Сайт по 152-ФЗ: согласие на обработку персональных данных и защита
Согласие на обработку персональных данных на сайте — только верхушка. Под ней формы, куда уходят заявки, Метрика, cookie, шрифты и скрипты, которые тихо передают данные за рубеж. Проверяем сайт по чек-листу и исправляем техническую часть; тексты документов готовит юрист.
Что обычно не так
Шесть нарушений, которые мы находим почти на каждом сайте при первой проверке.
Галочка согласия стоит по умолчанию
Так согласие не считается добровольным. Посетитель должен отметить его сам.
Политики обработки данных нет или она скопирована с чужого сайта
Политика должна описывать ваши цели и данные, быть опубликована и доступна с каждой формы.
Google-шрифты, reCAPTCHA и зарубежные виджеты
Они передают данные посетителя на зарубежные серверы — это трансграничная передача, о которой нужно уведомлять.
Заявки падают в зарубежную почту или сервис
Первичный сбор данных граждан России должен идти в базы на территории России.
Нет cookie-баннера, а Метрика и Вебвизор работают
Посетителя нужно предупредить о cookie и аналитике и дать ссылку на политику.
Нет уведомления в Роскомнадзор
Почти все, кто собирает данные через формы, должны быть в реестре операторов.
Что должно быть на сайте по обработке персональных данных
Обработка персональных данных на сайте — любые действия с данными посетителей: сбор через формы, запись в CRM, аналитика, рассылки. Персональные данные на сайте организации — это не только ФИО и телефон, но и cookie, IP-адрес, данные Вебвизора, если их можно связать с человеком. Чек-лист того, что должно быть:
- Политика обработки персональных данных — опубликована, доступна по ссылке с каждой страницы, описывает ваши цели и состав данных. Пример структуры — наша политика обработки данных.
- Согласие на обработку — отдельным документом, с 1 сентября 2025 года оно не может быть пунктом в оферте или политике.
- Чекбокс согласия в каждой форме — не отмечен заранее, со ссылкой на текст согласия.
- Отдельное согласие на рассылку — если вы отправляете письма или сообщения с рекламой.
- Cookie-баннер — сообщает об аналитике и cookie и ведёт на политику.
- Хранение данных в России — формы, CRM и почта, куда уходят заявки, на серверах в РФ.
- Нет незаявленной передачи за рубеж — шрифты, капчи и виджеты загружаются с российских серверов или с вашего.
- Уведомление в Роскомнадзор — вы есть в реестре операторов, сведения актуальны.
- Защита данных — HTTPS, доступы к панели и CRM только у тех, кому нужно, журнал доступа.
- Порядок ответа на запросы — как человек может отозвать согласие или удалить свои данные.
Многие пункты — это правка форм и шаблона сайта. Если сайт старый и править его неудобно, поможет доработка форм.
Согласие на обработку персональных данных на сайте: как оформить
Согласие — отдельный документ, на который ведёт ссылка рядом с чекбоксом. В нём указывают, кто оператор: название, ИНН, адрес. Дальше — какие данные собираете и зачем, что с ними делаете, передаёте ли кому-то, сколько храните и как отозвать согласие.
Как выглядит чекбокс: пустой квадрат и фраза «Я даю согласие на обработку персональных данных» со ссылкой на текст. Кнопка «Отправить» не должна работать, пока галочка не поставлена. Согласие на рекламную рассылку — отдельной галочкой, не обязательной для отправки заявки.
Шаблон согласия и политики даём как стартовую точку. Но его нужно адаптировать под ваш бизнес: юрист проверяет цели, состав данных и передачу третьим лицам. Мы подключаем юриста-партнёра или работаем с документами вашего юриста. У образовательных организаций к этому добавляются требования Рособрнадзора к разделу «Сведения» — их разбираем на странице сайт для школы и онлайн-школы.
- Отдельный документ согласия
- Чекбокс без галочки по умолчанию
- Отдельное согласие на рассылку
Сбор персональных данных на сайте: формы, cookie, аналитика
Сбор данных идёт не только через формы. Аналитика и чужие скрипты собирают их незаметно для владельца сайта.
Формы заявок
Чекбокс, ссылка на согласие, отправка заявок в CRM и почту на серверах в России, без копий в зарубежных сервисах.
Яндекс Метрика и Вебвизор
Настраиваем Метрику и цели с учётом закона: предупреждение о cookie, маскирование полей форм в Вебвизоре.
