Почти на каждом коммерческом сайте есть форма «Оставить заявку» или «Перезвоните мне». Если владелец определяет цели и способы обработки полученных данных, он становится оператором персональных данных. С 30 мая 2025 года ответственность за нарушения существенно выросла. Разбираю, какие документы необходимы сайту в 2026 году и какие технические и организационные меры должен принять оператор.
Коротко.
- Документы: политика обработки ПД, отдельное согласие — когда обработка основана на нём, согласие на рекламную рассылку, условия обработки cookie, условия онлайн-сделки или пользовательское соглашение — когда они нужны по функциям сайта.
- Действия: уведомление в Роскомнадзор, первичная запись данных в российскую базу, оформление отношений с подрядчиками и проверка способов авторизации.
- Если обработка строится на согласии пользователя, с 1 сентября 2025 года оно оформляется отдельно от оферты, политики и других подтверждаемых документов.
Чем грозит каждый пропуск
| Нарушение | Норма | Штраф для юрлица |
|---|---|---|
| Политика не опубликована или до неё не добраться | ч. 3 ст. 13.11 КоАП | 30 000–60 000 ₽ |
| Обработка без правового основания или сверх заявленных целей | ч. 1 ст. 13.11 КоАП | 150 000–300 000 ₽ |
| Обработка без согласия там, где оно обязательно | ч. 2 ст. 13.11 КоАП | 300 000–700 000 ₽ |
| Не подано уведомление в Роскомнадзор | ч. 10 ст. 13.11 КоАП | 100 000–300 000 ₽ |
| Данные россиян записываются в базу за рубежом | ч. 8 и 9 ст. 13.11 КоАП | 1–6 млн ₽, повторно 6–18 млн ₽ |
| Авторизация через иностранную информационную систему, например Google Sign-In или Apple ID | ст. 13.55 КоАП, с 7 июля 2026 года | 500 000–700 000 ₽ |
| Рекламная рассылка без согласия | ч. 1 ст. 14.3 КоАП | 100 000–500 000 ₽ |
| Утечка персональных данных | ст. 13.11 КоАП | от 3 до 15 млн ₽, повторно оборотный штраф до 500 млн ₽ |
Раньше за отсутствие политики на сайте платили несколько тысяч рублей, и многие сознательно не тратили на неё время. Теперь одно неподанное уведомление в Роскомнадзор обходится дороже, чем весь комплект документов.
Политика обработки персональных данных
Это главный документ. Если сайт собирает хоть одно имя, телефон или e-mail, оператор обязан опубликовать политику и обеспечить к ней неограниченный доступ (ч. 2 ст. 18.1 Закона № 152-ФЗ).
Что следует отразить с учётом ст. 18.1 Закона № 152-ФЗ и рекомендаций Роскомнадзора:
- наименование и реквизиты оператора;
- цели обработки и для каждой цели — перечень данных, категории людей, правовое основание и сроки;
- действия с данными и способы обработки;
- кому передаются данные, включая подрядчиков;
- порядок уничтожения данных;
- как человеку воспользоваться своими правами и куда писать;
- дата утверждения и последнего обновления.
Где размещать. Ссылка в подвале каждой страницы и рядом с каждой формой. Политика не должна прятаться за регистрацией или открываться только после отправки заявки.
Самая частая ошибка — политика скачана из интернета и не совпадает ни с сайтом, ни с уведомлением в Роскомнадзор. При проверке сопоставляют данные, которые собирают формы, положения политики и сведения в реестре операторов. Расхождения создают самостоятельный риск нарушения.
Согласие на обработку персональных данных
С 1 сентября 2025 года согласие оформляется отдельно от иных документов, которые подтверждает или подписывает человек (ч. 1 ст. 9 Закона № 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). Привычная строчка «нажимая кнопку, я принимаю оферту, политику и даю согласие» больше не работает.
Как это выглядит на практике:
- согласие оформлено отдельно от оферты, политики и иных подтверждаемых пользователем документов; выносить его на отдельную веб-страницу необязательно;
- если основанием служит интернет-согласие, под формой используют самостоятельный чек-бокс или иной однозначный способ его дать, без предустановленной галочки;
- оферта и политика — своими ссылками, а не внутри согласия;
- согласие должно быть конкретным, предметным, информированным, сознательным и однозначным; состав письменного согласия в случаях, когда закон требует именно письменную форму, определён ч. 4 ст. 9 Закона № 152-ФЗ.
