На сайте есть форма «Оставьте телефон» или чат. Посетитель вписал имя и номер. Теперь у вас есть его персональные данные.
Закон 152-ФЗ «О персональных данных» называет оператором того, кто собирает такие сведения и решает, зачем они нужны [1]. Форма стоит на вашем сайте? Значит, оператор вы.
Для сайта закон ставит четыре главных требования:
- Сообщить Роскомнадзору, что вы работаете с данными. Такое сообщение называют уведомлением.
- Выложить на сайт политику обработки данных. Это ваши правила: какие данные вы берёте, зачем и как их защищаете.
- Брать у посетителя согласие отдельно от других документов.
- Записывать и хранить заявки на серверах в России.
Два требования появились в 2025 году. С 1 июля 2025 года данные россиян с сайта записывают и хранят только на серверах в России [5][6]. С 1 сентября 2025 года согласие оформляют отдельно от других документов [7][8]. А с 30 мая 2025 года выросли штрафы, в том числе за утечки и неподанное уведомление [2][3][4].
Если вам пришло письмо о персональных данных, разберите его по порядку:
- Посмотрите, кто его прислал. Если письмо пришло не от Роскомнадзора и предлагает купить документы или проверку, это реклама, а не требование ведомства.
- Убедитесь, что письмо правда от Роскомнадзора. Сайт ведомства rkn.gov.ru, там есть контакты управления вашего региона. Позвоните туда и назовите номер письма.
- Найдите в письме, какое из четырёх требований проверяют и какие сведения просят прислать.
- Ответьте в срок. На запрос Роскомнадзора закон даёт 10 рабочих дней с даты получения [26]. Срок продлят ещё на 5 рабочих дней, если до его конца отправить в ведомство объяснение причин [26]. Ответ ведомству лучше готовить с юристом.
Касается ли закон вашего сайта
Персональные данные это любые сведения, по которым можно понять, о каком человеке речь [1]. Имя вместе с телефоном как раз такие сведения.
Обработкой закон называет любое действие с данными, от сбора и хранения до передачи и удаления [1]. Поэтому закон касается сайта с формой заявки, чатом, онлайн-записью, подпиской на рассылку или личным кабинетом. Бумажные анкеты тоже под законом: обработкой считается и работа с данными без компьютера [1].
Оператором вы становитесь, даже если вас нет в реестре операторов Роскомнадзора [9].
Заявки может хранить подрядчик, например сервис CRM для учёта клиентов. Закон называет это поручением: вы поручаете сервису работать с данными ваших клиентов [10]. Условия поручения записывают в договор с сервисом [10]. Если вы приняли оферту сервиса, договором служит она, и условия ищут в ней. Перед клиентом за подрядчика всё равно отвечаете вы [10].
Нужно ли уведомлять Роскомнадзор
Почти всегда да. Уведомление подают до того, как начали обрабатывать данные [11]. Исключения в законе есть, но сайт с формой заявки под них не подходит [11].
Если форма работает давно, а уведомления нет, подайте его сейчас. За время, пока форма работала без уведомления, могут оштрафовать. Но за первое нарушение, которое никому не навредило, штраф могут заменить предупреждением [19][20].
Уведомление подают на портале персональных данных Роскомнадзора pd.rkn.gov.ru одним из трёх способов [12]:
- Через Госуслуги. За компанию подают из учётной записи, которая к ней привязана.
- С усиленной квалифицированной электронной подписью. По закону она равна подписи от руки.
- На бумаге. Форму заполняют на портале, распечатывают, подписывают и отправляют в управление Роскомнадзора по месту регистрации.
Какие поля заполнить, подскажет сама форма на портале. Заранее выпишите, зачем вы берёте данные: записать клиента, заключить договор, отправлять рассылку. Ещё понадобятся перечень данных, имя того, кто отвечает за обработку, и место, где хранится база [11]. Когда заявки хранит конструктор сайта, CRM или почта, база стоит на серверах этого сервиса. Как узнать, где они, рассказано ниже, в разделе «Серверы в России».
Подать уведомление можно бесплатно. В реестр операторов Роскомнадзор внесёт вас в течение 30 дней [11]. Если сменили место хранения базы или цель обработки, сообщите об этом до 15 числа следующего месяца [11].
