Если сайт собирает имя, телефон, e-mail или другие данные посетителей - он обрабатывает персональные данные, и на него распространяется 152-ФЗ. В 2026 году требования к операторам не изменились в главном: без набора внутренних документов и корректно оформленного согласия сайт остаётся уязвим для штрафов и претензий. Разберём, какие документы обязательны, зачем каждый из них нужен и что можно проверить на своём сайте прямо сейчас.
Коротко
- Любой сайт с формами (заявка, обратная связь, подписка, корзина) - оператор персональных данных.
- Базовый пакет документов включает политику обработки, согласие, форму отзыва согласия и приказ о назначении ответственного.
- Отсутствие или неправильное оформление согласия - одно из самых частых нарушений ст. 9 152-ФЗ.
- Штрафы по ч. 1 ст. 13.11 КоАП - 10 000-30 000 ₽, по ч. 2 - 60 000-100 000 ₽ за повторное или более серьёзное нарушение.
- Документы должны соответствовать реальной практике сайта, а не быть скачаны из интернета без изменений.
Кто обязан иметь документы оператора
Оператором персональных данных признаётся любое лицо - организация, ИП или физлицо, - которое определяет цели и способы обработки данных. Для сайта это означает: если на нём есть форма заявки, регистрация, подписка на рассылку, чат с оператором или интернет-магазин с оформлением заказа, владелец сайта обязан выполнять требования 152-ФЗ.
Обязанность оформить документы не зависит от масштаба бизнеса. Даже сайт-визитка с формой "оставить заявку" подпадает под действие закона, если в форме есть поле для телефона или e-mail. Разница только в объёме обработки: чем больше данных и чем шире цели их использования, тем детальнее должна быть документация.
Базовый пакет документов оператора
Ниже - минимальный набор документов, которые должны быть у любого сайта, обрабатывающего персональные данные.
| Документ | Зачем нужен | Норма закона |
|---|---|---|
| Политика обработки персональных данных | Публичный документ, объясняющий посетителям, какие данные собираются и как используются | ст. 18.1 152-ФЗ |
| Форма согласия на обработку данных | Фиксирует явное и информированное согласие субъекта до начала сбора данных | ст. 9 152-ФЗ |
| Порядок отзыва согласия | Даёт пользователю возможность в любой момент отказаться от обработки данных | ст. 9 152-ФЗ |
| Приказ о назначении ответственного за обработку ПДн | Определяет внутри организации лицо, отвечающее за соблюдение требований закона | ст. 22.1 152-ФЗ |
| Уведомление в Роскомнадзор | Информирует регулятора о факте обработки данных оператором | ст. 22 152-ФЗ |
Этот набор - база. В зависимости от специфики сайта (например, обработка данных детей, трансграничная передача, использование иностранных сервисов аналитики) список может расширяться.
Согласие на обработку: где чаще всего ошибаются
Форма согласия - самый уязвимый элемент. Частые ошибки: согласие "по умолчанию" (галочка уже стоит), отсутствие отдельного чекбокса для согласия на рассылку, размытые формулировки о целях обработки, отсутствие ссылки на актуальную политику конфиденциальности.
Согласно ст. 9 152-ФЗ, согласие должно быть конкретным, информированным и сознательным. Это значит: пользователь должен понимать, какие именно данные собираются, для какой цели и кто будет являться получателем. Общая фраза "согласен на обработку персональных данных" без деталей юридически уязвима.
Согласие, оформленное формально - без указания целей обработки и срока действия, - при проверке приравнивается к отсутствию согласия.
Ответственность за нарушения
Административная ответственность за нарушения в сфере обработки персональных данных установлена ст. 13.11 КоАП РФ. Часть 1 этой статьи (обработка данных без согласия или с нарушением условий обработки) предусматривает штраф от 10 000 до 30 000 ₽ для юридических лиц. Часть 2 (невыполнение обязанности по опубликованию политики обработки данных) - штраф от 60 000 до 100 000 ₽.
Штрафы применяются как при проверках Роскомнадзора, так и по жалобам субъектов данных. Наличие корректно оформленных документов - основной способ снизить риск привлечения к ответственности и показать добросовестность оператора.
Что проверить у себя на сайте
- На сайте опубликована политика обработки персональных данных, и ссылка на неё доступна из любой формы сбора данных.
- Чекбокс согласия не проставлен по умолчанию - пользователь ставит его сам.
- Формулировка согласия указывает конкретные цели обработки, а не общие фразы.
- Есть отдельное согласие на получение рекламной рассылки, если она предусмотрена.
- Указан порядок и способ отзыва согласия.
- Назначен ответственный за обработку персональных данных внутри организации.
- Подано уведомление в Роскомнадзор, если оно требуется для вида обрабатываемых данных.
- Cookie-баннер и настройки согласия на сбор технических данных корректно работают.
- Формы на сайте не собирают данные сверх заявленных целей.
- Документы актуализированы и соответствуют реальному функционалу сайта.
Частые вопросы
Нужны ли документы, если сайт собирает только e-mail для подписки?
Да. E-mail - персональные данные, и даже форма подписки требует согласия и указания в политике обработки.
Достаточно ли скачать типовой шаблон политики из интернета?
Шаблон можно использовать как основу, но документ должен отражать реальные цели и способы обработки данных именно на вашем сайте, иначе при проверке он будет признан формальным.
Кто может проверить сайт на соответствие 152-ФЗ?
Роскомнадзор проводит плановые и внеплановые проверки, а также реагирует на жалобы субъектов персональных данных.
Что делать, если на сайте уже есть форма, но нет ни одного документа?
Оформить базовый пакет документов как можно скорее: политику обработки, форму согласия и назначить ответственного - это минимизирует риск штрафа при проверке.
Как понять, каких документов не хватает именно моему сайту?
Состав пакета зависит от типа сайта, объёма и категорий обрабатываемых данных - это удобно свести в единый список документов под конкретный проект.
Полный перечень документов оператора, актуальные шаблоны и пояснения к каждому пункту собраны в разделе Документы. Если нужно оценить, что уже приведено в порядок на вашем сайте, а что требует доработки, можно пройти форму аудита.