Комплект документов для сайта по 152-ФЗ - это не формальность для галочки, а рабочий набор бумаг, который подтверждает законность обработки персональных данных посетителей. Если на сайте есть форма обратной связи, регистрация, корзина заказа или счётчики аналитики, оператор обязан оформить как минимум политику обработки персональных данных и корректное согласие. Ниже - разбор того, какие документы входят в комплект, зачем нужен каждый из них и что стоит проверить на своём сайте уже сегодня.
Коротко
- Базовый комплект - политика обработки ПДн, согласие на обработку и форма уведомления Роскомнадзора.
- Если сайт передаёт данные за рубеж или использует иностранные трекеры - нужны дополнительные документы о трансграничной передаче.
- С 30 мая 2025 года за утечки персональных данных введены оборотные штрафы - процент от выручки компании.
- Готовый шаблон комплекта документов можно взять на странице /documents и адаптировать под свой сайт.
- Отсутствие или неправильное оформление документов - одна из самых частых причин штрафов по ст. 13.11 КоАП.
Из чего состоит комплект документов
Состав комплекта зависит от того, какие данные собирает сайт и как они обрабатываются дальше. Но есть базовый набор, который нужен практически любому коммерческому сайту с формами.
| Документ | Назначение | Норма 152-ФЗ |
|---|---|---|
| Политика обработки персональных данных | Публичный документ с описанием целей, состава данных, сроков хранения и прав субъекта | ст. 18.1 |
| Согласие на обработку персональных данных | Фиксирует волеизъявление пользователя перед сбором данных | ст. 9 |
| Уведомление в Роскомнадзор | Информирует регулятора о начале обработки данных оператором | ст. 22 |
| Согласие на трансграничную передачу | Требуется, если данные передаются за пределы РФ или иностранным сервисам | ст. 12 |
| Приказ о назначении ответственного за обработку ПДн | Определяет внутреннее лицо, отвечающее за соблюдение требований закона | ст. 22.1 |
| Регламент реагирования на инциденты | Порядок действий при утечке и уведомления регулятора | ст. 21 ч.4, ст. 19 |
Политика обработки персональных данных
Политика - центральный документ комплекта. Она должна быть размещена в свободном доступе, обычно отдельной страницей со ссылкой в подвале сайта. В политике описывают, какие данные собираются, для каких целей, кто имеет к ним доступ, сроки хранения и порядок их уничтожения, а также права субъекта персональных данных - на доступ, уточнение, отзыв согласия и удаление.
Важно, чтобы формулировки политики соответствовали фактической работе сайта. Если форма собирает телефон и email, а политика упоминает только email - это несоответствие, которое легко фиксируется при проверке.
Согласие пользователя и форма его получения
Согласие должно быть получено до начала обработки данных, а не постфактум. На практике это реализуется чекбоксом, который пользователь отмечает сам - предзаполненные галочки не считаются надлежащим согласием. Текст согласия обычно содержит ссылку на политику и краткое описание целей обработки.
| Элемент формы | Требование |
|---|---|
| Чекбокс согласия | Не должен быть отмечен по умолчанию |
| Ссылка на политику | Должна открываться и вести на актуальный текст |
| Кнопка отправки | Не должна быть активна без отметки согласия |
| Возможность отзыва | Должен быть указан способ отозвать согласие |
Отдельно стоит проверить формы на страницах акций и лендингах, которые часто верстают вне основного шаблона сайта и забывают добавить туда чекбокс согласия.
Уведомление Роскомнадзора и трансграничная передача
Оператор, который начинает обработку персональных данных, обязан уведомить об этом Роскомнадзор - это отдельная процедура, не заменяющая политику на сайте. Если сайт использует сервисы с серверами за рубежом - зарубежную аналитику, почтовые рассылки, CRM с иностранным хостингом - требуется оформить согласие на трансграничную передачу данных и убедиться, что страна назначения обеспечивает адекватную защиту персональных данных.
Уведомление о начале обработки касается и тех случаев, когда меняются цели или состав обрабатываемых данных - в этом случае в Роскомнадзор направляется актуализированная информация.
Регламент действий при инциденте
С 30 мая 2025 года за утечки персональных данных операторы могут привлекаться к оборотным штрафам - в виде процента от выручки компании, помимо действующих фиксированных санкций. Поэтому важно иметь не только документы «на бумаге», но и понятный внутренний порядок действий: кто уведомляет регулятора, в какие сроки, как фиксируется факт инцидента. По закону о неуведомлении об инциденте в течение 24 часов предусмотрена отдельная ответственность.
Наличие регламента не отменяет ответственности за саму утечку, но снижает риски дополнительных нарушений - например, за несвоевременное уведомление регулятора.
Что проверить у себя на сайте
- Есть ли страница с политикой обработки персональных данных и работает ли ссылка на неё из подвала.
- Соответствует ли текст политики реальному набору собираемых данных.
- Стоит ли чекбокс согласия отдельно от чекбокса подписки на рассылку.
- Не предзаполнено ли согласие по умолчанию.
- Указаны ли сроки хранения персональных данных.
- Есть ли отдельное согласие на трансграничную передачу, если используются иностранные сервисы.
- Назначен ли ответственный за обработку персональных данных внутри компании.
- Направлено ли уведомление в Роскомнадзор и актуально ли оно.
- Есть ли форма для отзыва согласия и обращения субъекта данных.
- Прописан ли порядок действий при инциденте с данными.
Частые вопросы
Нужен ли полный комплект документов небольшому сайту-визитке?
Если на сайте есть хотя бы форма обратной связи, собирающая имя и контакты, - да, минимум политика и согласие потребуются.
Можно ли использовать типовой шаблон политики из интернета?
Можно взять за основу, но текст обязательно нужно адаптировать под реальный состав данных и цели обработки конкретного сайта, иначе документ не будет соответствовать действительности.
Что грозит за отсутствие политики на сайте?
По ч.1 ст. 13.11 КоАП РФ для юридических лиц предусмотрен штраф от 10 000 до 30 000 рублей, при повторном нарушении суммы увеличиваются.
Как часто нужно обновлять документы?
При изменении состава собираемых данных, целей обработки или используемых сервисов - документы нужно актуализировать сразу, не дожидаясь плановой проверки.
Где взять готовый комплект под свой сайт?
Шаблоны основных документов собраны на странице /documents - их удобно использовать как отправную точку для собственного комплекта.
Если пока не уверены, какие документы уже есть на сайте, а каких не хватает, - стоит один раз пройтись по чек-листу выше и сверить его с фактическим состоянием страниц. Это не займёт много времени, а картина по сайту станет понятной.