Политика и согласие: два разных документа
Политика обработки данных описывает правила для всех посетителей сайта. Согласие подтверждает, что конкретный человек разрешил работать с его данными.
Проверки сайтов часто находят ошибки именно в этих двух документах [13][15].
Политика обработки данных
Политику обычно выкладывают отдельной страницей. Ссылку на неё ставят на каждой странице, где сайт собирает данные [14]. В политике или рядом с ней описывают, как вы защищаете данные [14].
Организации закон велит больше. Она назначает ответственного за обработку данных [14]. Ещё она издаёт внутренние документы по каждой цели обработки [14]. В них записано, какие данные и о ком организация берёт, как долго хранит и как уничтожает. ИП ответственного не назначает и таких документов не издаёт: закон этого от него не требует [14]. А политику на сайт ИП выкладывает так же, как организация [14].
Согласие отдельно от других документов
Отдельно значит, что согласие не объединяют с офертой, политикой и другими условиями, которые человек подтверждает [7][8]. Одна галочка «Принимаю оферту и политику, даю согласие» этому правилу не отвечает [7].
Согласие можно получить в любой форме, лишь бы это можно было подтвердить [7]. Доказывать, что согласие дали, придётся вам [7].
Надёжнее всего брать согласие у каждой формы. Закон разрешает обходиться без него лишь в отдельных случаях, например чтобы заключить договор по просьбе самого человека [10]. Но проверяющие отмечали формы без согласия как нарушение [13][15].
На сайте это выглядит так. Галочка согласия стоит отдельно от других и заранее не отмечена. Рядом ссылка на текст согласия.
Без галочки форма не отправляется, а сайт записывает, когда и на какой странице человек согласился. Так у вас остаётся доказательство.
Если сайт сделан на конструкторе, отправьте пробную заявку и откройте её в кабинете конструктора. Рядом с заявкой должны быть дата, время и отметка о согласии. Без такой отметки доказать согласие нечем.
Для обычной формы заявки галочки достаточно [7]. Сведения о здоровье закон относит к особым, и на них нужно письменное согласие [16]. Это касается и анкеты, где родитель пишет об аллергии ребёнка. Письменное согласие дают на бумаге или с электронной подписью [7].
Что написать в тексте согласия, перечислено в статье 9 закона 152-ФЗ [7]. Назовите себя и свой адрес, цель, перечень данных и действия с ними. Если данные обрабатывает подрядчик, укажите его название и адрес. В конце впишите срок согласия и способ его отозвать [7].
Где должны храниться заявки
Серверы в России
Данные россиян, которые собирает сайт, записывают и хранят на серверах в России [6]. Зарубежные серверы для этого использовать нельзя [6].
Форму встроили с чужого сервиса? Тогда заявки уходят туда, где их хранит этот сервис. С CRM, почтой и онлайн-таблицей так же: если их серверы за рубежом, заявки копятся там. Например, у почты Gmail и Google Таблиц серверов в России нет.
Узнайте у каждого сервиса, в какой стране стоят серверы с вашими данными. Страну обычно называют в оферте или в политике сервиса. Если её там нет, спросите поддержку. Ясного ответа не дали? Выберите сервис с серверами в России. В договор с сервисом, который работает с данными по вашему поручению, вписывают и правило о серверах в России [10].
Заявки на Gmail и передача за рубеж
Иногда форма отправляет заявку прямо на почту Gmail и больше нигде её не сохраняет. Тогда заявки при сборе записывают за рубежом. За это штраф от 1 до 6 млн ₽ [4][6].
Другой случай: сайт сначала сохраняет заявку на своём сервере в России, а на Gmail шлёт копию. Это уже передача данных за рубеж. До неё в Роскомнадзор подают отдельное уведомление [17].
Проще всего принимать заявки на почту с серверами в России. Тогда второе уведомление не нужно.
Счётчики посещений и чужие сервисы
Данные о посетителях собирает и счётчик посещений, например Яндекс Метрика. Роскомнадзор считал нарушением политику, в которой не сказано, какие данные собирают такие сервисы и зачем [18]. Поэтому назовите в политике каждый счётчик и чат, которые стоят на сайте.
Ещё одно типовое нарушение, по словам Роскомнадзора: сайт не предупреждает посетителей о файлах cookie [15]. Это небольшие файлы, которые сайт оставляет в браузере, чтобы узнать посетителя при следующем визите.
