В 2026 году практически любой сайт - будь то интернет-магазин, корпоративный лендинг или форма подписки на рассылку - собирает персональные данные посетителей: имя, телефон, email, а иногда и данные из cookie-файлов. Как только сайт получает такую информацию от пользователя, его владелец становится оператором персональных данных со всеми обязанностями по 152-ФЗ "О персональных данных". Эта статья - обзорная точка входа для тех, кто только начинает разбираться в теме: какие требования закона касаются сайта, что нужно сделать в первую очередь и как проверить свой ресурс на соответствие.
Коротко
Если на сайте есть хотя бы одна форма, где пользователь оставляет имя, телефон, email или иные данные - вы оператор персональных данных. Закон 152-ФЗ требует от оператора выполнить несколько базовых шагов: разработать и опубликовать политику обработки персональных данных, получать согласие пользователей до обработки их данных, уведомить Роскомнадзор о начале обработки, хранить данные российских граждан на серверах в России и назначить ответственного за организацию обработки персональных данных. Без этого сайт формально нарушает закон, даже если данные используются добросовестно.
Кто такой оператор персональных данных
Согласно ст. 3 152-ФЗ, оператором признаётся любое лицо - юридическое или физическое, включая ИП, - которое самостоятельно или совместно с другими организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними. Для владельца сайта это означает: как только форма обратной связи, форма заказа, форма регистрации или подписки на новости начинает собирать данные посетителей, сайт становится инструментом обработки персональных данных, а его владелец - оператором.
Важно понимать, что статус оператора не зависит от масштаба бизнеса. Небольшой интернет-магазин с формой заказа обязан выполнять те же базовые требования, что и крупная компания, - разница лишь в объёме и сложности процессов обработки.
Основные требования закона к сайту
Ниже - пять базовых требований, с которых стоит начать приведение сайта в соответствие с 152-ФЗ.
1. Политика обработки персональных данных
Согласно ст. 18.1 152-ФЗ, оператор обязан опубликовать документ, определяющий политику в отношении обработки персональных данных, и обеспечить неограниченный доступ к нему. Для сайта это означает публикацию отдельной страницы "Политика обработки персональных данных" (обычно в подвале сайта), где описаны: какие данные собираются, для каких целей, кто имеет к ним доступ, сроки хранения и права субъекта данных.
2. Согласие на обработку персональных данных
Прежде чем данные будут переданы через форму на сайте, пользователь должен дать согласие на их обработку. Согласие оформляется явным образом - например, чекбоксом со ссылкой на политику обработки персональных данных, который не проставлен по умолчанию. Формулировка согласия должна быть конкретной: указывать цель обработки, перечень данных и оператора.
3. Уведомление Роскомнадзора
По ст. 22 152-ФЗ оператор до начала обработки персональных данных обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных - Роскомнадзор. Уведомление подаётся через сайт РКН и включает сведения о цели обработки, категориях данных, способах обработки и мерах защиты. Ст. 22.1 определяет порядок и содержание такого уведомления. Из этого правила есть исключения (например, обработка данных только своих работников), но для большинства коммерческих сайтов подача уведомления обязательна.
4. Локализация данных на территории России
Ч. 5 ст. 18 152-ФЗ обязывает операторов при сборе персональных данных, в том числе через интернет, обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных, физически расположенных на территории России. Проще говоря: первичное хранение данных пользователей из форм на сайте должно происходить на российских серверах, а не только у зарубежного хостинг-провайдера или CRM.
5. Назначение ответственного за обработку персональных данных
Согласно ст. 22.1 152-ФЗ, оператор обязан назначить лицо, ответственное за организацию обработки персональных данных, - это может быть сотрудник компании или отдельное подразделение. Ответственный контролирует соблюдение законодательства, работает с обращениями субъектов данных и организует внутренние проверки.
Таблица требований
| Требование | Норма 152-ФЗ | Что нужно сделать на сайте |
|---|---|---|
| Политика обработки персональных данных | ст. 18.1 | Опубликовать документ в открытом доступе, обычно в подвале сайта |
| Согласие пользователя | ст. 9 | Добавить чекбокс согласия у каждой формы сбора данных |
| Уведомление Роскомнадзора | ст. 22, 22.1 | Подать уведомление о начале обработки через сайт РКН |
| Локализация данных | ч. 5 ст. 18 | Хранить первичную базу данных пользователей РФ на серверах в России |
| Ответственный за обработку | ст. 22.1 | Назначить сотрудника приказом, закрепить его обязанности |
Что проверить у себя на сайте
- Есть ли на сайте отдельная страница с политикой обработки персональных данных и работает ли ссылка на неё из форм.
- Стоит ли у каждой формы (заказ, обратная связь, подписка, комментарии) чекбокс согласия, не отмеченный по умолчанию.
- Подано ли уведомление в Роскомнадзор и актуальны ли указанные в нём сведения - например, если появились новые формы сбора данных или изменились цели обработки.
- Где физически расположены серверы, на которых хранится база данных клиентов - у хостинг-провайдера, в CRM или в сервисе рассылок.
- Назначен ли приказом ответственный за организацию обработки персональных данных и знает ли он свои обязанности.
- Используются ли на сайте cookie-файлы и счётчики аналитики, требующие отдельного уведомления посетителей.
- Есть ли процедура на случай обращения пользователя с требованием удалить или уточнить его данные.
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если на сайте всего одна форма обратной связи?
Да, в большинстве случаев уведомление требуется независимо от количества форм - важен сам факт обработки персональных данных третьих лиц с целью, отличной от исполнения трудовых отношений. Точный перечень исключений закреплён в ст. 22.
Достаточно ли просто скопировать чужую политику обработки персональных данных?
Формально документ должен отражать реальные процессы конкретного сайта - какие данные собираются, кто их обрабатывает, какие сервисы используются. Скопированный без адаптации текст не защищает оператора при проверке.
Что будет, если проигнорировать эти требования?
Отсутствие политики, согласий или уведомления РКН - основание для проверки и привлечения оператора к административной ответственности, а также репутационный риск при жалобах пользователей.
С чего начать, если ничего из перечисленного на сайте ещё не сделано?
Начните с инвентаризации: выпишите все формы на сайте, какие данные они собирают и куда эти данные попадают. Это основа для составления политики, текста согласия и уведомления в РКН.
Список выше - это базовый минимум. Для точной оценки состояния конкретного сайта и подготовки необходимых документов удобнее пройти форму аудита: по её результатам будет понятно, какие именно требования 152-ФЗ уже выполнены, а что нужно доработать. Готовые образцы документов и разборы норм закона собраны в разделе Документы.