Всегда ли нужно согласие
Нет, и это важно. Если человек оформляет заказ или подаёт заявку на договор, данные можно обрабатывать без согласия: для заключения и исполнения этого договора (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ). Согласие нужно, когда цель выходит за рамки договора: маркетинг, аналитика, передача партнёрам, хранение после исполнения заказа.
Получать согласие «на всё» там, где обработка имеет другое законное основание, нецелесообразно: это усложняет документы, интерфейс и последующее подтверждение правомерности обработки.
Согласие на рекламную рассылку
Реклама по e-mail, SMS, телефону и в мессенджерах допускается только с предварительного согласия адресата (ч. 1 ст. 18 Закона № 38-ФЗ «О рекламе»). Пока отправитель не докажет обратное, считается, что согласия не было. Закон не предписывает единственную форму такого согласия, но его лучше отделить от обязательных условий заказа, чтобы доказать добровольность.
- самостоятельный необязательный чек-бокс — наиболее безопасный способ, хотя Закон о рекламе прямо не устанавливает именно такую форму;
- галочка не стоит по умолчанию, форму можно отправить без неё;
- согласие логируется: дата, время, IP, версия текста;
- в каждом письме работает отписка.
Cookie-баннер и метрики
Cookie в сочетании с IP-адресом, идентификатором устройства и другими сведениями могут относиться к персональным данным. Прямой нормы, которая обязывает каждый сайт с Метрикой ставить именно cookie-баннер, в российском законодательстве нет. Но оператору нужно определить цели, состав данных и правовое основание обработки, описать cookie в политике и обеспечить информированность пользователя. Баннер с настройками и предварительной блокировкой необязательной аналитики и рекламных пикселей — наиболее безопасная практика.
- Необязательную аналитику и рекламные пиксели безопаснее включать после выбора пользователя.
- Технически необходимые cookie (корзина, сессия) согласия не требуют, но в политике их стоит описать.
- Если данные передаются иностранному сервису аналитики или чатов, необходимо отдельно оценить трансграничную передачу и выполнить требования ст. 12 Закона № 152-ФЗ, включая предварительное уведомление Роскомнадзора.
Оферта и пользовательское соглашение
Если договор заключается через сайт, до акцепта клиенту предоставляют условия сделки и обязательную информацию о товаре или услуге. Их можно оформить как публичную оферту либо как иной доступный текст договора. Отдельный документ с названием «публичная оферта» требуется не во всех моделях. Клиент может принять предложение действием: оплатой, регистрацией или отметкой в чек-боксе, если из интерфейса ясно, какие условия он принимает (ст. 435, 437 и п. 3 ст. 438 ГК РФ).
Для продаж гражданам на сайте должны быть сведения по Закону о защите прав потребителей: наименование продавца, адрес, ОГРН, режим работы, цена, условия оплаты и доставки, порядок возврата (ст. 9, 10 и 26.1 Закона «О защите прав потребителей»). Штраф за их отсутствие по ч. 1 ст. 14.8 КоАП небольшой, 5 000–10 000 ₽. Дороже другое: в споре с покупателем суд толкует пробелы против продавца.
Если на сайте есть личный кабинет или пользователи сами что-то публикуют, пользовательское соглашение помогает закрепить правила поведения, права на загруженные материалы, основания блокировки и пределы ответственности. Это полезный договорный инструмент, но отдельный документ с таким названием не является универсальной обязанностью для любого личного кабинета.
Уведомление в Роскомнадзор
По общему правилу оператор уведомляет Роскомнадзор до начала обработки персональных данных (ст. 22 Закона № 152-ФЗ). Исключения ограничены, и обработка данных через обычную форму заявки, как правило, под них не подпадает. Штраф за неподачу уведомления для юридического лица составляет 100 000–300 000 ₽.
Проверить себя просто: найти компанию в реестре операторов на сайте Роскомнадзора. Записи нет — подавать. Запись есть — сверить с политикой. Если изменились цели, состав данных или подрядчики, уведомление обновляют не позднее 15-го числа следующего месяца.
Где хранить базу и что с подрядчиками
При сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных на территории России (ч. 5 ст. 18 Закона № 152-ФЗ). Поэтому важно проверить, куда первоначально записывают заявки формы, CRM и сервисы рассылок. Сам по себе иностранный хостинг не всегда означает нарушение, а последующая передача за рубеж не запрещена автоматически, но требует соблюдения правил трансграничной передачи по ст. 12 Закона № 152-ФЗ.
