В 2026 году сайты с формами обратной связи, регистрацией и заказами всё чаще попадают в поле зрения проверяющих - оператору персональных данных нужен не один документ, а целый комплект. Полный набор для сайта включает 57 документов в 11 группах: от политики обработки персональных данных до журналов учёта обращений и инструкций по внедрению. Разберём, что входит в комплект, какие документы обязательны для небольшого сайта, а какие подключаются по мере роста бизнеса.
Коротко
- Полный комплект документов для сайта по 152-ФЗ - 57 позиций, объединённых в 11 групп.
- Обязательный минимум для небольшого сайта - около 10-12 документов: политика, согласия, уведомление в Роскомнадзор, cookie-баннер.
- Остальные документы (регламенты, журналы, приказы) нужны по мере роста штата и объёма обработки данных.
- Основания - ст. 9, 18.1, 20 и 22 152-ФЗ: они описывают согласие, внутренний контроль, ответы на запросы субъектов и уведомление оператора.
- Отсутствие обязательных документов подпадает под ч. 1 ст. 13.11 КоАП РФ - штраф от 10 000 до 30 000 ₽.
Из чего состоит полный комплект
57 документов сгруппированы так, чтобы каждая группа закрывала отдельную часть требований 152-ФЗ - от базовой политики до внутренних инструкций для сотрудников. Ниже - структура комплекта и назначение каждой группы.
| Группа документов | Что входит | Зачем нужна |
|---|---|---|
| Базовый пакет | Политика обработки персональных данных, публичная оферта раздела о данных | Формирует правовую основу обработки данных на сайте |
| Уведомления и cookie | Уведомление о cookie, политика использования cookie-файлов, форма cookie-баннера | Информирует посетителя о сборе технических данных до начала обработки |
| Положения и перечни | Положение об обработке персональных данных, перечень обрабатываемых данных, перечень мест хранения | Фиксирует внутренние правила и состав обрабатываемых данных для проверок |
| Информационная безопасность | Положение о защите информации, модель угроз, перечень средств защиты | Подтверждает выполнение требований по защите данных от утечки |
| Согласия | Формы согласия на обработку, согласие на рассылку, согласие на передачу третьим лицам | Юридическое основание обработки по ст. 9 - без согласия обработка незаконна |
| Регламенты | Регламент реагирования на инциденты, регламент работы с обращениями субъектов | Определяет порядок действий персонала в стандартных и внештатных ситуациях, отражает требования ст. 18.1 |
| Договоры | Договор поручения обработки, соглашение о конфиденциальности с подрядчиками | Закрепляет ответственность при передаче данных третьим лицам и партнёрам |
| Формы запросов | Форма запроса субъекта на доступ к данным, форма отзыва согласия | Обеспечивает право субъекта на доступ и отзыв согласия по ст. 20 |
| Журналы | Журнал учёта обращений субъектов, журнал передачи данных третьим лицам | Фиксирует историю операций для внутреннего контроля и проверок |
| Приказы | Приказ о назначении ответственного за обработку данных, приказ об утверждении политики | Формализует ответственность конкретных сотрудников за соблюдение 152-ФЗ |
| Инструкции по внедрению | Пошаговые инструкции по установке cookie-баннера, настройке форм и хранения | Помогает технически внедрить документы на сайте без ошибок |
Обязательный минимум для небольшого сайта
Для сайта с формой заявки, подпиской на рассылку или личным кабинетом без сложной инфраструктуры хранения данных обычно достаточно 10-12 документов из базового пакета:
- Политика обработки персональных данных, размещённая на отдельной странице сайта.
- Форма согласия на обработку данных, привязанная к каждой форме сбора.
- Согласие на получение рассылок, если сайт собирает email или телефон для маркетинга.
- Уведомление о cookie и политика использования cookie-файлов.
- Перечень обрабатываемых персональных данных.
- Приказ о назначении ответственного за обработку персональных данных.
- Уведомление в Роскомнадзор об обработке данных, если сайт не подпадает под исключения ст. 22.
- Форма запроса субъекта на доступ к своим данным и форма отзыва согласия.
- Журнал учёта обращений субъектов персональных данных.
Остальные документы - регламенты, договоры поручения, модель угроз, расширенные журналы - подключаются по мере роста: появления штата, подрядчиков, интеграций с CRM или передачи данных за рубеж.
Что проверить у себя на сайте
- На сайте есть отдельная страница с политикой обработки персональных данных.
- Каждая форма сбора данных содержит чекбокс согласия, а не текст мелким шрифтом внизу страницы.
- Cookie-баннер появляется до начала сбора технических данных, а не после.
- Есть назначенный приказом ответственный за обработку персональных данных.
- Подано уведомление в Роскомнадзор, если сайт не входит в перечень исключений ст. 22.
- Есть форма, через которую пользователь может запросить или удалить свои данные.
- Ведётся журнал обращений субъектов персональных данных.
- Если данные передаются подрядчикам - есть договор поручения обработки.
- Политика и формы согласия обновлены с учётом актуальной редакции 152-ФЗ.
- Перечень обрабатываемых данных соответствует тому, что реально собирает сайт.
Частые вопросы
Нужны ли все 57 документов сразу?
Нет. Для старта хватает базового минимума из 10-12 документов. Остальные группы - регламенты, договоры поручения, расширенные журналы - подключаются постепенно, когда появляется штат сотрудников, подрядчики или новые каналы сбора данных.
Что грозит за отсутствие документов на сайте?
По ч. 1 ст. 13.11 КоАП РФ отсутствие обязательных документов или нарушение порядка обработки персональных данных грозит штрафом от 10 000 до 30 000 ₽ - размер зависит от статуса нарушителя и характера нарушения.
Обязательно ли уведомлять Роскомнадзор?
По ст. 22 152-ФЗ уведомление обязательно для большинства операторов, кроме случаев, попадающих под исключения - например, обработка данных только сотрудников по трудовому договору. Для сайтов с формами сбора данных клиентов уведомление, как правило, требуется.
Как понять, какие документы уже устарели?
Сверьте формулировки согласий и политики с действующей редакцией 152-ФЗ, а также с реальным набором данных, которые собирает сайт. Если перечень данных или цели обработки изменились, документы нужно актуализировать.
Кто должен утверждать документы внутри компании?
Политику, положения и приказ о назначении ответственного утверждает руководитель организации. Ответственный за обработку данных далее следит за соблюдением регламентов и ведением журналов.
Собрать полный или базовый комплект документов, актуальных для вашего сайта, можно на странице документов - там представлены все 57 позиций по группам с возможностью выбрать нужный набор под масштаб бизнеса.