152-ФЗ и персональные данные: что должен делать сайт

Дата актуализации: август 2026 года

Форма обратной связи, заявка на консультацию, заказ звонка, регистрация в личном кабинете, подписка на рассылку — практически любой современный сайт так или иначе работает с персональными данными пользователей.

Имя, номер телефона, адрес электронной почты, сведения о заказе, аккаунт, IP-адрес и другие данные могут попадать в информационные системы владельца сайта. А значит, у бизнеса возникают обязанности по соблюдению законодательства о персональных данных.

Главный нормативный акт в этой сфере — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». При этом требования к операторам постепенно ужесточаются. Например, с 1 июля 2025 года были существенно изменены правила локализации персональных данных российских граждан, а с 1 сентября 2025 года действует требование оформлять согласие на обработку персональных данных отдельно от иных документов и информации, которые пользователь подтверждает или подписывает.

Поэтому сегодня недостаточно просто разместить в подвале сайта ссылку на «Политику конфиденциальности» и поставить галочку под формой.

В этой статье разберём, что именно должен делать сайт, если через него собираются персональные данные, какие документы нужны владельцу бизнеса, как должны работать формы, что учитывать при использовании аналитики и сторонних сервисов и почему одного SSL-сертификата для выполнения требований 152-ФЗ недостаточно.

Важно: статья носит информационный характер и не заменяет юридическую консультацию. Конкретный набор документов и мер зависит от целей обработки, состава данных, используемых сервисов, статуса оператора и особенностей бизнеса.

---

Что такое персональные данные

Согласно 152-ФЗ, персональные данные — это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

На практике это означает, что персональными данными могут быть не только паспортные сведения.

Например:

• имя и фамилия;
• номер телефона;
• e-mail;
• адрес доставки;
• дата рождения;
• сведения о заказах;
• данные личного кабинета;
• сведения о месте работы;
• фотография, если по ней можно идентифицировать человека;
• IP-адрес в определённых обстоятельствах;
• идентификаторы пользователя;
• сведения, которые в совокупности позволяют определить конкретного человека.

Для сайта особенно важно смотреть не на отдельное поле, а на весь набор информации и контекст её обработки.

Например, форма с единственным полем «Ваш телефон» уже может быть формой сбора персональных данных. Если же рядом находятся имя, e-mail и комментарий, объём обрабатываемой информации становится ещё больше.

---

Когда сайт становится участником обработки персональных данных

Закон регулирует не только сайты, специально созданные для работы с пользовательскими аккаунтами.

Типичный корпоративный сайт тоже может подпадать под требования 152-ФЗ.

Представим обычный сайт компании:

Главная → услуги → контакты → форма «Получить консультацию».

Пользователь вводит:

Иван
+7 900 000-00-00
ivan@example.ru

Нажимает кнопку «Отправить».

Дальше данные могут:

1. попасть на сервер сайта;
2. записаться в базу данных;
3. отправиться на электронную почту менеджера;
4. попасть в CRM;
5. передаться сервису аналитики;
6. попасть в систему автоматизации;
7. использоваться для обратного звонка;
8. храниться определённый срок.

То есть сайт фактически становится частью процесса обработки персональных данных.

При этом оператором является не обязательно разработчик сайта или хостинг-провайдер. Как правило, оператором выступает организация или ИП, которые самостоятельно определяют цели и способы обработки данных.

---

Главное правило: сначала определить, какие данные собирает сайт

Перед тем как добавлять на сайт согласия, баннеры и документы, необходимо провести небольшой аудит.

Нужно составить карту всех мест, где пользователь оставляет информацию.

Например:

Элемент сайта	Какие данные могут собираться
Форма обратной связи	имя, телефон, e-mail
Заказ услуги	имя, телефон, e-mail, сведения о заказе
Интернет-магазин	ФИО, телефон, e-mail, адрес доставки
Личный кабинет	логин, e-mail, телефон и другие данные
Подписка на рассылку	e-mail
Форма вакансии	ФИО, телефон, e-mail, резюме
Онлайн-чат	имя, контактные данные, содержание обращения
Аналитика	технические идентификаторы и сведения о взаимодействии с сайтом
Cookie	сведения о действиях пользователя и настройках, в зависимости от используемых технологий

Это первый и один из самых важных этапов.

Пока бизнес не понимает, что именно собирает сайт, зачем это делается и куда уходят данные, невозможно корректно настроить обработку.

---

Какие обязанности появляются у владельца сайта

Если организация или ИП обрабатывает персональные данные, требования 152-ФЗ распространяются не только на интерфейс сайта.

Владелец бизнеса должен выстроить систему обработки данных в целом.

В частности, закон предусматривает необходимость принимать организационные и технические меры, назначать ответственных лиц в предусмотренных случаях, разрабатывать необходимые документы, проводить внутренний контроль и обеспечивать безопасность персональных данных.

