональные данные — любая информация, которая прямо или косвенно относится к определённому человеку. На практике почти любой коммерческий сайт их обрабатывает:
- форма заявки, обратного звонка, подписки;
- оформление заказа и личный кабинет;
- онлайн-чат, в котором человек оставляет контакты;
- Яндекс Метрика с Вебвизором, пиксели рекламных систем, собирающие cookie и идентификаторы;
- раздел «Вакансии» с загрузкой резюме.
Если на сайте нет ни одной формы и ни одного счётчика, требований меньше, но таких сайтов у бизнеса почти не бывает.
Что должно быть: чек-лист
| Требование | Где реализуется |
|---|---|
| Уведомление Роскомнадзора об обработке ПДн | Портал Роскомнадзора, до начала обработки |
| Политика обработки персональных данных | Отдельная страница, ссылка в подвале и у каждой формы |
| Отдельное согласие на обработку | У каждой формы, в виде отдельного документа, без предустановленной галочки |
| Информирование о cookie и согласие на них | Баннер при первом посещении, раздел в политике |
| Локализация баз данных в РФ | Хостинг, CRM, сервисы рассылок |
| Меры защиты данных | HTTPS, доступы, резервные копии, внутренние документы |
| Порядок реагирования на утечки | Внутренний регламент, уведомление Роскомнадзора |
Уведомление Роскомнадзора
Оператор персональных данных — компания или ИП, которые решают, зачем и как обрабатывать данные, — должен подать уведомление в Роскомнадзор до начала обработки. Исключения из этой обязанности сейчас очень узкие, поэтому большинству бизнесов подавать уведомление нужно. Сделать это можно на портале персональных данных Роскомнадзора в электронном виде. После подачи компания попадает в реестр операторов.
В уведомлении указываются цели обработки, категории данных, меры защиты, места нахождения баз данных. Сведения должны совпадать с тем, что написано в политике и происходит на самом деле. При изменениях — например, переезде на другой хостинг или подключении нового сервиса — уведомление нужно актуализировать.
Политика обработки персональных данных
Это публичный документ, который объясняет, какие данные вы собираете, зачем, на каком основании, как долго храните и кому передаёте. Требования к содержанию политики:
- реквизиты оператора — полное наименование, ИНН, адрес, контакты для обращений;
- цели обработки — каждая цель отдельно, с перечнем данных для неё;
- правовые основания и сроки хранения;
- список третьих лиц, которым передаются данные: хостинг, CRM, служба доставки, платёжный сервис, сервисы аналитики;
- порядок отзыва согласия и обращения субъекта данных;
- меры защиты.
Главная ошибка — скачанный шаблон с чужого сайта. Он не описывает ваши реальные процессы, а иногда содержит чужие реквизиты. Политика должна соответствовать тому, что сайт делает на самом деле: если в ней нет Метрики, а Метрика стоит, — это несоответствие.
Согласие на обработку данных
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов — его нельзя «спрятать» внутри политики, пользовательского соглашения или оферты. На практике для сайта это означает:
- Отдельный документ «Согласие на обработку персональных данных» с конкретными целями, перечнем данных, сроком и способом отзыва.
- Рядом с кнопкой отправки формы — чекбокс со ссылкой на этот документ.
- Чекбокс не отмечен заранее: человек ставит галочку сам.
- Без согласия форма не отправляется.
- Согласие на рекламную рассылку — отдельным, необязательным чекбоксом: его нельзя делать условием отправки заявки.
Технически полезно сохранять факт согласия: дату, время, версию документа, форму, с которой пришли данные. Это пригодится, если придётся подтверждать, что человек действительно дал согласие.
Формулировки у формы
Подпись вида «Нажимая кнопку, вы соглашаетесь…» без отдельного чекбокса — устаревший подход, от которого лучше отказаться. Пишите кратко и понятно: «Я даю согласие на обработку персональных данных» со ссылкой на документ.
Cookie, Яндекс Метрика и баннер
Cookie и идентификаторы, которые собирают счётчики аналитики и рекламные пиксели, в российской практике всё чаще рассматриваются как персональные данные, особенно в сочетании с IP-адресом и данными из форм. Поэтому сайты предупреждают о cookie и получают согласие на аналитические и рекламные cookie.
