152-ФЗ о персональных данных: проверка сайта на соответствие и пошаговый аудит

Если на вашем сайте есть хотя бы одна форма обратной связи, кнопка «Заказать звонок» или установлена Яндекс.Метрика — вы являетесь оператором персональных данных. С 2024 года требования к защите данных ужесточились, а штрафы значительно выросли.

Что такое 152-ФЗ и почему это важно?

Федеральный закон № 152-ФЗ «О персональных данных» регулирует любую деятельность, связанную со сбором, хранением и обработкой информации о частных лицах.

К персональным данным (ПД) относятся не только паспортные данные, но и:

• ФИО, номер телефона, E-mail.

• Ссылки на профили в соцсетях.

• Файлы cookie, IP-адрес и данные о местоположении.

Риски для бизнеса: С 30 мая 2025 года в России кардинально ужесточилась ответственность за несоблюдение закона. За отсутствие уведомления Роскомнадзора о начале обработки данных компании грозит фиксированный штраф до 300 000 рублей. Если же на сайте произойдет утечка персональных данных, штрафы для юридических лиц составят от 3 до 15 млн рублей (в зависимости от масштаба утечки). За повторные инциденты предусмотрены жесткие оборотные штрафы — от 1% до 3% от годовой выручки компании (минимум 20 млн, максимум 500 млн рублей).

Что рекомендуется сделать владельцу сайта: Чек-лист

Владелец бизнеса несет полную юридическую и финансовую ответственность за сохранность данных своих клиентов, поэтому приведение сайта в соответствие с законом — это не просто формальность, а защита от блокировок и миллионных штрафов. 

Чтобы избежать претензий со стороны Роскомнадзора, необходимо выполнить следующие основные шаги:

1. Подать уведомление в Роскомнадзор. Это необходимо сделать до начала обработки данных. Проверить, есть ли вы в реестре, можно по ИНН на сайте РКН.

2. Разработать «Политику обработки персональных данных». Это общий юридический документ организации, который должен быть опубликован в открытом доступе со ссылкой в футере сайта.

3. Подготовить «Согласие на обработку персональных данных». Отдельный документ-текст, в котором четко прописано, какие именно данные (телефон, email, cookie) и для каких конкретных целей (например, «для обработки заказа») вы собираете.

4. Назначить ответственного. В компании должен быть официальный приказ о назначении лица, отвечающего за работу с ПД.

5. Локализовать данные. Все серверы и базы данных, где хранятся сведения о гражданах РФ, должны физически находиться на территории России.

Рекомендации по внедрению для SEO и разработки

Шаг 1. Документы в футере сайта

На каждой странице сайта в подвале (футере) должны быть доступны прямые ссылки на два обязательных документа:

• Политику конфиденциальности (общие правила компании).

• Пользовательское соглашение (обязательно, если на сайте есть личный кабинет или регистрация).

Шаг 2. Создание страницы Согласия

Создайте отдельную служебную страницу (например, /consent/), где будет размещен чистый текст «Согласия на обработку персональных данных» (с указанием ИНН компании, целей сбора и сроков хранения). Индексацию этой страницы в robots.txt закрывать не нужно — поисковики должны видеть, что документ открыт.

Шаг 3. Интеграция в формы сбора данных

Под каждой формой (обратная связь, заказ, регистрация) добавьте пустой чекбокс с текстом, например: «Нажимая кнопку, я даю Согласие на обработку ПД». Ссылка обязательно должна открываться в новом окне, чтобы введенные пользователем данные не сбрасывались при клике.

Шаг 4. Разделение маркетинговых и технических согласий

Если вы собираете данные и для обработки заказа, и для рекламной рассылки — это должны быть две разные галочки. Нельзя принуждать пользователя подписываться на рекламу ради покупки товара. Чекбокс рассылки может быть не отмечен, но заказ (обращение) при этом должен успешно отправляться.

Шаг 5. Отзыв и удаление данных

Реализуйте понятный механизм, позволяющий пользователю отозвать свое согласие. Для этого добавьте в текст документов пункт о том, что пользователь может отправить требование об удалении данных через стандартную форму обратной связи или письмом на специальный E-mail компании.

Правила настройки чекбоксов на сайте

Согласно актуальным трактовкам 152-ФЗ, согласие пользователя должно быть конкретным, информированным и сознательным. Это накладывает жесткие требования на интерфейс:

• Никаких «галочек по умолчанию»: Чекбокс должен быть пустым. Пользователь должен совершить активное действие — кликнуть по нему сам. Предустановленный выбор считается принуждением и нарушением закона.