Для сайта это обычно означает работу сразу по нескольким направлениям:

1. определить цели обработки;
2. определить состав собираемых данных;
3. проверить законные основания обработки;
4. подготовить необходимые документы;
5. разместить политику обработки персональных данных;
6. корректно организовать получение согласий;
7. проверить локализацию баз данных;
8. проверить сторонние сервисы;
9. обеспечить безопасность;
10. установить сроки хранения;
11. организовать удаление или уничтожение данных, когда они больше не нужны;
12. предусмотреть обработку запросов пользователей;
13. при необходимости уведомить Роскомнадзор о начале обработки персональных данных.

Иными словами, 152-ФЗ — это не отдельная страница на сайте, а целый процесс внутри компании.

---

1. Политика обработки персональных данных

Один из базовых документов — политика оператора в отношении обработки персональных данных.

В ней компания должна описать, как именно она работает с персональными данными.

Закон требует, чтобы оператор, собирающий персональные данные через информационно-телекоммуникационные сети, опубликовал такой документ на соответствующих страницах своего сайта и обеспечил к нему доступ.

На практике на сайте обычно размещают ссылку:

«Политика обработки персональных данных»

или:

«Политика в отношении обработки персональных данных»

в футере и/или непосредственно возле форм.

Но важно понимать:

политика — не то же самое, что согласие на обработку персональных данных.

Это разные элементы.

Политика объясняет пользователю, как компания в принципе работает с данными.

Согласие фиксирует волеизъявление конкретного человека на обработку в соответствующих случаях.

---

Что должно быть в политике

Документ должен соответствовать реальным процессам компании.

В частности, необходимо описывать:

• цели обработки;
• категории субъектов персональных данных;
• категории и перечень обрабатываемых данных;
• способы обработки;
• сроки обработки и хранения;
• порядок уничтожения;
• права субъектов персональных данных;
• меры защиты;
• сведения об операторе;
• порядок взаимодействия с субъектами данных.

Особенно важно не использовать шаблон, который никак не связан с фактической работой сайта.

Например, компания собирает:

• имя;
• телефон;
• e-mail;
• заявки на услуги;

а в политике написано, что оператор обрабатывает исключительно сведения о сотрудниках.

Формально ссылка на документ есть, но документ не отражает реальную обработку.

Это плохая практика.

---

2. Согласие на обработку персональных данных

Следующий важный элемент — согласие.

По общему правилу субъект персональных данных самостоятельно принимает решение о предоставлении данных, а согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.

Особое внимание нужно обратить на изменения, вступившие в силу в 2025 году.

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает субъект персональных данных.

Для веб-сайтов это имеет принципиальное значение.

---

Как не стоит делать форму

Например:

Я принимаю условия договора, согласен с политикой конфиденциальности, даю согласие на обработку персональных данных и получение рекламных сообщений.

Одна галочка объединяет несколько разных действий.

Такой подход требует очень внимательной юридической оценки и в современных условиях является плохой основой для проектирования форм.

Гораздо правильнее разделять разные юридически значимые действия.

Например:

☐ Согласен на обработку персональных данных на условиях, указанных в согласии.

Отдельно:

☐ Согласен получать рекламные и информационные сообщения.

А ссылку на политику можно предоставить отдельно:

Политика обработки персональных данных

Конкретная конструкция должна зависеть от целей обработки и правового основания.

---

Важна не только галочка, но и возможность доказать согласие

Оператору недостаточно сказать:

«У нас на сайте была галочка».

В случае спора важно иметь возможность подтвердить факт получения согласия.

Поэтому техническая реализация должна позволять сохранить, например:

• дату и время;
• факт согласия;
• редакцию документа, с которой согласился пользователь;
• идентификатор пользователя или иные технические сведения, позволяющие связать действие с конкретным обращением;
• при необходимости сведения о форме или версии интерфейса.

Конкретный состав доказательств зависит от способа получения согласия и используемой системы.

---

3. Уведомление Роскомнадзора

Одна из самых распространённых ошибок владельцев сайтов — считать, что уведомление Роскомнадзора необходимо только крупным компаниям.

В действительности вопрос нужно проверять отдельно для каждого оператора.

Роскомнадзор указывает, что по общему правилу до начала обработки персональных данных оператор должен уведомить уполномоченный орган о намерении осуществлять такую обработку. При этом законом предусмотрены исключения.

Поэтому нельзя руководствоваться правилом:

«У нас маленький сайт, значит уведомление не нужно».

Нужно определить:

• кто является оператором;
• какие данные обрабатываются;
• на каких основаниях;
• подпадает ли конкретная ситуация под исключения.

Для многих коммерческих сайтов обязанность уведомления является актуальной.

---

4. Локализация персональных данных

Это один из наиболее важных технических вопросов.

В соответствии с частью 5 статьи 18 152-ФЗ при сборе персональных данных граждан РФ, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных должны осуществляться с использованием баз данных, находящихся на территории Российской Федерации, с установленными законом исключениями.

Особенно важно, что правила были изменены Федеральным законом от 28.02.2025 № 23-ФЗ.

