Коротко. Если на сайте есть форма, куда человек вводит имя, телефон или почту, владелец сайта обрабатывает персональные данные и должен выполнять 152-ФЗ. Обычно это политика обработки данных на сайте, отдельное согласие при отправке формы, уведомление Роскомнадзора и хранение данных в России.
Когда закон касается вашего сайта
Персональные данные — любая информация, по которой можно определить человека. Имя вместе с телефоном в заявке — уже персональные данные. Владелец сайта, который их собирает, становится оператором персональных данных. Это касается и компаний, и ИП, и самозанятых.
Если форм на сайте нет, но стоят счётчики посещаемости, вопрос тоже может возникнуть — об этом ниже.
Что обычно нужно сайту с формой заявки
1. Политика обработки персональных данных
Оператор, который собирает данные через интернет, обязан опубликовать на сайте документ о своей политике обработки данных и дать к нему свободный доступ (ст. 18.1 152-ФЗ). В политике описывают, кто оператор, какие данные и зачем собираются, как долго хранятся, как защищены и как человеку отозвать согласие.
Ссылка на политику должна быть рядом с формой и в подвале сайта.
2. Согласие — отдельным документом
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов. Галочка «согласен с политикой и условиями» в одном пункте больше не подходит. Нужен отдельный текст согласия и отдельная галочка при отправке формы.
Галочка не должна стоять заранее: человек ставит её сам. Без неё форма не отправляется.
3. Уведомление Роскомнадзора
До начала обработки данных оператор подаёт в Роскомнадзор уведомление и попадает в реестр операторов (ст. 22 152-ФЗ). Исключения есть, но они узкие, поэтому стоит проверить свой случай. Регистрационный номер из реестра удобно указать в политике.
4. Хранение данных в России
Первичная запись и хранение персональных данных граждан РФ должны идти в базах данных на территории России (ч. 5 ст. 18 152-ФЗ). С июля 2025 года это требование стало строже. Для сайта это значит, что заявка должна сначала попасть на сервер или в сервис, который хранит данные в России. Уже потом, если нужно, её можно переслать дальше.
Проверьте, куда уходят заявки: хостинг, сервис форм, CRM, почта.
5. Зарубежные сервисы и счётчики
Если данные посетителей передаются иностранным сервисам (например, зарубежной аналитике), это может считаться трансграничной передачей. О ней нужно отдельно уведомлять Роскомнадзор. Проще всего подключать такие сервисы только после согласия посетителя или не подключать вовсе.
А cookie-баннер обязателен?
Отдельного закона о cookie в России нет. Но идентификаторы из cookie вместе с другими данными о посещении могут считаться персональными данными. Поэтому на практике сайты:
- показывают баннер с выбором «принять» или «только необходимые»;
- включают счётчики аналитики только после согласия;
- публикуют отдельную страницу о том, какие cookie и зачем используются.
Так устроен и этот сайт: согласие оформлено отдельной страницей, счётчики загружаются только после согласия, есть политика обработки данных и политика cookie.
Чем грозят нарушения
В 2025 году ответственность за нарушения в работе с персональными данными (ст. 13.11 КоАП) заметно ужесточили, особенно за утечки. Размер штрафа зависит от нарушения и от того, кто оператор. Кроме штрафа Роскомнадзор может выдать предписание, а жалоба недовольного клиента нередко становится поводом для проверки.
Чек-лист для сайта
- Политика обработки персональных данных опубликована, ссылка есть у каждой формы и в подвале.
- Текст согласия — отдельный документ, галочка у формы отдельная и не стоит заранее.
- Форма не отправляется без согласия.
- Подано уведомление в Роскомнадзор, номер в реестре указан в политике.
- Заявки сначала сохраняются в России: хостинг, сервис форм, CRM.
- Зарубежные счётчики и сервисы включаются только после согласия.
- Есть баннер cookie и страница с описанием cookie.
- Понятно, кто в компании отвечает за данные и как человек может отозвать согласие.
Чем можем помочь
Мы делаем техническую часть: формы с отдельным согласием, баннер cookie, загрузку счётчиков только после согласия, приём заявок на сервере в России. Тексты политики и согласия лучше согласовать с юристом. Мы подскажем, какие данные реально собирает ваш сайт, чтобы документы им соответствовали. Напишите нам — контакты.