152-ФЗ для сайта: вопросы и ответы

Почти наверняка да, если сайт собирает данные людей: форма заявки или обратного звонка, регистрация, корзина, подписка, отклик на вакансию. Персональные данные - это любая информация, относящаяся к определённому или определяемому человеку (п. 1 ст. 3 152-ФЗ): имя, телефон, e-mail, адрес. Владелец сайта, который собирает такие данные, - оператор, и на него распространяются требования закона.

Минимум три вещи:

• Политика обработки персональных данных в открытом доступе на страницах, где собираются данные (ч. 2 ст. 18.1). С 01.09.2022 в ней для каждой цели обработки указываются категории данных, субъекты, способы, сроки и порядок уничтожения. Нет политики - ч. 3 ст. 13.11 КоАП: юрлица 30-60 тыс. ₽, ИП 10-20 тыс. ₽.
• Законное основание для каждой обработки: договор, закон или согласие человека.
• Уведомление Роскомнадзора об обработке персональных данных (ст. 22) - подаётся до начала обработки.

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных информации и документов (ч. 1 ст. 9 в редакции 156-ФЗ). Одна общая галочка «принимаю оферту, политику и даю согласие» этому требованию не соответствует. Практичный вариант для сайта: отдельная галочка только про согласие, не отмеченная заранее, со ссылкой на отдельный документ «Согласие на обработку персональных данных», где указаны оператор, цели, перечень данных, действия, срок и порядок отзыва. Доказывать наличие согласия обязан оператор (ч. 3 ст. 9).

Не всегда. Если данные нужны, чтобы заключить или исполнить договор по инициативе человека (заявка на услугу, заказ), основание - п. 5 ч. 1 ст. 6, и отдельное согласие не обязательно. Согласие нужно для того, что выходит за рамки договора: рекламные рассылки, аналитика сверх необходимого, публикация отзывов с именем и фото. Поэтому форму без галочки мы отмечаем как риск, а не как нарушение, и объясняем, от чего это зависит.

Прямой нормы о cookie в 152-ФЗ нет. Но cookie и идентификаторы аналитики в связке с IP-адресом и данными браузера на практике считаются персональными данными, а Роскомнадзор в итогах проверок отмечает отсутствие информирования об использовании cookie. Безопаснее так: необходимые cookie (вход, безопасность) - с информированием, аналитические и рекламные - после согласия через баннер с кнопками «Принять» и «Отклонить», а счётчик загружается после «Принять». Мы проверяем именно это: что грузится до согласия и после отказа.

С 1 июля 2025 года запись и хранение персональных данных граждан России в базах данных за рубежом не допускаются (ч. 5 ст. 18 в редакции 23-ФЗ), штраф по ч. 8 ст. 13.11 КоАП - от 1 до 6 млн ₽, ИП отвечают как юрлица. Передача данных за рубеж (ст. 12) требует отдельного уведомления Роскомнадзора. Поэтому зарубежные сервисы, которые получают данные посетителей или форм, мы показываем как риск с указанием страны серверов. Яндекс Метрика хранит данные в России.

Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор (ч. 1 ст. 22). После поправок 2022 года исключений почти не осталось, а ИП и организации, которые собирают данные через сайт, уведомлять обязаны. Неподача уведомления - ч. 10 ст. 13.11 КоАП: 100-300 тыс. ₽ (ИП - как юрлица). Проверить можно в открытом реестре операторов по ИНН - мы делаем это автоматически, если ИНН указан на сайте.

Основные составы ст. 13.11 КоАП после 30.05.2025: обработка без законного основания - юрлица 150-300 тыс. ₽ (ч. 1); нет политики в открытом доступе - юрлица 30-60 тыс. ₽, ИП 10-20 тыс. ₽ (ч. 3); нет уведомления Роскомнадзора - 100-300 тыс. ₽ (ч. 10); нарушение требования о хранении в России - 1-6 млн ₽ (ч. 8); при утечках - до нескольких миллионов и оборотные штрафы (ч. 12-15). В отчёте к каждой находке указана своя норма и штраф.

Проверка видит то же, что посетитель и проверяющий: документы, формы, cookie, запросы к сервисам, реестр. Она быстро находит типовые ошибки и показывает доказательства. Но она не знает, как устроена работа с данными внутри компании: какая у вас CRM, кто подрядчики, как хранятся данные сотрудников, есть ли внутренние документы. Это оценивает юрист: в тарифе «Аудит от юриста» он изучает отчёт и вашу анкету и даёт письменное заключение. Ни отчёт, ни заключение не гарантируют, что претензий не будет, но показывают, что исправить.

Нет. Формы мы не отправляем и данные посетителей не собираем: открываем страницы как обычный посетитель, смотрим поля форм, ссылки на документы, запросы браузера и cookie, которые сайт записывает нашему браузеру.