Персональные данные на сайте: чек-лист из 12 пунктов

Любой сайт, который принимает заявки, продаёт или просто считает посетителей, обрабатывает персональные данные. Владелец сайта — оператор, и на него распространяется 152-ФЗ. Ниже 12 пунктов, которые Роскомнадзор проверяет в первую очередь. Пройдите их по своему сайту — это займёт 15–20 минут.

Документы

1. Политика обработки персональных данных опубликована

Оператор, который собирает данные через интернет, обязан опубликовать политику на сайте и обеспечить к ней неограниченный доступ (ч. 2 ст. 18.1 152-ФЗ). Проверьте: ссылка есть в подвале и рядом с каждой формой, открывается без регистрации и не ведёт на пустую страницу. Штраф за отсутствие — до 60 000 ₽ для компании (ч. 3 ст. 13.11 КоАП РФ).

2. Политика описывает именно ваш сайт

В политике должны быть ваши цели обработки, перечень данных, сроки хранения и сервисы, которые получают данные: CRM, сервис рассылок, Метрика, колл-трекинг. Если политика скопирована и в ней «типовой оператор» — это видно сразу. Как составить политику под сайт.

3. Согласие оформлено отдельным документом

С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иных документов, которые подтверждает пользователь (ч. 1 ст. 9 152-ФЗ). «Отправляя форму, вы принимаете политику конфиденциальности» — больше не работает. Разбор, как оформить отдельное согласие.

Формы

4. В каждой форме есть чекбокс согласия

Заявка, подписка, заказ, регистрация, квиз, форма в попапе — везде. Чекбокс не отмечен заранее, рядом ссылка на текст согласия. Проверьте формы на мобильной версии: там их часто забывают.

5. Согласие на рассылку — отдельно и необязательно

Реклама по email и SMS требует согласия по ст. 18 Закона «О рекламе». Если без этой галочки нельзя отправить заявку, согласие не добровольное. Сделайте её отдельной и необязательной.

6. Форма не собирает лишнего

Данные должны соответствовать цели (ч. 5 ст. 5 152-ФЗ). Для обратного звонка не нужны дата рождения и адрес, для подписки — телефон. Каждое лишнее поле — лишний риск.

Cookies и сервисы

7. Cookie-баннер даёт выбор

Метрика, пиксели VK и других рекламных систем ставят cookie с идентификаторами. Баннер должен предлагать «Принять» и «Отказаться», а счётчики — загружаться только после согласия. Как устроен правильный баннер.

8. Согласие на cookie можно отозвать

Нужна постоянная ссылка, например «Настройки cookie» в подвале. После отказа аналитика не должна загружаться.

9. С сервисами, которые получают данные, есть договоры

CRM, сервисы рассылок, колл-трекинг, подрядчик, который обслуживает сайт, — обрабатывают данные по вашему поручению. Условия поручения нужно закрепить в договоре или в условиях сервиса (ч. 3 ст. 6 152-ФЗ).

Хранение и реестр

10. Данные россиян хранятся в России

Запись, систематизация и хранение данных граждан РФ — только в базах на территории России (ч. 5 ст. 18 152-ФЗ). Проверьте, где хостинг сайта, CRM и сервис рассылок. Зарубежная CRM как основная база — штраф до 6 млн ₽ для компании.

11. Сайт работает по HTTPS

Данные из форм должны передаваться по защищённому соединению. Сертификат не просрочен, все страницы с формами открываются по https, смешанного контента нет.

12. Уведомление в Роскомнадзор подано и актуально

Найдите себя в реестре операторов на портале персональных данных Роскомнадзора по ИНН. Если записи нет — уведомление нужно подать; если в ней старый адрес или нет сайта и новых сервисов — внести изменения. Штраф за неподанное уведомление для компании — от 100 000 до 300 000 ₽. Как подать уведомление.

Частые вопросы

Можно ли проверить сайт на соответствие 152-ФЗ самостоятельно?

Базовые вещи — да, по этому чек-листу: политика на сайте, чекбоксы в формах, баннер cookie, уведомление в реестре. Сложнее проверить то, что не видно снаружи: куда уходят данные из форм, где физически хранятся базы, есть ли договоры с сервисами. Для этого нужен аудит.

Если на сайте нет формы, персональных данных нет?

Не обязательно. Яндекс Метрика, пиксели соцсетей, виджеты онлайн-чата и колл-трекинга собирают идентификаторы и IP-адреса посетителей. Это тоже обработка персональных данных, и для неё нужны политика и согласие.