Новая редакция применяется с 1 июля 2025 года. Минцифры отдельно разъясняло применение обновлённого требования о локализации.

---

Что это означает для сайта

Недостаточно сказать:

«Сайт находится на российском домене».

Домен .ru сам по себе ничего не гарантирует.

Нужно проверить, где фактически находятся информационные системы и базы данных, в которых обрабатываются персональные данные.

Например, пользователь заполняет форму:

Имя + телефон + e-mail.

Далее:

Сайт → сервер → CRM → аналитика → почта → сервис заявок.

Необходимо понимать, что происходит на каждом этапе.

Если форма отправляет данные непосредственно в иностранный сервис, это уже требует отдельного анализа.

---

Локализация и трансграничная передача — не одно и то же

Это важное различие.

Локализация отвечает на вопрос:

Где осуществляется предусмотренная законом первичная обработка персональных данных?

Трансграничная передача — на вопрос:

Передаются ли данные на территорию иностранного государства иностранному органу, физическому или юридическому лицу?

Закон отдельно регулирует трансграничную передачу персональных данных.

Поэтому наличие иностранного сервиса на сайте нельзя автоматически считать либо допустимым, либо недопустимым.

Нужно разбирать конкретную архитектуру.

---

5. Сторонние сервисы на сайте

Современный сайт редко работает изолированно.

На нём могут быть:

• системы аналитики;
• CRM;
• онлайн-чаты;
• сервисы обратного звонка;
• карты;
• видеоплееры;
• CAPTCHA;
• CDN;
• сервисы отправки почты;
• формы;
• системы сквозной аналитики;
• рекламные платформы;
• виджеты социальных сетей.

Каждый такой сервис необходимо рассматривать с точки зрения того, какие данные он получает и что с ними происходит.

Например, на сайте установлен внешний скрипт.

Он может получать:

• IP-адрес;
• сведения о браузере;
• сведения об устройстве;
• URL страницы;
• идентификаторы;
• cookie;
• сведения о действиях пользователя.

Поэтому фраза:

«Мы персональные данные не передаём, это просто аналитика»

сама по себе ничего не решает.

Нужно анализировать конкретный сервис и его настройки.

---

6. Cookie: почему баннер сам по себе не решает проблему

Cookie часто воспринимаются как отдельная тема, не связанная с персональными данными.

На практике всё сложнее.

Cookie могут использоваться:

• для работы авторизации;
• сохранения настроек;
• аналитики;
• рекламного таргетинга;
• отслеживания действий пользователя;
• персонализации контента.

При этом значение имеет не только сам факт наличия cookie, но и назначение, состав и возможность связать данные с конкретным пользователем.

Поэтому при разработке сайта необходимо провести аудит cookie и подключённых скриптов.

---

Какой cookie-баннер нужен

Не существует универсальной кнопки:

«Сделать сайт по 152-ФЗ — поставить cookie-баннер».

Правильная механика зависит от того, какие технологии используются.

Нужно определить:

1. какие cookie устанавливаются;
2. какие из них необходимы для работы сайта;
3. какие используются аналитикой;
4. какие связаны с рекламными инструментами;
5. какие сторонние скрипты устанавливают идентификаторы;
6. какие данные отправляются внешним системам;
7. требуется ли отдельное согласие и как оно должно фиксироваться.

Особенно важно не делать видимость согласия.

Например, плохой вариант:

«Продолжая пользоваться сайтом, вы автоматически соглашаетесь на всё».

Юридическая оценка такой конструкции зависит от конкретной обработки и правового основания, поэтому проектировать её как универсальное решение не стоит.

---

7. Сайт должен собирать только необходимые данные

Одна из базовых идей законодательства о персональных данных — данные должны обрабатываться в соответствии с конкретными целями.

Если компании для заявки на консультацию достаточно:

• имени;
• телефона;

не стоит без необходимости спрашивать:

• паспорт;
• дату рождения;
• домашний адрес;
• семейное положение;
• место работы.

Чем больше данных собирает сайт, тем больше возникает:

• обязанностей;
• рисков;
• требований к защите;
• вопросов по срокам хранения;
• последствий возможной утечки.

Поэтому при проектировании формы полезно задать простой вопрос:

Зачем нам каждое конкретное поле?

Если на него нет убедительного ответа, поле стоит убрать или отдельно обосновать необходимость его обработки.

---

8. Цель обработки должна быть понятной

Нельзя строить систему по принципу:

«Соберём данные, а потом решим, для чего они пригодятся».

Сначала определяется цель, затем состав данных и способ обработки.

Например, цель:

обработка заявки на консультацию.

Для неё могут быть нужны:

• имя;
• телефон;
• e-mail;
• содержание обращения.

Но если те же данные впоследствии хотят использовать для рассылки рекламы, это уже отдельная задача, которую необходимо рассматривать отдельно.

То есть:

обработка заявки ≠ автоматически согласие на любую последующую коммуникацию.

---

9. Реклама и персональные данные — разные вопросы

В интернете часто смешивают два понятия:

• согласие на обработку персональных данных;
• согласие на получение рекламы.