Cookie-баннер
Короткий и понятный: какие cookie, зачем, ссылка на политику. Не мешает читать сайт на телефоне.
Внешние скрипты
Находим всё, что грузится с зарубежных серверов: Google-шрифты, reCAPTCHA, виджеты, карты. Заменяем на локальные или российские.
Хранение заявок
Где физически лежат данные: хостинг, CRM, почта. При необходимости переносим на сервер в России.
Доступы
Кто видит заявки в панели и CRM, как отключить доступ уволенному сотруднику, журнал входов.
Проверка сайта на персональные данные и юридический аудит
Аудит сайта по 152-ФЗ начинается с технической проверки: что сайт делает с данными на самом деле. Первичную проверку по чек-листу делаем на первом созвоне бесплатно.
- 01
Сканирование сайта
Проходим все страницы и формы, собираем список скриптов, cookie и внешних запросов.
- 02
Проверка форм и хранения
Куда уходит каждая заявка, где лежит, кто имеет доступ, есть ли чекбокс и ссылка на согласие.
- 03
Проверка документов
Есть ли политика и согласие, соответствуют ли они тому, что сайт делает на самом деле. Юридическую оценку даёт юрист-партнёр.
- 04
Проверка реестра
Есть ли вы в реестре операторов Роскомнадзора и совпадают ли сведения с реальностью.
- 05
Отчёт с приоритетами
Список нарушений: что исправить сразу, что можно позже. Вы получаете документ, который можно отдать своему юристу или разработчику.
Штрафы за нарушения 152-ФЗ на сайте
Ответственность за нарушения в работе с персональными данными установлена статьёй 13.11 КоАП РФ, за непредставление уведомления в Роскомнадзор — статьёй 19.7 КоАП. Штрафуют и компанию, и должностных лиц.
Что чаще всего становится поводом:
- обработка данных без согласия или без законного основания;
- отсутствие опубликованной политики обработки данных;
- сбор данных граждан России в базы за рубежом;
- неуведомление Роскомнадзора;
- утечка данных — самое дорогое нарушение: с 30 мая 2025 года за повторные утечки введены штрафы в процентах от выручки.
Суммы штрафов менялись в 2025 году и продолжают меняться, поэтому актуальные размеры смотрите в действующей редакции КоАП РФ или уточняйте у юриста. Помимо штрафа, Роскомнадзор может потребовать устранить нарушение и ограничить доступ к сайту.
Проверить сайт до проверки Роскомнадзора дешевле, чем разбираться после. Если нужен общий технический осмотр сайта, его даёт технический аудит сайта, а защиту от утечек — защита сайта.
Сколько стоит привести сайт в порядок
Вместе с юристом
техника плюс политика, согласия и уведомление в РКН от юриста-партнёра
Цена зависит от числа форм и шаблонов, CMS, того, сколько внешних скриптов нужно заменить, и нужен ли перенос данных на сервер в России.
Вопросы о сайте по 152-ФЗ
Нужно ли согласие на обработку персональных данных на сайте?
Как написать согласие на обработку персональных данных в 2026 году?
Что писать в согласие на обработку персональных данных?
Какова политика обработки персональных данных на сайте?
Нужно ли публиковать Политику обработки персональных данных на сайте компании?
Что должно быть на сайте по обработке персональных данных?
Кому не нужно уведомлять Роскомнадзор об обработке персональных данных?
Можно ли ставить чекбокс согласия по умолчанию?
Нужно ли согласие на cookie и Яндекс Метрику?
Можно ли использовать Google-шрифты и reCAPTCHA?
Вы пишете юридические документы?
Хранить заявки и данные в России проще на своём сервере в России. Аналитику, Метрику и цели после проверки настраиваем так, чтобы не терять данные о рекламе и заявках.
Обсудим ваш проект
Заявку читает руководитель проекта, а не колл-центр и не автоответчик.
Что будет после заявки
- Укажите удобный способ связи для обсуждения задачи.
- Созвонимся, чтобы понять задачу, цифры и ограничения.
- Предложим план: что сделать, в каком порядке, кто из команды подключится и сколько это стоит.
Заявка ни к чему не обязывает. Если задача окажется не нашей, скажем прямо и подскажем, куда обратиться.
Расскажите о задаче
Имени и телефона достаточно. Подробности можно добавить сразу или обсудить при звонке.