Персональные данные

Персональные данные на сайте: что нужно сделать, чтобы не нарушить 152-ФЗ

Редактор ФТИ 6 октября 2026 8 мин чтения

Коротко

Форма заявки, регистрация и чат делают владельца сайта оператором. Разбираем, что обязательно: уведомление, политика на сайте, согласие отдельно, база в России, и почему сайт должен совпадать с уведомлением.

Коротко: если на сайте есть форма заявки, регистрация, чат или онлайн-запись, сайт собирает персональные данные, и владелец сайта становится оператором. Ему нужно подать уведомление в Роскомнадзор, опубликовать политику, оформить согласие отдельно от других документов там, где оно служит основанием, и держать базу граждан России в России. Сайт и уведомление не должны противоречить друг другу.

Формы и согласия, политика, счётчики и зарубежные сервисы, место хранения базы, сверка с уведомлением · если нарушений нет, так и напишем

Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня

Проверить мой сайт →

Что нужно сайту, который собирает данные

Уведомление в Роскомнадзор до начала обработки (ч. 1 ст. 22).
Политика на сайте, доступная со страниц, где идёт сбор (ч. 2 ст. 18.1).
Согласие отдельно от иных документов (ч. 1 ст. 9), если согласие является основанием обработки.
База граждан России в России (ч. 5 ст. 18).
Отдельное уведомление, если данные передаются за границу (ч. 3 ст. 12).
Совпадение сайта и уведомления: три и более расхождения — индикатор риска.

Что считается персональными данными на сайте

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (п. 1 ст. 3). Оператор — тот, кто организует обработку и определяет, какие данные собирать и зачем (п. 2 ст. 3). Если форма на вашем сайте отправляет данные вам, оператор вы, а не разработчик сайта.

Элемент сайта	Это персональные данные?
Форма заявки: имя, телефон, e-mail	Да, это информация о конкретном человеке
Регистрация и личный кабинет	Да
Онлайн-чат с запросом имени или телефона	Да
Онлайн-запись, оплата, доставка	Да
Счётчики и cookie	Зависит от того, позволяют ли они определить человека

Про cookie в тексте статей закона, которые мы сверяли, слова нет. Критерий один — определение из пункта 1 статьи 3: связана ли информация с определяемым человеком. Поэтому при проверке мы смотрим, что собирает каждый сервис на сайте и связывается ли это с человеком, а не ставим один ответ на все счётчики.

Что обязан сделать владелец сайта

Требование	Норма	Штраф (ст. 13.11 КоАП)
Подать уведомление	Ч. 1 ст. 22	Ч. 10: организации и ИП 100–300 тыс. ₽
Опубликовать политику и сведения о защите данных	Ч. 2 ст. 18.1	Ч. 3: организации 30–60 тыс. ₽, ИП 10–20 тыс. ₽
Иметь основание обработки, при необходимости — согласие	Ст. 6 и ст. 9	По нашему прочтению: ч. 1 — организации 150–300 тыс. ₽; ч. 2 (нет письменного согласия там, где оно обязательно): 300–700 тыс. ₽
Хранить базу граждан России в России	Ч. 5 ст. 18	Ч. 8: организации 1–6 млн ₽ (ИП как юрлицо)
Уведомить о трансграничной передаче	Ч. 3 ст. 12	Отдельной части в ст. 13.11 мы не нашли

Суммы — из текста статьи 13.11. Верхняя граница диапазона — не фиксированная сумма. ИП отвечает как юридическое лицо по частям 1.1 и 8–18 (примечание 1), по части 10 это значит те же 100–300 тыс. ₽. Обзор для ИП и ООО — в статьях об уведомлении для ИП и для ООО.

Политика: что опубликовать и где

Часть 2 статьи 18.1 требует от оператора, который собирает данные через интернет, опубликовать политику и сведения о реализуемых требованиях к защите на страницах сайта, с помощью которых идёт сбор. Нужно также обеспечить доступ к документу средствами сети: ссылка должна открываться.