Это не одно и то же.

Например, пользователь оставляет номер телефона, чтобы менеджер связался с ним по заявке.

Из этого автоматически не следует, что компанию можно использовать этот номер для любых рекламных рассылок.

Поэтому если сайт предусматривает:

• рекламную e-mail-рассылку;
• SMS;
• рекламные звонки;
• push-уведомления;

юридическую конструкцию таких коммуникаций необходимо проектировать отдельно.

---

10. Безопасность сайта

152-ФЗ требует не только правильно получать данные, но и защищать их.

В частности, оператор должен принимать правовые, организационные и технические меры обеспечения безопасности персональных данных.

Для веб-проекта это может включать:

• HTTPS;
• защищённый доступ к административной панели;
• сложные пароли;
• двухфакторную аутентификацию;
• разграничение прав доступа;
• обновление CMS и компонентов;
• защиту серверов;
• резервное копирование;
• контроль доступа к базам;
• журналирование действий;
• защиту от несанкционированного доступа;
• безопасную передачу данных между системами.

Но важно:

HTTPS — это только один из элементов безопасности.

SSL-сертификат не делает сайт автоматически соответствующим 152-ФЗ.

---

11. CMS и плагины тоже имеют значение

Предположим, сайт сделан на CMS.

К ней установлены:

• форма обратной связи;
• CRM-модуль;
• аналитика;
• онлайн-чат;
• сервис рассылок;
• несколько дополнительных плагинов.

Каждый из них может:

• записывать данные;
• отправлять их на внешний сервер;
• хранить технические идентификаторы;
• создавать собственные cookie;
• иметь собственные интеграции.

Поэтому при аудите сайта нужно проверять не только код, написанный разработчиком, но и сторонние компоненты.

---

12. Что делать с заявками после их получения

Допустим, пользователь оставил заявку.

Что происходит дальше?

Если данные бесконечно хранятся:

• в CRM;
• в базе сайта;
• в почте менеджера;
• в резервных копиях;
• в таблицах Excel;
• в мессенджерах;

возникает вопрос о сроках хранения и необходимости каждого экземпляра данных.

Поэтому в компании желательно определить:

• где хранятся заявки;
• кто имеет к ним доступ;
• сколько они хранятся;
• когда удаляются;
• что происходит с резервными копиями;
• что делать при отзыве согласия или запросе субъекта.

---

13. Право пользователя на свои данные

Пользователь — не просто источник информации для бизнеса.

У субъекта персональных данных есть предусмотренные законом права.

В зависимости от ситуации человек может обратиться к оператору с требованиями, связанными, например:

• с доступом к своим данным;
• уточнением;
• блокированием;
• уничтожением;
• прекращением обработки в предусмотренных случаях.

Поэтому у компании должен быть понятный внутренний процесс обработки таких обращений.

Недостаточно написать на сайте:

«По всем вопросам пишите нам».

Нужно, чтобы внутри компании было понятно:

1. кто принимает обращение;
2. как идентифицируется заявитель;
3. кто проверяет данные;
4. какие действия выполняются;
5. в какие сроки;
6. как фиксируется результат.

---

14. Уничтожение персональных данных

Ещё одна распространённая ошибка — считать, что достаточно один раз собрать данные и хранить их всегда.

Законодательство предполагает определённость целей обработки и соответствующие правила хранения и уничтожения данных.

В политике оператора должны быть определены, в частности, сроки обработки и хранения и порядок уничтожения персональных данных при достижении целей обработки или наступлении иных законных оснований.

Для сайта это означает необходимость заранее ответить:

Что происходит с заявкой, когда она больше не нужна?

Если ответа нет, систему обработки стоит пересмотреть.

---

15. Что происходит при утечке

Вопрос безопасности становится особенно важным, если произошла:

• утечка базы;
• взлом сайта;
• несанкционированный доступ;
• ошибочная публикация данных;
• отправка данных не тому адресату;
• компрометация учётной записи.

Оператору необходимо иметь процедуру реагирования на инциденты.

В том числе законодательство предусматривает обязанность уведомлять уполномоченный орган в случае установления факта неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, если это повлекло нарушение прав субъектов.

Поэтому при создании сайта необходимо думать не только о том, как данные собрать, но и о том, что делать, если система будет взломана.

---

16. Почему нельзя просто скачать шаблон политики

Одна из самых частых практик:

скачать документ из интернета → заменить название компании → поставить на сайт.

Проблема в том, что шаблон не знает, как работает конкретный сайт.

В результате возникают несоответствия.

Например, в политике указано:

«Оператор не осуществляет передачу персональных данных третьим лицам».

Но фактически сайт передаёт заявки в:

• CRM;
• сервис обратного звонка;
• систему аналитики;
• платформу рассылок.

Или в политике написано, что собираются только:

ФИО и контактные данные,

а форма дополнительно позволяет прикреплять резюме.

Такой документ перестаёт отражать реальную обработку.