Как обычно реализуют:
- При первом визите — баннер с кратким объяснением и ссылкой на раздел о cookie в политике.
- Кнопки «Принять» и «Настроить» (или «Только необходимые»).
- Необходимые cookie (корзина, авторизация, безопасность) работают всегда.
- Аналитические и рекламные счётчики — Яндекс Метрика, пиксели VK Рекламы и других систем — по возможности загружаются после согласия.
Последний пункт влияет на аналитику: часть посетителей не даст согласия, и данные станут неполными. Это нужно учитывать при оценке рекламы. Насколько строго внедрять согласие до загрузки счётчиков, решайте вместе с юристом, взвешивая риски.
Где хранить данные: локализация
Запись, систематизация и хранение персональных данных граждан России должны вестись с использованием баз данных, находящихся в России. Для сайта это касается нескольких мест:
- Хостинг сайта и базы — сервер в российском дата-центре.
- CRM, куда падают заявки, — облачные CRM с серверами в РФ или собственный сервер.
- Сервисы рассылок, онлайн-чаты, формы-конструкторы — где физически хранятся данные.
- Почта, на которую приходят заявки, — корпоративная почта у российского провайдера.
Если что-то из этого работает за рубежом, это может быть и трансграничной передачей, у которой отдельный порядок уведомления. Здесь без юриста не обойтись.
Меры защиты и утечки
Закон требует принимать меры для защиты данных. На уровне сайта это:
- HTTPS на всех страницах;
- обновлённая CMS и плагины, защищённый доступ к админке;
- минимум людей с доступом к базе заявок, отдельные учётные записи;
- резервные копии, хранящиеся в РФ и защищённые;
- сбор только нужных данных — если для звонка хватит имени и телефона, не просите email и дату рождения.
При утечке оператор обязан уведомить Роскомнадзор: первичное уведомление — в течение 24 часов, результаты внутреннего расследования — в течение 72 часов. Подготовьте внутренний регламент заранее, чтобы в стрессовой ситуации не выяснять, кто за что отвечает.
Штрафы и риски
За нарушения в сфере персональных данных предусмотрены штрафы по КоАП, и в последние годы они заметно выросли — особенно за утечки, где размер зависит от масштаба и может быть оборотным при повторных нарушениях. Кроме штрафов есть риск блокировки сайта и репутационные потери. Точные суммы и составы уточняйте в действующей редакции КоАП или у юриста — они периодически меняются.
Частые вопросы
Нужно ли всё это, если сайт на Tilda или другом конструкторе?
Да. Платформа предоставляет хостинг, но оператором данных остаётесь вы. Важно проверить, где хранятся заявки, которые собирает конструктор, и указать платформу в политике как лицо, которому передаются данные. Чекбокс согласия и баннер о cookie настраиваются в самом конструкторе.
Можно ли взять готовый шаблон политики?
Шаблон годится как структура, но его обязательно нужно адаптировать под реальные процессы: цели, перечень данных, сервисы, сроки хранения, реквизиты. Политика, которая не соответствует действительности, не защищает, а создаёт риски. Итоговый текст лучше показать юристу.
Нужен ли баннер cookie, если стоит только Яндекс Метрика?
Метрика собирает cookie и идентификаторы посетителей, поэтому информирование о cookie нужно и в этом случае. Как именно реализовать согласие — до загрузки счётчика или с возможностью отказа — лучше определить с юристом с учётом ваших рисков.
Кто должен этим заниматься — разработчик или юрист?
Вместе. Юрист готовит тексты политики и согласия, определяет цели и основания, подаёт или проверяет уведомление. Разработчик реализует чекбоксы, баннер, логирование согласий, отложенную загрузку счётчиков, настраивает хостинг и защиту. По отдельности каждый делает только половину работы.
Pear Advert не оказывает юридических услуг, но может выполнить техническую часть: настроить формы с отдельным согласием, cookie-баннер, загрузку счётчиков и перенос данных на российские серверы. Это можно сделать в рамках доработки существующего сайта, аренды сервера и хостинга и последующей поддержки. Тексты документов рекомендуем согласовать с юристом.
