152‑ФЗ для владельцев сайтов: полный гид 2025

Дисклеймер: материал носит информационный характер и не является юридической консультацией. Законы и практика меняются; проверяйте актуальные требования под вашу ситуацию.

Что такое 152‑ФЗ простыми словами

152‑ФЗ — это закон о персональных данных. Если ваш сайт собирает данные, по которым можно идентифицировать человека (например, email, телефон, имя, cookie‑идентификаторы), вы становитесь участником процесса обработки персональных данных и обязаны соблюдать правила.

Практически: если у вас есть форма заявки, корзина, подписка на рассылку, чат‑виджет, аналитика, пиксели рекламы — вы почти наверняка затрагиваете персональные данные.

Кого касается закон

Владельцев и администраторов сайтов, которые:

• собирают заявки и лиды (email/телефон/имя);
• принимают заказы и оплаты;
• собирают поведенческие данные через аналитические инструменты;
• ведут рассылки;
• передают данные подрядчикам (CRM, коллтрекинг, онлайн‑чат, рассылочные сервисы).

Важно: “у меня маленький сайт” не отменяет требований. Риск обычно выше там, где много форм и маркетинговых интеграций.

Какие данные считаются персональными

Упрощенно, персональные данные — это любая информация, которая позволяет идентифицировать человека напрямую или косвенно:

• имя, фамилия, телефон, email;
• идентификаторы аккаунта, ID клиента;
• IP‑адрес (в связке с другими данными), cookie‑идентификаторы;
• данные заказа, адрес доставки;
• история обращений, переписка в чате.

Обязательные элементы на сайте: что должно быть

Ниже список “базовой комплектации”, которую чаще всего проверяют в аудитах.

Политика конфиденциальности

Минимально вы должны иметь страницу (например, /privacy), которая объясняет:

• кто оператор (организация/ИП, контакты);
• какие данные собираются и с какой целью;
• правовые основания;
• сроки хранения;
• кому передаются данные (подрядчики/обработчики);
• права субъекта ПДн и как отозвать согласие.

Ссылка на политику должна быть:

• в футере;
• рядом с формами сбора данных;
• желательно в cookie‑баннере.

Согласие на обработку персональных данных в формах

Если вы собираете данные через форму, обычно требуется:

• чекбокс (не предзаполнен);
• понятный текст согласия;
• ссылка на политику;
• фиксация факта согласия (минимум: timestamp + версия текста).

Пример (упрощённо):

<label>
  <input type="checkbox" required />
  Я согласен на обработку ПДн и принимаю <a href="/privacy">политику</a>.
</label>

Cookie‑баннер и управление согласиями

Если на сайте есть аналитика/пиксели/маркетинговые cookies, лучший практический минимум:

• баннер с кратким информированием;
• кнопка согласия;
• ссылка на документы;
• опционально: категории cookies (обязательные/аналитические/маркетинговые);
• важно: не загружать маркетинговые/аналитические скрипты до согласия.

Быстрый “первый сигнал” можно проверить инструментом: проверка cookie‑баннера.

Уведомление Роскомнадзора

В некоторых сценариях оператор обязан подать уведомление о намерении обрабатывать персональные данные. На практике обязанность зависит от конкретики: какие данные, какие цели, какие меры защиты и т.д.

Рекомендация: вынести вопрос в отдельный чек‑лист и оценивать по ситуации. Если сомневаетесь — лучше проконсультироваться и привести документы/процессы в порядок заранее.

Штрафы за нарушения: примеры логики

Штрафы зависят от состава правонарушения (КоАП), статуса субъекта (физ/ИП/юр), повторности и обстоятельств.

Чаще всего “бьют” по:

• отсутствию/неполноте политики;
• отсутствию согласия в формах;
• некорректной работе cookies и трекинга;
• отсутствию понятного механизма обращений и отзыва согласия.

Подробно с таблицей: “Штрафы за нарушение 152‑ФЗ: сколько и за что”.

Пошаговый чек‑лист проверки сайта (короткий)

1. Документы: политика конфиденциальности + (при необходимости) политика cookies.
2. Формы: чекбокс согласия + текст + ссылка + логирование.
3. Cookies/аналитика: баннер + согласие до загрузки тегов.
4. Подрядчики: где хранятся данные (CRM/чат/рассылка), есть ли договоры, кто обработчик.
5. Сроки хранения: указаны и соблюдаются.
6. Права субъекта: куда писать, как удалить/отозвать.

Частые вопросы

Нужен ли чекбокс согласия в каждой форме?

Если форма собирает ПДн, чаще всего да: пользователь должен явно согласиться и быть информированным. Исключения зависят от сценария (договорные отношения и т.п.), но для публичных сайтов безопаснее — делать согласие явно.

Достаточно ли ссылки на политику в футере?

Обычно нет: ссылки должны быть видны в момент ввода данных (в форме). Футер — это базовый минимум, но не заменяет информирование в форме.

Можно ли “просто поставить баннер” и не менять аналитику?

Если аналитика/пиксели грузятся до согласия, баннер часто становится “декорацией”. Правильная модель: баннер + техническая логика загрузки скриптов после выбора.

Как понять, что у меня есть риски штрафа?

Быстро: пройдите калькулятор рисков. Точно: сделайте автоматическую проверку домена и получите список нарушений и шагов исправления.