Политика должна описывать действующую систему, а не идеальный шаблонный сайт.

---

17. Типовая архитектура сайта, которую нужно проверить

Рассмотрим простой пример.

Компания имеет сайт:

site.ru

На нём есть форма:

Имя
Телефон
E-mail
Сообщение
[Отправить]

После отправки происходит:

Сайт → сервер → CRM → менеджер

Дополнительно на сайте установлены:

• аналитика;
• онлайн-чат;
• CAPTCHA;
• рекламные пиксели.

В этом случае необходимо проверить как минимум:

На сайте

• есть ли политика;
• есть ли корректно оформленное согласие;
• соответствует ли форма целям обработки;
• какие поля обязательны;
• как фиксируется согласие;
• какие cookie устанавливаются.

На сервере

• где находится база;
• кто имеет доступ;
• как защищается сервер;
• как создаются резервные копии;
• как обновляется ПО.

В CRM

• кто поставщик;
• где хранится информация;
• какие данные передаются;
• кто имеет доступ;
• на каком основании осуществляется передача;
• как удаляются данные.

В аналитике

• какие идентификаторы используются;
• какие данные собираются;
• куда они передаются;
• какие настройки включены.

В документах

• соответствует ли политика фактической обработке;
• есть ли необходимые локальные акты;
• требуется ли уведомление Роскомнадзора;
• определены ли сроки хранения;
• есть ли процедуры удаления и реагирования на инциденты.

---

18. Частые ошибки владельцев сайтов

Ошибка № 1. «У нас только форма обратной связи»

Даже одна форма может означать обработку персональных данных.

Небольшой объём данных не отменяет необходимости определить правовое основание и порядок обработки.

---

Ошибка № 2. «У нас есть политика, значит всё законно»

Нет.

Политика — только один из элементов системы.

Нужно также смотреть на:

• основания обработки;
• согласия;
• локализацию;
• уведомление;
• безопасность;
• сторонние сервисы;
• сроки хранения;
• фактическую архитектуру сайта.

---

Ошибка № 3. «Галочка стоит — значит всё в порядке»

Не обязательно.

Важно:

• что именно подтверждает пользователь;
• какая информация ему предоставлена;
• отдельно ли оформлено согласие;
• можно ли доказать факт его получения;
• соответствует ли согласие конкретной цели обработки.

---

Ошибка № 4. «Cookie — это просто техническая мелочь»

Нет.

Необходимо понимать, какие именно технологии используются и какие данные с их помощью обрабатываются.

---

Ошибка № 5. «Сайт на российском хостинге, значит всё соответствует»

Не обязательно.

Нужно смотреть на всю цепочку обработки:

браузер → сайт → сервер → CRM → аналитика → рассылка → резервные копии.

Один российский сервер не решает автоматически все вопросы.

---

Ошибка № 6. «Мы не храним данные, потому что заявки приходят на почту»

Электронная почта тоже является частью процесса обработки.

Если данные поступили на корпоративный e-mail, необходимо учитывать, где и как они хранятся, кто имеет к ним доступ и как организована защита.

---

Ошибка № 7. «Мы маленькая компания, Роскомнадзор нас не заинтересует»

Размер бизнеса сам по себе не отменяет требований закона.

Более того, административная ответственность за отдельные нарушения может быть существенной.

Например, за нарушение требований к локализации для юридических лиц предусмотрен штраф от 1 до 6 млн рублей, а за повторное нарушение — от 6 до 18 млн рублей.

---

19. Какие штрафы предусмотрены

Ответственность в сфере персональных данных существенно усилилась.

Например, по ч. 1 ст. 13.11 КоАП РФ обработка персональных данных в случаях, не предусмотренных законодательством, либо обработка, несовместимая с целями сбора, может повлечь для юридического лица штраф от 150 000 до 300 000 рублей. За повторное аналогичное нарушение — от 300 000 до 500 000 рублей.

За отсутствие или ненадлежащее выполнение обязанности по опубликованию политики также предусмотрена административная ответственность.

Для юридических лиц штраф составляет от 30 000 до 60 000 рублей.

Отдельно предусмотрена ответственность за непредставление уведомления о намерении осуществлять обработку персональных данных: для юридических лиц — от 100 000 до 300 000 рублей.

Ещё серьёзнее могут быть последствия неправомерной передачи или утечки данных.

Размер штрафа зависит от количества субъектов, объёма идентификаторов, категории данных и других обстоятельств. За крупные утечки для организаций предусмотрены штрафы в миллионах рублей, а при повторных нарушениях в некоторых случаях применяются оборотные штрафы.

Поэтому задача веб-студии — не просто «поставить галочку в форме», а помочь заказчику технически реализовать требования, сформированные совместно с ответственными за юридическую и информационную безопасность.

---

20. Что должна сделать веб-студия

При разработке или редизайне сайта стоит включать работу с персональными данными в техническое задание.

Минимальный процесс может выглядеть так.

