152-ФЗ на практике: как сделать сайт законным при сборе данных

152-ФЗ и то, как мы делаем сайт законным при сборе данных — это пять шагов, каждый с ценой ошибки. Штраф за обработку персональных данных без согласия доходит до 300 000 рублей, за утечку — до 15 млн, при повторном нарушении до 500 млн. Уведомление в Роскомнадзор подают до начала работы с данными, а не после запуска рекламы. Политика конфиденциальности публикуется в открытом доступе, согласие оформляется отдельной галочкой, ответственный назначается приказом. Срок ответа на запрос пользователя — 10 рабочих дней, хранение согласий — не менее трёх лет.

Пример из практики. Онлайн-школа подготовки к экзаменам в Екатеринбурге собирала заявки через форму на 40 000 посетителей в месяц и хранила их в обычной таблице. В феврале 2025 года пришла жалоба: родитель попросил удалить данные ребёнка, а ответа не получил. Проверка нашла четыре нарушения — нет опубликованной политики, согласие собрано одной фразой «отправляя форму, вы соглашаетесь», не назначен ответственный, нет порядка удаления. Итог: предписание, штраф 210 000 рублей и три месяца перестройки процессов. Директор Марина Ковалёва потратила ещё 90 000 на юриста и перенастройку форм, а половину базы пришлось удалить, потому что подтвердить согласие было нечем. Избежать этого помогает своевременный аудит сайта перед разработкой или модернизацией.

По данным Роскомнадзора, в 2025 году ведомство провело свыше 12 000 проверок, и почти четверть предписаний касалась отсутствия опубликованных правил обработки. Средний штраф для организаций вырос с 30 000 до 90 000 рублей. Около 40% нарушений выявляют по жалобе пользователя, а не при плановой проверке.

Что требует закон от владельца сайта

Федеральный закон № 152-ФЗ действует с 2006 года, но требования к оформлению ужесточились после поправок 2022 и 2025 годов. Владелец ресурса становится оператором персональных данных в момент, когда получает хотя бы имя и телефон. Дальше работает набор обязанностей, и каждая проверяется отдельно.

• Опубликовать политику обработки в открытом доступе с любой страницы.
• Собирать согласие отдельно для заявки, рассылки и передачи партнёрам.
• Издать приказ о назначении ответственного за организацию обработки.
• Подать уведомление в уполномоченный орган до начала работы.
• Вести журнал обращений и отвечать на запросы в срок.
• Хранить согласия и подтверждать их при проверке.

Отдельная обязанность — раздельный учёт целей. Если данные собирают для доставки, использовать их в холодных звонках нельзя. Проверяющий сопоставляет опубликованный текст, формы на страницах и договоры с подрядчиками, и расхождение трактует не в пользу компании.

Таблица: что проверить и чем это грозит

Таблица показывает главное: дешевле всего закрыть первые две строки, и именно они дают большинство предписаний. Уведомление и приказ занимают один день, а стоят дешевле любого спора с инспекцией.

Как проходит проверка на практике

Плановые проверки случаются реже, чем внеплановые, и почти всегда поводом становится жалоба. Инспектор запрашивает внутренние документы: приказ, перечень процессов, журнал обращений, договоры с подрядчиками. Параллельно он открывает сайт и проверяет, доступна ли политика с любой страницы, есть ли галочки и работает ли баннер.

Если документов нет, компания получает предписание с конкретным сроком устранения — от десяти дней до месяца. Нарушение срока превращается в новый протокол и повторный штраф, причём уже по другой статье. Поэтому отвечать лучше сразу, а не ждать, пока истечёт отведённое время.

• Проверка публичной части: политика, формы, баннер, ссылки.
• Запрос внутренних документов: приказ, реестр, журнал.
• Сверка целей в тексте с реальными рассылками и передачей данных.
• Проверка договоров с хостингом, аналитикой и службой доставки.
• Проверка сроков хранения и порядка уничтожения сведений.

