Многие думают, что закон о персональных данных касается только банков и крупных компаний. На деле как только на Вашем сайте есть форма заявки, Вы уже оператор персональных данных со всеми обязанностями. Ниже разберём, что является персональными данными на сайте, какие документы и формы нужны, какие требования к обработке и хранению действуют в 2026 году, чем грозят нарушения и как привести сайт организации в порядок без юридического тумана.
«Незнание закона не освобождает от ответственности».
Что является персональными данными на сайте
По 152-ФЗ «О персональных данных» это любая информация, которая прямо или косвенно относится к конкретному человеку. На сайте компании это прежде всего то, что посетитель вводит в формы: имя, телефон, электронная почта, название компании в связке с должностью, комментарий с подробностями о себе.
Сюда же относятся данные, которые сайт собирает сам: cookie-файлы и идентификаторы систем аналитики, IP-адреса, записи звонков через коллтрекинг. По отдельности они не всегда указывают на человека, но в связке с заявкой позволяют его определить, поэтому Роскомнадзор рекомендует учитывать их в политике обработки.
Когда Вы попадаете под закон
Форма обратной связи, заявка, обратный звонок, подписка, онлайн-чат, квиз с расчётом, всё это сбор персональных данных. Значит, применяется 152-ФЗ, и неважно, завод Вы или магазин, продаёте ли что-то онлайн или просто собираете заявки для отдела продаж.
Компания, которая собирает данные, называется оператором. Оператор отвечает за всё: за документы на сайте, за то, где хранятся данные, кто к ним имеет доступ и что с ними происходит, если сайт делал подрядчик или заявки уходят в стороннюю CRM.
Какие документы нужны на сайте организации
Персональные данные на сайте организации требуют нескольких документов. С 1 сентября 2025 года согласие на обработку оформляется отдельным документом, а не абзацем внутри политики или договора.
| Документ | Что в нём | Где разместить |
|---|---|---|
| Политика обработки персональных данных | Какие данные собираете, зачем, как храните и защищаете, кто оператор | Отдельная страница, ссылка в подвале каждой страницы |
| Согласие на обработку | Какие данные, для каких целей, на какой срок, как отозвать | Отдельная страница, ссылка у каждой формы |
| Согласие на рассылку | Разрешение присылать рекламные и информационные письма | Отдельная галочка, если есть подписка |
| Уведомление о cookie | Какие файлы и сервисы аналитики используются | Баннер при первом визите и раздел в политике |
Так устроен и наш сайт: политика, согласие на обработку и согласие на рассылку это три отдельные страницы, ссылки на них стоят в подвале каждой страницы и у каждой формы. Подробный разбор всех обязательных документов, включая оферту и пользовательское соглашение, в статье Какие документы должны быть на сайте компании.
Как оформить форму на сайте
Персональные данные форма на сайте собирает в момент отправки, поэтому именно форма чаще всего становится нарушением. Требования простые:
- Чек-бокс согласия у каждой формы, по умолчанию не отмеченный. Без галочки форма не отправляется.
- Активная ссылка на документ согласия и на политику рядом с чек-боксом.
- Только нужные поля. Если для ответа достаточно имени и телефона, не просите паспортные данные, должность и ИНН.
- Отдельная галочка на рассылку, если Вы собираетесь присылать письма. Её нельзя объединять с согласием на обработку.
- Фиксация согласия: дата, время и версия документа сохраняются вместе с заявкой.
Последний пункт часто упускают. Если придёт проверка или жалоба, компании нужно показать, что человек действительно дал согласие и на какой редакции документа. Для этого заявка с сайта должна попадать в CRM вместе с отметкой о согласии.
Требования к обработке и хранению персональных данных
Требования обработки персональных данных на сайте не ограничиваются документами. Закон спрашивает и с того, как данные хранятся и защищаются.
- Уведомление Роскомнадзора. С 1 сентября 2022 года почти любой оператор обязан до начала обработки подать уведомление в Роскомнадзор. Его подают онлайн на портале ведомства, а форма уведомления есть на сайте Роскомнадзора.
- Хранение в России. Базы данных с персональными данными россиян должны находиться в России. Это касается хостинга сайта, CRM, сервисов рассылок и форм.
- Трансграничная передача. Если данные уходят в зарубежные сервисы, об этом тоже нужно уведомить Роскомнадзор, а сама передача должна иметь основание.
- Защита и доступ. Доступ к заявкам только у тех сотрудников, кому он нужен, пароли, резервные копии, журнал действий.
- Уведомление об утечке. Если данные утекли, Роскомнадзор нужно уведомить в течение 24 часов, а о результатах расследования сообщить в течение 72 часов.
Хранение персональных данных на сайте начинается с выбора хостинга и почты с российскими дата-центрами. Что учитывать при выборе, разобрано в материале о хостинге, домене и почте.
Защита персональных данных на сайте
Защита персональных данных сайта это не отдельный продукт, а набор привычек: обновлённая система управления сайтом, защищённое соединение HTTPS, пароли без повторов, доступ к админке и CRM по ролям, резервные копии и проверка форм после каждого обновления.
«Безопасность это процесс, а не продукт».
Масштаб проблемы виден по статистике. По данным Роскомнадзора, в 2024 году ведомство зафиксировало 135 утечек, в которых в сеть попали более 710 млн записей о россиянах. Для небольшой компании утечка чаще всего случается не из-за хакеров, а из-за старого плагина, общего пароля к админке или выгрузки заявок в открытую таблицу.
Чем грозит несоблюдение в 2026 году
С 30 мая 2025 года штрафы по статье 13.11 КоАП выросли в разы. Основные суммы для юридических лиц:
| Нарушение | Штраф для компании |
|---|---|
| Нет политики обработки на сайте | 30 000–60 000 ₽ |
| Обработка без согласия | 300 000–700 000 ₽ |
| Не подано уведомление в Роскомнадзор | 100 000–300 000 ₽ |
| Не сообщили об утечке | 1–3 млн ₽ |
| Утечка, в зависимости от числа людей | 3–15 млн ₽ |
| Повторная утечка | 1–3% выручки, но не меньше 20 млн ₽ |
Проверка обычно приходит не по плану, а по жалобе: недовольный клиент, конкурент или человек, которому пришла рассылка без согласия. Поэтому аргумент «нас никто не проверял» не работает. Привести сайт в порядок дешевле, чем заплатить один штраф.
Что делать: порядок действий
- Составить список всех мест на сайте, где собираются данные: формы, квизы, чат, калькуляторы, подписка.
- Проверить, куда уходят заявки: почта, CRM, мессенджеры, таблицы, и где физически хранятся эти сервисы.
- Подготовить политику, согласие на обработку и согласие на рассылку отдельными документами. Содержание лучше доверить юристу.
- Поставить чек-боксы и ссылки у каждой формы и настроить фиксацию согласия.
- Подать уведомление в Роскомнадзор, если его ещё нет.
- Раз в год и после каждой доработки сайта проверять формы и документы заново.
Базовые вещи (политика, чек-боксы согласия, фиксация согласия в CRM) закрываются на уровне сайта. Мы закладываем их при разработке по умолчанию: в рамках услуги создание сайтов формы сразу настраиваются под 152-ФЗ, а по прайсу Maximus Media разработка сайта стоит от 250 000 ₽. Финальную юридическую чистоту стоит сверить с юристом, но технический минимум обязателен сразу.
Не уверены, что Ваш сайт соответствует требованиям? Проверим формы, документы и то, куда уходят заявки, при аудите сайта: по прайсу экспресс-аудит бесплатный. Подробнее о разработке на странице создания сайтов.