Шаг 1. Провести аудит

Определить:

• какие формы есть;
• какие данные собираются;
• какие скрипты работают;
• какие cookie устанавливаются;
• какие интеграции подключены;
• куда отправляются данные.

Шаг 2. Составить карту данных

Для каждого сценария определить:

данные → цель → основание → система → получатель → срок хранения → удаление.

Шаг 3. Проверить юридическую документацию

Вместе с ответственным лицом или юристом определить:

• какие документы нужны;
• какие согласия необходимы;
• требуется ли уведомление;
• какие цели обработки заявляются.

Шаг 4. Настроить формы

Проверить:

• обязательные поля;
• тексты перед формой;
• ссылки на документы;
• отдельность согласий;
• фиксацию согласия.

Шаг 5. Проверить инфраструктуру

Проверить:

• хостинг;
• сервер;
• базы данных;
• резервное копирование;
• CMS;
• плагины;
• CRM;
• внешние API.

Шаг 6. Проверить сторонние сервисы

Для каждого сервиса определить:

• какие данные он получает;
• где они хранятся;
• кому могут передаваться;
• используется ли иностранная инфраструктура;
• какие настройки приватности доступны.

Шаг 7. Провести финальный тест

Нужно не просто открыть сайт и проверить, что форма отправляется.

Следует пройти весь пользовательский сценарий:

заполнение → согласие → отправка → передача → хранение → CRM → уведомление менеджера → удаление.

---

21. Как должна выглядеть форма обратной связи

Универсального текста для всех сайтов не существует.

Но с точки зрения UX и технической реализации хорошая форма должна быть:

• понятной;
• минималистичной;
• прозрачной;
• без лишних полей;
• с понятным назначением сбора данных;
• с доступом к соответствующим документам;
• с корректно реализованным механизмом согласия.

Например:

Получить консультацию

Имя*
Телефон*
Комментарий

[кнопка «Отправить»]

Ниже:

Согласие на обработку персональных данных

Политика обработки персональных данных

Конкретный текст согласия должен готовиться с учётом целей обработки и применяемого законодательства.

---

22. Что проверить на уже работающем сайте

Если сайт был разработан несколько лет назад, его стоит проверить отдельно.

Особенно если после запуска добавлялись:

• CRM;
• новые формы;
• онлайн-чат;
• рекламные системы;
• сквозная аналитика;
• личный кабинет;
• интернет-магазин;
• формы вакансий;
• новые маркетинговые сервисы.

Сайт мог начинаться как простая визитка, а через несколько лет превратиться в полноценную информационную систему.

При этом юридические документы могли остаться прежними.

---

23. Минимальный аудит сайта

Для первичной проверки можно пройтись по следующим вопросам.

Формы

• Какие формы есть на сайте?
• Какие данные они собирают?
• Какие поля обязательны?
• Зачем нужно каждое поле?
• Есть ли согласие?
• Как фиксируется согласие?

Документы

• Есть ли политика обработки персональных данных?
• Соответствует ли она реальной обработке?
• Есть ли необходимые согласия?
• Актуальны ли документы?

Инфраструктура

• Где находится база данных?
• Где находится сервер?
• Где создаются резервные копии?
• Кто имеет доступ?
• Какие системы получают данные?

Сторонние сервисы

• Какие аналитические системы подключены?
• Какие CRM используются?
• Какие виджеты установлены?
• Какие внешние API вызываются?
• Какие данные они получают?

Cookie

• Какие cookie устанавливаются?
• Какие скрипты запускаются?
• Какие идентификаторы используются?
• Есть ли технологии, не являющиеся необходимыми для работы сайта?

Организация

• Есть ли уведомление Роскомнадзора, если оно необходимо?
• Назначен ли ответственный?
• Есть ли локальные документы?
• Определены ли сроки хранения?
• Есть ли процедура удаления?
• Есть ли план действий при утечке?

---

24. Особенности интернет-магазинов

Для интернет-магазина требования становятся ещё более важными.

Покупатель может передавать:

• ФИО;
• телефон;
• e-mail;
• адрес доставки;
• сведения о заказе;
• информацию о способе оплаты;
• данные личного кабинета.

При этом данные могут передаваться нескольким участникам процесса:

магазин → CRM → служба доставки → платёжный сервис → система уведомлений.

Поэтому интернет-магазин нельзя рассматривать как одну форму на сайте.

Нужно анализировать всю цепочку обработки.

---

25. Особенности сайтов с личным кабинетом

Если сайт позволяет пользователю создать аккаунт, появляется дополнительный массив данных.

Например:

• логин;
• пароль;
• e-mail;
• телефон;
• история заказов;
• настройки профиля.

Здесь особенно важны:

• безопасность авторизации;
• защита паролей;
• разграничение доступа;
• восстановление аккаунта;
• удаление учётной записи;
• корректная работа сессий;
• защита административной части.

Для таких сайтов требования к информационной безопасности существенно выше, чем для простой страницы с контактной формой.

---

26. Особенности сайта с вакансиями

Страница «Вакансии» часто недооценивается.