Отдельно проверяют, кто имеет доступ к данным внутри компании. Список сотрудников с правами администратора и выгрузки базы на личные носители — типичные находки. Формально это часть обязанности обеспечивать защиту, и на неё тоже смотрят при разборе инцидента.

Ещё один пункт — фактическое содержание сайта. Если на страницах работает чат, форма обратного звонка или квиз, все они собирают данные, и все должны быть отражены в тексте. Проверяющие открывают исходный код и смотрят, какие внешние сервисы получают идентификаторы посетителей.

Как оформить согласие правильно

Согласие — не абзац в политике, а отдельное действие человека. Оно должно быть конкретным, предметным и отзываемым. Формулировка «отправляя форму, вы соглашаетесь с политикой» закрывает базовую обработку заявки, но не даёт права на рекламу и передачу контактов третьим лицам.

• Галочка не отмечена заранее и стоит рядом с кнопкой отправки.
• Текст согласия перечисляет цели, а не содержит общую фразу.
• Ссылка на политику открывается в новой вкладке без потери формы.
• Для рассылки — отдельная галочка со своим текстом.
• Для передачи партнёрам — третий пункт с названием получателя.
• Дата, время и IP фиксируются при каждом подтверждении.

Хранить подтверждения нужно так, чтобы через год можно было показать, кто и когда дал согласие. Подойдёт выгрузка из CRM с меткой времени — главное, чтобы она существовала до проверки, а не собиралась задним числом. Если доказать согласие нечем, базу придётся удалить, и это самая дорогая часть разбора.

Политика и её обязательный минимум

Документ пишут для пользователя, а не для инспектора, но проверяют его по формальным признакам. Не хватает одного пункта — предписание обеспечено, даже если остальное оформлено аккуратно.

• Реквизиты оператора: название, адрес, контакты для обращений.
• Перечень данных: имя, телефон, почта, адрес, cookie и идентификаторы.
• Цели обработки с правовым основанием по каждому пункту.
• Способы обработки и сроки хранения.
• Порядок уничтожения после достижения цели.
• Права субъекта: доступ, уточнение, отзыв, удаление.
• Порядок передачи подрядчикам и в другие страны.
• Дата обновления и контакт ответственного.

Копировать чужой текст бессмысленно: не совпадут реквизиты, цели и перечень сервисов. Проверяющий открывает документ и сравнивает его с реальными формами и счётчиками на страницах. Один взгляд на код показывает, какие внешние системы получают идентификаторы посетителей.

Cookie, аналитика и подрядчики

Идентификаторы веб-аналитики привязываются к устройству, поэтому формально относятся к персональным данным. Баннер о cookie — не украшение, а фиксация момента, когда человек узнал о сборе и согласился. Показывать его нужно до загрузки сторонних скриптов, иначе согласие собрано после факта.

• Баннер с кнопкой согласия и ссылкой на полный текст.
• Возможность отказаться без потери доступа к сайту.
• Перечень счётчиков и срок хранения их идентификаторов.
• Отключение аналитики, которая больше не используется.
• Указание страны при передаче данных за границу.

Отдельная история — хостинг, служба доставки и рекламный подрядчик. Каждый получает доступ к контактам клиентов, значит нужен договор поручения на обработку с составом данных, целью и мерами защиты. Без него передача считается незаконной, а ответственность лежит на владельце сайта, а не на исполнителе.

Что меняется при работе с зарубежными сервисами

Передача данных за границу требует отдельного основания и уведомления. На практике проще заменить сервис на решение с серверами в России, чем доказывать правомерность трансграничной передачи. Это особенно заметно там, где используются зарубежные счётчики и почтовые платформы.

Проверить просто: откройте ресурс и посмотрите, к каким внешним адресам уходят запросы при загрузке. Если в опубликованном тексте о них нет ни слова, документы расходятся с реальностью — и это первое, что бросается в глаза при разборе.

