152-ФЗ для сайта: что должно быть на странице

Закон «О персональных данных» (152-ФЗ) — основа любых требований к работе с заявками, регистрациями и подписками на сайте. Он действует на сайт любого бизнеса, даже если на нём одна-единственная форма «Перезвоните мне». Хорошая новость — базовый набор обязательных элементов вполне понятный и закрывается за разумное время.

01Когда сайт попадает под 152-ФЗ

Если сайт хоть как-то собирает данные физических лиц — он попадает под закон. Имя, телефон, email, адрес, никнейм в мессенджере, IP в логах, идентификатор в системе аналитики — всё это персональные данные в логике 152-ФЗ. Формы обратной связи, корзина с регистрацией, чат-виджеты, всплывающие подписки на рассылку, личный кабинет — каждый такой элемент делает владельца сайта оператором персональных данных.

Из этого следуют три практических обязанности: уведомить Роскомнадзор о том, что вы обрабатываете данные; разместить на сайте политику обработки; получать согласия от посетителей перед сбором данных. Закон действует независимо от размера бизнеса — ИП, ООО и самозанятые попадают под него одинаково.

02Политика обработки персональных данных

Главный документ — политика обработки персональных данных. Она лежит на отдельной странице сайта (обычно `/privacy/` или `/politika/`) и в общих чертах содержит:

• Кто оператор: полное наименование, ИНН, юридический адрес, контакты.
• Какие данные собираются: имена, контакты, поведенческие данные, cookies.
• Цели обработки: обработка заявки, заключение договора, рассылка, аналитика.
• Основания обработки: согласие субъекта, исполнение договора, законные основания.
• Передача третьим лицам: подрядчики, платёжные сервисы, аналитика.
• Сроки хранения и порядок удаления данных.
• Права субъекта: запрос, отзыв согласия, удаление.

Ссылка на политику должна быть видна с любой страницы сайта — обычно её ставят в подвал и рядом с каждой формой. Чек-бокс согласия на формах оформляется как активная ссылка на эту страницу.

03Согласия на формах

Каждая форма, через которую посетитель отправляет данные, должна сопровождаться согласием. Стандартный вариант — чек-бокс «Я даю согласие на обработку персональных данных и согласен с политикой» со ссылкой на политику. Чек-бокс может быть по умолчанию снят или установлен — закон допускает оба варианта, но активное согласие надёжнее в спорной ситуации.

Если форма используется для маркетинговой рассылки или ретаргетинга, нужно отдельное согласие — общего согласия на «обработку данных» недостаточно. Это касается подписок на email, SMS, push-уведомления, передачу в рекламные кабинеты. Подробности по согласиям мы разбирали в материале о cookies-баннере.

Что должно быть на форме

• Чек-бокс или явное действие «Отправляя форму, я соглашаюсь…».
• Активная ссылка на политику обработки.
• Отдельная пометка, если данные пойдут в рассылку или рекламные системы.

04Уведомление Роскомнадзора

Перед началом обработки данных оператор обязан подать уведомление в Роскомнадзор. Это электронная форма на сайте ведомства, в которой указывается, кто обрабатывает данные, какие категории данных, в каких целях, где хранятся, какие меры защиты применяются. По итогам оператор попадает в публичный реестр.

Раньше для некоторых случаев действовали исключения — например, для данных сотрудников. С 2022 года требования ужесточились, и большинство бизнесов, у которых есть сайт с формами, обязаны подать уведомление. Точный текст и формы есть на сайте Роскомнадзора, мы при разработке сайтов сопровождаем клиента до подачи уведомления, а юридическую часть согласовываем с его юристами.

05Хранение данных на территории РФ

152-ФЗ требует, чтобы первичный сбор и хранение персональных данных граждан России происходили на серверах, расположенных в России. Это касается базы заявок, личных кабинетов, email-списков. На практике это означает выбор российского хостинга для основной базы и российских сервисов рассылок и аналитики.

При разработке сайта важно сразу планировать стек так, чтобы база данных, форма заявок и аналитика не «утекали» на зарубежные серверы. Использование зарубежных CRM или email-сервисов как основной системы — отдельный риск, который нужно учитывать на старте проекта.

06Cookies и онлайн-идентификаторы

Cookies, рекламные идентификаторы, данные счётчиков — формально тоже персональные данные, если позволяют идентифицировать пользователя. Поэтому на сайт нужен cookie-баннер с информированием и согласием. Подробнее о его составе мы написали в отдельной статье — согласие на cookies.

Cookie-баннер — это не маркетинговый виджет, а часть юридической инфраструктуры сайта. Его не должен править дизайнер «по ощущениям».

07Что ещё нужно учесть

Если на сайте есть оферта или условия пользования услугами, эти документы тоже должны быть доступны посетителю. О структуре оферты мы писали отдельно — публичная оферта на сайте. Для интернет-магазинов добавляются требования закона о защите прав потребителей и правила возврата.

Все три документа — политика, согласия, оферта — стоят рядом в подвале и в чек-боксах форм. Это базовый юридический «фундамент» сайта; над ним надстраиваются отраслевые требования (медицина, финансы, реклама, маркировка).

08Штрафы и риски

За нарушения 152-ФЗ предусмотрены административные штрафы — для юридических лиц они существенные и регулярно повышаются. Размеры зависят от типа нарушения и наличия повторности, конкретные суммы прописаны в КоАП и периодически меняются — точные цифры лучше уточнять в свежей редакции кодекса. Куда заметнее денежного штрафа — репутационные риски и предписание Роскомнадзора, после которого приходится срочно переделывать инфраструктуру.

Официальная документация по теме — сайт ФАС России.

Первоисточник: Федеральный закон «О персональных данных» № 152-ФЗ. Требования к согласию — в статье 9. Реестр операторов персональных данных — на сайте Роскомнадзора.