Если кандидат загружает резюме, компания может получать не только имя и телефон, но и значительный объём информации:

• образование;
• опыт работы;
• дата рождения;
• фотография;
• сведения о месте жительства;
• профессиональные навыки;
• предыдущие места работы.

Поэтому форму отправки резюме нужно рассматривать отдельно от стандартной формы «Заказать звонок».

Особенно важно определить:

• цель обработки;
• срок хранения резюме;
• кто получает доступ;
• передаются ли данные в HR-систему;
• что происходит после закрытия вакансии.

---

27. Что важно учесть при разработке нового сайта

Лучший момент для решения вопросов с персональными данными — до запуска проекта, а не после него.

Если сначала сделать сайт, а потом пытаться встроить требования 152-ФЗ, могут возникнуть проблемы с архитектурой.

Например, оказывается, что:

• CRM хранит данные не там, где планировалось;
• форма отправляет информацию внешнему сервису;
• согласие невозможно корректно фиксировать;
• аналитика запускается до необходимого действия пользователя;
• удалить данные из всех систем невозможно;
• политика не соответствует фактическим процессам.

Переделывать такую систему обычно дороже, чем заложить требования в архитектуру сразу.

---

28. Что входит в техническую часть соответствия

Веб-студия может отвечать за техническую реализацию, например:

Интерфейс

• формы;
• ссылки на документы;
• механизмы согласия;
• cookie-механизмы.

Backend

• обработка заявок;
• хранение;
• журналирование;
• удаление;
• интеграции.

Инфраструктура

• сервер;
• база данных;
• HTTPS;
• доступы;
• резервное копирование.

Интеграции

• CRM;
• почта;
• аналитика;
• внешние API;
• сервисы уведомлений.

Аудит

• проверка фактических потоков данных;
• выявление сторонних скриптов;
• проверка форм;
• проверка технической реализации.

При этом юридическая часть — цели, основания, содержание документов и оценка правомерности конкретной обработки — должна определяться самим оператором совместно с профильным специалистом.

---

29. Главное изменение последних лет: нельзя относиться к персональным данным формально

Раньше бизнес часто воспринимал выполнение требований как набор простых действий:

поставить политику → поставить галочку → включить HTTPS.

Современный подход значительно сложнее.

Роскомнадзор и законодательство рассматривают не только наличие документов, но и реальный процесс обработки.

Поэтому вопрос должен звучать не так:

«Есть ли на сайте политика?»

А так:

«Соответствует ли реальная обработка данных компании её документам, основаниям, целям и требованиям законодательства?»

Это принципиальная разница.

---

30. Как подготовить сайт к проверке

Перед запуском или аудитом сайта полезно представить, что нужно будет объяснить весь путь данных.

Например:

Пользователь ввёл телефон.

Что дальше?

1. Браузер отправил данные.
2. Сервер получил запрос.
3. Backend записал заявку.
4. Данные попали в базу.
5. CRM получила информацию.
6. Менеджеру пришло уведомление.
7. Аналитическая система зафиксировала событие.
8. Данные хранятся определённый срок.
9. После достижения цели данные удаляются.

Если на каждом этапе есть понятный ответ:

• какие данные;
• зачем;
• где;
• на каком основании;
• кто имеет доступ;
• сколько хранятся;
• как удаляются,

система становится гораздо более управляемой.

---

31. Что должен знать владелец бизнеса

Владельцу сайта не обязательно самостоятельно разбираться в программном коде.

Но он должен понимать хотя бы основные вещи:

Какие данные мы собираем?

Не «заявки», а конкретно:

имя + телефон + e-mail + текст обращения.

Зачем?

Например:

для обработки обращения и связи с клиентом.

Где хранятся?

Например:

база сайта + CRM.

Кто имеет доступ?

Например:

менеджеры отдела продаж.

Кому передаются?

Например:

CRM и сервису отправки уведомлений.

Сколько хранятся?

Должен существовать определённый порядок.

Как удаляются?

Должна быть предусмотрена процедура.

Есть ли сторонние сервисы?

Да — и необходимо понимать, какие именно.

---

32. Что должен знать разработчик

Разработчику важно понимать, что форма с персональными данными — это не просто HTML.

Нужно учитывать:

• какие данные отправляются;
• куда они уходят;
• как они передаются;
• где хранятся;
• кто имеет доступ;
• как логируется действие;
• как реализуется удаление;
• какие сторонние сервисы участвуют.

Также нельзя незаметно добавлять на сайт сторонние сервисы, которые получают пользовательские данные.

Например, новый маркетинговый скрипт может изменить поток данных, даже если визуально сайт вообще не изменился.

---

33. Что должен проверять SEO-специалист и маркетолог

Персональные данные касаются не только программистов.

Маркетинговые специалисты часто подключают:

• системы аналитики;
• рекламные кабинеты;
• пиксели;
• формы;
• коллтрекинг;
• CRM;
• сервисы рассылок.

Каждый новый инструмент потенциально меняет обработку данных.