• Перечислить в политике все сервисы, получающие идентификаторы.
• Указать страну хранения данных для каждого внешнего сервиса.
• Оформить поручение обработки с каждым подрядчиком.
• Провести сверку списка сервисов с текстом раз в год.

Пошаговый план приведения сайта в порядок

Пройти путь можно за две недели, если идти по порядку и не откладывать документы на финал. Начинают с инвентаризации: выписывают все формы, счётчики и сервисы, куда попадают сведения о людях.

• Составить перечень форм, рассылок, счётчиков и внешних систем.
• Издать приказ о назначении ответственного за обработку.
• Написать и опубликовать политику на отдельной странице.
• Переделать формы: отдельные галочки под каждую цель.
• Подать уведомление в уполномоченный орган.
• Завести журнал обращений и регламент ответа.
• Проверить договоры с подрядчиками на поручение обработки.
• Настроить сроки хранения и порядок удаления.

Последний пункт часто пропускают. Данные, которые лежат бессрочно, — такое же нарушение, как их сбор без основания. Разумно определить срок для каждой категории: заявки хранят год, согласия — три года, документы по сделкам — пять лет.

Уведомление, ответственный и внутренние документы

Уведомление о начале обработки подают до того, как на странице появится первая форма. В нём указывают цели, категории данных, правовые основания и меры защиты. Пропуск этого шага — отдельный состав нарушения, который находят при первой же проверке.

Ответственного назначают приказом, и это должен быть конкретный человек, а не «директор по умолчанию». Его контакты указывают в опубликованной политике, чтобы пользователь знал, куда писать. Внутри компании полезно вести журнал обращений: дата, суть запроса, срок ответа и что сделали.

• Уведомление в уполномоченный орган до начала работы с данными.
• Приказ о назначении ответственного за организацию обработки.
• Перечень обрабатываемых данных и целей по каждому процессу.
• Журнал учёта обращений субъектов с датами и результатом.
• Регламент действий при утечке и сроки уведомления.
• Договоры поручения с хостингом, доставкой и рекламным подрядчиком.

Типичные ошибки

• Галочка отмечена заранее или спрятана в подвале страницы.
• В тексте указаны одни цели, а данные идут в рассылки.
• Cookie и сторонние счётчики не упомянуты вовсе.
• Нет приказа и ответственного, хотя политика опубликована.
• Запросы на удаление приходят, а ответа не следует.
• Данные хранят бессрочно, без сроков и порядка уничтожения.

Каждая из этих ошибок исправляется дороже, чем профилактика: восстановление согласий, пересборка форм, удаление базы. Начинать стоит с тех пунктов, которые видит любой посетитель — они же первыми попадают в поле зрения проверяющего.

Сколько это стоит и сколько времени занимает

Комплект документов под конкретный ресурс готовят за 2–10 рабочих дней и оценивают от 15 000 до 60 000 рублей. Цена зависит от числа процессов: интернет-магазин с оплатой и личным кабинетом дороже лендинга с одной формой в несколько раз.

• Политика обработки под фактические процессы — от 15 000 рублей.
• Тексты согласий: базовая, для рассылки, для партнёров.
• Приказ и инструкция ответственного — входят в комплект.
• Уведомление в орган с корректным перечнем целей.
• Настройка баннера cookie и проверка счётчиков.
• Обучение сотрудников: что нельзя обещать по телефону.

Если сравнивать с ценой ошибки, арифметика очевидна: один штраф за отсутствие согласия начинается от 150 000 рублей, а утечка обходится в миллионы. При этом документы нужны один раз и обновляются по мере изменения процессов, а не каждый квартал.

Частые вопросы

Закажите приведение сайта в соответствие

Проверить документы и формы можно за один разбор. Мы составим перечень процессов, подготовим политику и согласия, оформим приказ и уведомление, проверим счётчики и настроим порядок ответа на обращения. Оставьте заявку через квиз-калькулятор или свяжитесь с нами — первичная консультация бесплатна.