Многие предприниматели думают, что требования 152-ФЗ «О персональных данных» касаются только крупных компаний. Это не так. Любая форма на сайте — заявка на консультацию, запись на приём, подписка на рассылку, даже поле «комментарий» — это сбор персональных данных. А значит, вы становитесь оператором и попадаете под закон.
С 2025 года штрафы за нарушения выросли: за отсутствие уведомления в Роскомнадзор — до 300 000 ₽, за обработку данных без согласия — до 700 000 ₽. При повторных нарушениях суммы могут достигать миллионов.
Если на сайте есть хотя бы одна форма сбора данных — вам нужны: политика обработки ПДн, согласие на обработку, уведомление в Роскомнадзор. Плюс — маркировка рекламы, если размещаете её.
1. Закон 152-ФЗ: что он требует от сайта
Федеральный закон «О персональных данных» устанавливает три ключевых требования для сайтов:
- Публичные документы. На сайте должна быть политика обработки персональных данных и механизм получения согласия. Ссылки на них — в футере каждой страницы и рядом с каждой формой.
- Уведомление Роскомнадзора. Компания обязана подать уведомление о начале обработки персональных данных. Это делается через портал
pd.rkn.gov.ru. - Локализация данных. Персональные данные российских пользователей должны храниться на серверах в России. Google Analytics и другие зарубежные сервисы, передающие данные за границу, под запретом.
2. Уведомление в Роскомнадзор
Уведомление — это официальная регистрация в реестре операторов персональных данных. Без неё любой сайт с формой обратной связи формально нарушает закон.
Как подать:
- Зайти на портал
pd.rkn.gov.ru - Заполнить онлайн-форму: сведения о компании, цели обработки данных, категории данных, меры защиты
- Подписать электронной подписью и отправить
После подачи компания попадает в реестр операторов. Сведения в уведомлении должны соответствовать реальным процессам — если вы начали собирать новые данные или использовать новые сервисы, уведомление нужно обновить.
За отсутствие уведомления — до 300 000 ₽. За обработку данных без согласия — до 700 000 ₽. За повторное нарушение — до 1 500 000 ₽.
3. Обязательные документы на сайте
Помимо уведомления, на сайте должны быть размещены:
- Политика обработки персональных данных. Документ, который раскрывает: кто оператор, какие данные собираются, с какой целью, кому передаются, как защищаются и сколько хранятся. Политика должна соответствовать фактическим формам на сайте, а не быть универсальной заготовкой.
- Согласие на обработку персональных данных. Отдельный документ или галочка рядом с формой. Согласие на рекламную рассылку должно быть отделено от согласия на обработку заявки.
- Ссылки на документы. Они должны быть доступны из футера каждой страницы и рядом с каждой формой сбора данных. Не спрятаны в глубине сайта.
4. Маркировка рекламы
Если вы размещаете рекламу в интернете — на своём сайте или на сторонних площадках — она должна быть помечена. Это требование статьи 18.1 закона «О рекламе».
- Пометка «Реклама». Должна быть заметной, читаемым шрифтом, не маскироваться под дизайн.
- Указание рекламодателя. Информация о том, кто оплатил рекламу, или ссылка на сайт с этими сведениями.
- Идентификатор erid. Уникальный код, который присваивает оператор рекламных данных. Его нужно получить до запуска рекламы.
Важно: реклама собственных товаров на своём сайте не требует маркировки. Маркируется только реклама, размещённая на сторонних площадках или реклама третьих лиц.
5. Зарубежные сервисы: что отключить
С 2025 года персональные данные российских граждан при первичном сборе должны записываться в базы данных на территории России. Google Analytics и другие зарубежные сервисы, передающие данные за границу, под запретом.
Что проверить и при необходимости заменить:
- Google Analytics → Яндекс.Метрика
- Зарубежные CRM → Битрикс24, amoCRM
- Зарубежные сервисы рассылок → Unisender, Sendsay
Приведём сайт в соответствие с законом
Разместим политику и согласия, настроим уведомление РКН, заменим зарубежные сервисы на российские. Проконсультируем по всем требованиям 152-ФЗ.