Поэтому правило должно быть простым:

Перед подключением нового сервиса нужно проверить, какие данные он получает и куда они передаются.

---

34. Что делать веб-студии при передаче готового сайта

Хорошая практика — передавать заказчику не только архив сайта, но и документацию по обработке данных с технической стороны.

Например:

• перечень форм;
• перечень интеграций;
• список сторонних скриптов;
• описание мест хранения;
• описание передачи заявок;
• перечень подключённых сервисов;
• рекомендации по администрированию;
• сведения о технических механизмах согласия.

Это особенно полезно при дальнейшем сопровождении сайта.

---

35. 152-ФЗ — это не только задача веб-студии

Важно правильно распределять ответственность.

Веб-студия отвечает за то, что входит в её работу:

• корректную техническую реализацию;
• безопасность разработки;
• настройки сайта;
• интеграции;
• технические механизмы.

Заказчик как оператор определяет цели и фактические процессы обработки.

Юрист или специалист по защите данных помогает определить правовые основания, содержание документов и соответствие процессов законодательству.

Системный администратор / DevOps / ИБ-специалист отвечает за соответствующую часть инфраструктуры и защиты.

Поэтому фраза:

«Сделайте нам сайт полностью по 152-ФЗ»

слишком общая.

Правильнее разделить задачу на юридическую, организационную и техническую части.

---

Итог: что должен делать сайт

Если обобщить всё вышесказанное, сайт, на котором собираются персональные данные, должен быть частью организованной системы обработки данных.

Минимально необходимо:

1. Определить, какие персональные данные собираются.
2. Для каждой категории определить цели обработки.
3. Определить законные основания обработки.
4. Проверить необходимость уведомления Роскомнадзора.
5. Разместить актуальную политику обработки персональных данных.
6. Корректно организовать получение согласий там, где они необходимы.
7. Учитывать требование об отдельном оформлении согласия.
8. Проверить локализацию персональных данных граждан РФ.
9. Проверить все CRM, аналитические системы и сторонние сервисы.
10. Проверить cookie и сторонние скрипты.
11. Обеспечить техническую и организационную защиту данных.
12. Определить сроки хранения.
13. Организовать удаление данных при наступлении соответствующих оснований.
14. Предусмотреть работу с запросами субъектов персональных данных.
15. Подготовить процедуру реагирования на инциденты и утечки.
16. Регулярно проверять сайт после установки новых сервисов и интеграций.

---

Чек-лист для владельца сайта

Перед запуском сайта проверьте:

• Определены все формы, собирающие данные.
• Для каждого поля понятно, зачем оно нужно.
• Определены цели обработки.
• Определены правовые основания.
• Проверена необходимость уведомления Роскомнадзора.
• Подготовлена актуальная политика обработки персональных данных.
• Политика опубликована на сайте.
• Согласия реализованы корректно.
• Согласие не «спрятано» внутри других документов или действий пользователя.
• Настроена фиксация факта согласия.
• Проверена локализация баз данных.
• Проверены сервер и хостинг.
• Проверена CRM.
• Проверены сервисы аналитики.
• Проверены рекламные инструменты.
• Проверены cookie и сторонние скрипты.
• Настроены права доступа.
• Защищена административная панель.
• Настроены резервные копии.
• Определены сроки хранения.
• Определён порядок удаления.
• Есть процедура обработки запросов пользователей.
• Есть план действий при утечке.
• Документы соответствуют фактической архитектуре сайта.

---

Вывод

152-ФЗ — это не требование «поставить две галочки и ссылку на политику».

Современный сайт представляет собой целую цепочку обработки данных:

пользователь → форма → сайт → база данных → CRM → аналитика → сторонние сервисы → хранение → удаление.

И соответствие требованиям законодательства нужно оценивать по всей этой цепочке.

Особенно важно учитывать изменения, действующие с 2025 года: требования к локализации были ужесточены, а согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, подтверждаемых или подписываемых пользователем.

При этом штрафы за отдельные нарушения уже исчисляются сотнями тысяч и миллионами рублей, а за крупные утечки и повторные нарушения ответственность может быть значительно выше.

Поэтому оптимальный подход — закладывать требования к персональным данным ещё на этапе проектирования сайта, а не пытаться исправить юридические и технические проблемы после запуска.

Для веб-студии это означает простой принцип:

Сначала разобраться, какие данные и зачем обрабатываются, затем спроектировать правильный пользовательский сценарий и архитектуру, а уже после этого подключать формы, CRM, аналитику и другие сервисы.

Так сайт становится не только удобным для пользователя, но и значительно более предсказуемым с точки зрения требований к обработке персональных данных.

Источники и нормативная база: Федеральный закон № 152-ФЗ «О персональных данных», положения КоАП РФ об ответственности за нарушения в сфере персональных данных, а также актуальные разъяснения и материалы Роскомнадзора. Требования законодательства необходимо проверять на дату запуска или аудита конкретного сайта, поскольку нормативная база продолжает изменяться.