Ссылка в подвале и рядом с формой — наша рекомендация: закон требует доступности документа на страницах, где идёт сбор данных.
Документ открывается из браузера: закон требует обеспечить доступ к нему средствами сети.
Политика не ограничивает права людей и не возлагает на оператора лишнего: так прямо сказано в пункте 2 части 1 статьи 18.1.
Текст соответствует реальности: цели, данные и сервисы в нём те же, что работают на сайте.

По запросу Роскомнадзора оператор обязан представить документы и локальные акты (ч. 4 ст. 18.1). Готовить их удобнее заранее.

Согласие в форме: как оформить

Согласие на обработку должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9). С 1 сентября 2025 года его оформляют отдельно от иных информации и документов, которые человек подтверждает или подписывает (ФЗ № 156 от 24.06.2025). Доказывать получение согласия должен оператор (ч. 3 ст. 9).

Отдельный чекбокс у формы, а не строка внутри пользовательского соглашения или оферты.
Галочка не проставлена заранее. Это наша практика: предзаполненный флажок плохо вяжется со словами «сознательное» и «однозначное».
Рядом ссылка на политику, чтобы согласие было информированным.
Хранится подтверждение: дата, время, текст, версия. Иначе доказать нечем.

Согласие нужно не везде. Если данные необходимы для исполнения договора, основанием служит пункт 5 части 1 статьи 6. Для рассылок закон жёстче: предварительное согласие и бремя доказывания на операторе (ч. 1 ст. 15). Согласие человек может отозвать (ч. 2 ст. 9). Что делать с данными после отзыва — в статье о прекращении обработки персональных данных.

Где лежит база и куда уходят данные

Запись, хранение и уточнение данных граждан России с использованием баз за границей не допускаются (ч. 5 ст. 18). Исключения — пункты 2, 3, 4 и 8 части 1 статьи 6. Нарушение — часть 8 статьи 13.11: организации от 1 до 6 млн ₽ (ИП отвечает как юрлицо).

Отдельный вопрос — зарубежные сервисы: чат, рассылки, аналитика, облачная CRM. Если данные людей уходят иностранной компании, это может быть трансграничной передачей (п. 11 ст. 3). Уведомить Роскомнадзор нужно до начала передачи и отдельно от основного уведомления (ч. 3 ст. 12). Разбор — в статье об уведомлении о трансграничной передаче.

Сайт и уведомление должны совпадать

Приказ Минцифры № 720 от 17.08.2023 добавил индикатор риска: три и более факта несоответствия информации в уведомлениях (ч. 3 ст. 12 и ч. 1 ст. 22) сведениям на сайте, размещённым по части 2 статьи 18.1. Приказ действует с 18 ноября 2023 года. Список расхождений в нём не приведён, поэтому разумно сверять цели, перечень данных, зарубежные сервисы и место хранения базы.

Если уведомление ещё не подано, начните с него: общую картину даёт обзор об уведомлении об обработке персональных данных, порядок подачи — статья о пошаговой подаче. Если подано давно, а сайт менялся, проверьте, не нужно ли внести изменения до 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Полный перечень пунктов проверки — в статье о подготовке сайта к проверке Роскомнадзора, а для магазинов — в статье об уведомлении для интернет-магазина.

Как мы помогаем владельцам сайтов

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Для сайтов есть три шага.

Аудит сайта на 152-ФЗ — 4 900 ₽. Проверяем формы и согласия, политику, счётчики и сервисы, место хранения базы, сверяем сайт с вашим уведомлением. Доступ в админку не нужен, смотрим открытую часть. Отчёт за 3 рабочих дня: нарушения с нормой, приоритеты, план правок.
Документы для сайта — 3 900 ₽: политика для сайта, согласия для форм, уведомление об использовании cookie.
Устранение нарушений — от 9 900 ₽: правки форм, согласий и ссылок, публикация политики, повторная проверка. Цену называем после аудита и до начала работ.