Сколько стоит нарушение
За первое нарушение, которое нашли при проверке, штраф могут заменить предупреждением [19]. Так бывает, если нарушение никому не навредило и не грозило вредом [20].
Если штраф всё же назначат, суммы возьмут из статьи 13.11 Кодекса об административных правонарушениях [4]. По части нарушений фирма из реестра малого и среднего бизнеса платит меньше остальных организаций [21]. Когда в статье есть сумма для ИП, такая фирма платит столько же. Когда нет, она платит половину суммы для организаций [21].
- Нет уведомления в Роскомнадзор или оно опоздало. От 100 до 300 тыс. ₽ и для ИП, и для любой организации [4]. Скидки для фирмы из реестра здесь нет [21].
- Нет политики на сайте. ИП и фирма из реестра платят от 10 до 20 тыс. ₽, другие организации от 30 до 60 тыс. ₽ [4][21].
- Данные берут без согласия и без другого основания из закона. ИП платит от 50 до 100 тыс. ₽, как руководитель компании [22]. Отдельной суммы для ИП в статье нет. Поэтому фирма из реестра платит от 75 до 150 тыс. ₽, другие организации от 150 до 300 тыс. ₽ [4][21].
- Заявки при сборе записывают за рубежом. От 1 до 6 млн ₽ и для ИП, и для любой организации [4].
Утечки наказывают строже. Если об утечке не сообщили в Роскомнадзор, штраф от 1 до 3 млн ₽ [4]. За утечку данных 1000 человек и больше штраф от 3 млн ₽. Чем больше людей, тем он выше [4]. Полный перечень нарушений и сумм есть в статье 13.11 [4].
Руководителя компании могут оштрафовать отдельно, лично [4][22]. За данные без согласия и основания ему грозит от 50 до 100 тыс. ₽, как ИП [4][22]. Ни по одному штрафу из этого раздела нет скидки в половину суммы за оплату в первые 20 дней [23].
Как проверить сайт самому
- Откройте реестр операторов на портале pd.rkn.gov.ru и найдите себя по ИНН [24]. Записи нет? Подайте уведомление [11].
- Пройдите по страницам, где есть форма или чат. На каждой должна стоять ссылка на политику [14].
- Отправьте заявку сами. Галочка согласия должна стоять отдельно, не быть проставленной заранее и вести на текст согласия [7].
- Выпишите, куда уходит заявка: на сервер сайта, в почту, CRM или онлайн-таблицу. Спросите у каждого сервиса, где физически стоят его серверы [6].
- Перечислите счётчики, чаты и другие сторонние сервисы на сайте. Опишите их в политике и предупредите посетителей о cookie [18][15].
- Проверьте договоры и оферты сервисов, через которые проходят данные клиентов. В разделе о персональных данных должны быть перечень данных, действия с ними и цели. Плюс обязанность хранить тайну и правило о серверах в России [10]. Чего-то не хватает? Напишите в поддержку сервиса или смените его.
- Сверьте сведения в реестре с политикой и с тем, что сайт делает сейчас [18]. Изменения подают до 15 числа следующего месяца [11].
- Если у вас организация, назначьте ответственного за обработку данных [14]. Опишите порядок действий при утечке. О ней сообщают в Роскомнадзор в течение 24 часов, итоги расследования присылают в течение 72 часов [25].
Коротко
- Форма или чат с именем и телефоном делают вас оператором [1].
- Уведомление в Роскомнадзор подают до начала обработки. Это бесплатно [11].
- Ссылка на политику стоит у каждой формы, а согласие оформляют отдельно [14][7].
- Заявки записывают и хранят на серверах в России. За зарубежные серверы и утечки штрафуют на миллионы рублей [6][4].
Можем проверить и техническую часть сайта: формы, галочку и запись согласий, cookie. А ещё выясним, куда на самом деле уходят заявки. Проверка стоит от 9 900 ₽. Точную сумму назовём до оплаты, после того как посмотрим ваш сайт.
Документы мы не продаём. Тексты политики и согласия, уведомление и ответ ведомству пишет юрист. Мы переносим его тексты на сайт: ссылки у форм, галочку и запись согласий. Если письмо от ведомства уже пришло, отправьте его в чат вместе с адресом сайта. Инженер покажет, что на сайте нужно поправить.
Статья описывает требования на день выхода, 12 октября 2026 года.