Если CRM, колл-центр, сервис рассылок или маркетолог обрабатывает заявки именно по поручению владельца сайта, отношения оформляют поручением на обработку: указывают перечень данных и действий, цели и требования к защите (ч. 3 ст. 6 Закона № 152-ФЗ). Если контрагент самостоятельно определяет цели обработки и выступает отдельным оператором, правовая конструкция будет другой. У крупных сервисов условия обработки обычно включены в оферту — проверьте их содержание и роли сторон.
Вход через Google и Apple ID
Российский владелец интернет-ресурса, который предоставляет пользователям из России доступ к информации после авторизации, использует один из способов, перечисленных в ч. 10 ст. 8 Закона № 149-ФЗ: номер мобильного телефона, ЕСИА, Единую биометрическую систему либо иную отвечающую требованиям информационную систему, принадлежащую российскому гражданину без иностранного гражданства или российскому юридическому лицу под российским контролем. Поэтому Google Sign-In и Apple ID для новой авторизации не подходят. Собственная система «логин + пароль» возможна, если она соответствует этим условиям; одной только локализации базы недостаточно. Сам адрес Gmail, используемый как логин в собственной системе, не равнозначен авторизации через Google.
Требование действует с 1 декабря 2023 года, а с 7 июля 2026 года применяется ст. 13.55 КоАП, введённая Федеральным законом от 26.06.2026 № 199-ФЗ: штраф для юридических лиц — 500 000–700 000 ₽. Отдельного повышенного штрафа за повторное нарушение ст. 13.55 КоАП не устанавливает. Если доступ к информации не зависит от авторизации, эта норма не применяется.
Чек-лист
Документы:
- Политика обработки персональных данных — в подвале и у каждой формы.
- Согласие на обработку — отдельно от других документов и самостоятельным подтверждаемым действием, если обработка строится именно на согласии пользователя.
- Согласие на рекламную рассылку — если вы её делаете.
- Условия обработки cookie и, при необходимости, баннер с настройками — если стоят метрики, пиксели или виджеты.
- Условия онлайн-сделки или пользовательское соглашение — с учётом функций сайта; отдельные документы с такими названиями нужны не всегда.
Действия:
- Подать или обновить уведомление в Роскомнадзор и сверить его с политикой.
- Проверить, что первичная запись и иные операции, перечисленные в ч. 5 ст. 18 Закона № 152-ФЗ, выполняются в российской базе; отдельно оценить трансграничную передачу.
- Заключить поручения на обработку с подрядчиками.
- Убрать вход через иностранные сервисы.
Хотите понять, чего не хватает именно вашему сайту?
Пришлите ссылку. Посмотрю формы, политику, cookie и запись в реестре операторов и скажу, что исправить в первую очередь.
Написать в Telegram КонтактыВопросы и ответы
Нужна ли политика, если на сайте только форма «Перезвоните мне»?
Да. Имя и телефон — персональные данные, а владелец сайта — оператор. Политику публикуют независимо от объёма собираемых данных.
Можно ли объединить политику и согласие в один документ?
Нет. С 1 сентября 2025 года согласие оформляется отдельно от иных документов. Политика описывает правила оператора, согласие — волеизъявление конкретного человека.
Обязательно ли ставить галочку согласия под формой заказа?
Не всегда. Для заключения и исполнения договора согласие может не требоваться. Для маркетинга, необязательной аналитики или передачи партнёрам нужно отдельно определить правовое основание; если им служит согласие, его получают самостоятельным подтверждаемым действием.
Самозанятому и ИП тоже всё это нужно?
Обязанности по Закону № 152-ФЗ распространяются и на самозанятых, и на ИП, если они выступают операторами. Конкретный комплект документов зависит от фактической обработки и функций сайта. Размер штрафа для ИП зависит от состава: в ряде случаев ИП отвечает как должностное лицо, а по частям 8–18 ст. 13.11 КоАП — как юридическое лицо.
Подходит ли шаблон политики из конструктора сайтов?
Как отправная точка — да, как готовый документ — редко. Политика должна описывать ваши реальные цели, формы и подрядчиков и совпадать с уведомлением в Роскомнадзор.