Уведомление в Роскомнадзор — 4 900 ₽. Пакет «Старт» — уведомление, документы по 152-ФЗ и документы для сайта — стоит 14 900 ₽ вместо 18 700 ₽, все услуги ФТИ собраны на одной странице.

Фиксированная цена, доплат нет · если нарушений нет, цена та же, а в отчёте так и будет написано

Узнайте, что не так с сайтом, до проверки — аудит 4 900 ₽

Заказать аудит →

Частые ошибки на сайтах

Политика скачана из интернета и описывает чужие цели и чужие сервисы.
Согласие спрятано в оферте или в тексте рядом с кнопкой без отдельного действия.
Политика есть, но ссылка ведёт в никуда или открывается только с главной.
Зарубежный сервис подключили, уведомление не обновили.
Уведомление подали, а сайт переделали, и сведения разошлись.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что считается персональными данными на сайте?

Любая информация, относящаяся к определённому или определяемому человеку (п. 1 ст. 3 152-ФЗ). Имя, телефон и e-mail из формы заявки подходят под определение. По cookie и счётчикам закон отдельного правила не называет: смотрят, позволяют ли они определить человека.

Нужно ли подавать уведомление в Роскомнадзор, если на сайте только форма заявки?

Да. Форма отправляет данные в компьютерную систему, это автоматизированная обработка, а исключения из части 2 статьи 22 к такому сайту не относятся. Подача бесплатна, запись в реестр вносят в течение 30 дней.

Обязательна ли политика конфиденциальности на сайте?

Да. Оператор, который собирает данные через интернет, обязан опубликовать политику и сведения о защите данных на страницах сайта, где идёт сбор (ч. 2 ст. 18.1). За отсутствие политики часть 3 статьи 13.11 предусматривает для организаций от 30 до 60 тыс. ₽, для ИП от 10 до 20 тыс. ₽.

Как оформить согласие в форме на сайте?

Отдельным действием, не внутри оферты или пользовательского соглашения (ч. 1 ст. 9, с 1 сентября 2025 года). Согласие должно быть конкретным, информированным, сознательным и однозначным. Подтверждение получения должен хранить оператор (ч. 3 ст. 9).

Всегда ли нужно согласие на обработку данных?

Нет. Статья 6 называет другие основания, например исполнение договора (п. 5 ч. 1). Но для рассылок и прямых контактов в целях продвижения нужно предварительное согласие (ч. 1 ст. 15).

Где должна храниться база с данными с сайта?

Запись и хранение данных граждан России в базах за границей не допускаются (ч. 5 ст. 18), с исключениями из пунктов 2, 3, 4 и 8 части 1 статьи 6. Нарушение — часть 8 статьи 13.11, для организаций от 1 до 6 млн ₽.

Что делать, если на сайте стоит зарубежный чат, рассылка или аналитика?

Выяснить, получает ли иностранная компания данные людей. Если да, это может быть трансграничной передачей, и уведомить Роскомнадзор нужно отдельно и до начала передачи (ч. 3 ст. 12). Если нет, передачи нет.

Почему сайт должен совпадать с уведомлением?

Приказ Минцифры № 720 от 17.08.2023 называет индикатором риска три и более факта несоответствия информации в уведомлениях сведениям на сайте, размещённым по части 2 статьи 18.1.

Какой штраф за нарушения на сайте?

Зависит от нарушения. За неподанное уведомление — часть 10 статьи 13.11, организации и ИП от 100 до 300 тыс. ₽. За отсутствие политики — часть 3, организации от 30 до 60 тыс. ₽. За хранение базы за границей — часть 8, организации от 1 до 6 млн ₽.

Где проверить сайт и сколько это стоит у ФТИ?

Аудит сайта на 152-ФЗ у нас стоит 4 900 ₽, отчёт готовим за 3 рабочих дня. Документы для сайта — 3 900 ₽, устранение нарушений — от 9 900 ₽, пакет «Старт» с уведомлением и документами — 14 900 ₽ вместо 18 700 ₽.