• Отдельные чекбоксы для разных целей: Если вы хотите и «перезвонить по заявке», и «подписать на маркетинговую рассылку», это должны быть два разных чекбокса. Нельзя объединять согласие на обработку данных с подпиской на рекламу.

• Блокировка кнопки: Кнопка «Отправить» не должна быть активна (или форма не должна отправляться), пока пользователь не поставил галочку в чекбоксе согласия.

Как оформить текст у чекбокса: рекомендации юристов

Простой фразы «Я согласен» недостаточно. Чтобы минимизировать риски при проверках Роскомнадзора, текст должен содержать ссылки на оба обязательных документа.

Примерная формулировка:

«Нажимая кнопку (Название кнопки), я даю свое (Согласие на обработку персональных данных) и принимаю условия (Политики конфиденциальности)».

Рис. Правильно оформленный чекбокс в подвале формы

5 правил оформления «подвала» формы:

1. Две активные ссылки: Слова «Согласие на обработку персональных данных» и «Политики конфиденциальности» должны быть оформлены как две разные гиперссылки. При клике документы должны открываться в новой вкладке (target="_blank"), чтобы введенные данные в форме не стерлись.

2. Читабельность: Текст не должен быть «серым на сером» или слишком мелким. Роскомнадзор расценивает нечитаемый шрифт как попытку скрыть важную информацию.

3. Явное указание третьих лиц: Если данные из формы уходят в стороннюю CRM-систему, службу доставки или сервис аналитики, это должно быть прямо прописано в тексте Согласия с указанием юридических лиц этих сервисов. Прятать это запрещено.

4. Разделение согласий (рекламный блок): Если вы планируете делать рассылки, добавьте второй отдельный чекбокс: «Я хочу получать информацию об акциях и спецпредложениях». Помните: этот чекбокс пользователь имеет право не отмечать, и это не должно мешать ему отправить основную заявку.

5. Доступность на мобильных: Убедитесь, что на экранах смартфонов ссылки под формой остаются достаточно крупными, чтобы по ним можно было легко кликнуть пальцем.

Обязательное уведомление о файлах Cookie (Куки)

Многие владельцы сайтов ошибочно считают Cookie техническим мусором. Однако регулятор жестко относит их к персональным данным, так как по ним можно идентифицировать конкретного пользователя.

Что должно быть на сайте:

При первом посещении сайта пользователь должен увидеть сквозной баннер (плашку), уведомляющий, что ресурс собирает метаданные (файлы Cookie, данные об IP-адресе, браузере и местоположении).

Рекомендации к Cookie-баннеру:

• Наличие выбора (две кнопки): Баннер должен содержать две равнозначные кнопки — «Принять» и «Отклонить». Нельзя оставлять только вариант «Ок».

• Ссылка на документ: Прямая ссылка на Политику конфиденциальности (или отдельную Политику Cookie), где простыми словами прописано, какие именно файлы собираются и зачем.

• Поведение баннера: Если пользователь проигнорировал плашку и не нажал ни одну из кнопок, баннер должен продолжать висеть, не перекрывая критически важный контент.

Что внедрить на сайт: Техническое задание для программиста

Для соответствия закону техническая реализация должна быть безупречной.

Итоговый чек-лист для проверки сайта по 152-ФЗ:

• Документы в футере: Страница и ссылка на «Политику конфиденциальности» (и «Пользовательское соглашение», если есть регистрация) присутствует в футере на каждой странице сайта.

• Страница Согласия: Создана отдельная страница с текстом «Согласия на обработку персональных данных».

• Чекбокс согласия с ПД: В каждой форме сбора данных есть пустой чекбокс. По умолчанию он должен быть пустым — автоматическая галочка запрещена. Этот чекбокс отвечает только за обработку заявки.

• Две активные ссылки: Текст у каждого чекбокса содержит две работающие гиперссылки — и на Политику, и на Согласие. Обе открываются в новой вкладке (target="_blank").

• Блокировка отправки: Кнопка отправки формы не работает, пока пользователь физически не поставит галочку в чекбокс.

• Разделение рекламы и заказов: Маркетинговые рассылки вынесены в отдельный, второй чекбокс (например, «Хочу получать скидки и акции»). Эта галочка также должна быть пустой по умолчанию, а её отсутствие не должно мешать пользователю отправить форму или совершить покупку. 

• Cookie-баннер: Настроен и работает куки-баннер с двумя равнозначными кнопками («Принять» и «Отклонить») и ссылкой на Политику.

• Безопасность (HTTPS): Сайт работает по защищенному протоколу HTTPS, настроен автоматический перенаправитель (редирект) со старого HTTP.

• Локализация данных: База данных клиентов, CRM-система и сам сайт физически находятся на серверах российского хостинг-провайдера.