Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» регулирует, как собирать, хранить и использовать сведения о людях. Если на вашем сайте есть хотя бы одна форма, закон касается и вас. Ниже — его суть без юридических оборотов.
Что такое персональные данные
Любая информация, по которой можно определить конкретного человека: имя, телефон, почта, адрес, фото, номер заказа вместе с именем. Роскомнадзор относит сюда и данные, которые собирают счётчики, — идентификатор в cookie, IP-адрес, сведения об устройстве, если по ним можно выделить посетителя среди других (какие данные собирает сайт).
Кто отвечает
Оператор — тот, кто решает, зачем и как обрабатывать данные. Для сайта это его владелец: компания, ИП или самозанятый (кто такой оператор). Хостинг, CRM и сервис рассылок действуют по вашему поручению, а отвечаете перед клиентами вы.
Главные правила закона
- Нужна цель. Данные собирают для конкретной цели и не больше, чем для неё нужно. Для обратного звонка достаточно имени и телефона — паспорт не нужен.
- Нужно основание. Чаще всего это согласие человека. Без согласия можно, например, исполнять договор с ним (когда согласие не нужно).
- Согласие — отдельно. С 1 сентября 2025 года согласие оформляется отдельным документом, а не пунктом в политике или оферте.
- Открытость. Оператор публикует политику обработки персональных данных.
- Уведомление. До начала обработки оператор сообщает о ней в Роскомнадзор.
- Хранение в России. Базы с данными граждан РФ должны находиться в России.
- Срок. Данные хранят, пока это нужно для цели, потом удаляют (сколько хранить заявки).
- Права человека. Он может узнать, какие его данные есть у вас, потребовать удалить их и отозвать согласие.
Что это значит для сайта
| На сайте есть | Что нужно |
|---|---|
| Форма заявки или обратного звонка | Политика, отдельное согласие с галочкой, уведомление РКН |
| Яндекс Метрика, пиксели рекламы | Cookie-баннер, запуск счётчиков после согласия (подробно) |
| Заявки уходят в CRM или мессенджер | Российский сервис, поручение обработки |
| Отзывы с именами и фото | Согласие на распространение (подробно) |
| Google Fonts, reCAPTCHA, YouTube | Замена или согласие: это передача данных за рубеж (подробно) |
Ответственность
Штрафы установлены статьёй 13.11 КоАП. Для организации: обработка без согласия — до 700 000 ₽, при повторном нарушении — до 1,5 млн ₽; нет политики на сайте — до 60 000 ₽; не подано уведомление — до 300 000 ₽. За утечки — отдельные и заметно более крупные штрафы (штрафы за утечку).
Штрафы считаются за каждое нарушение отдельно. Сайт без политики, без согласия и без уведомления — это три штрафа, а не один.
С чего начать
- Проверьте, какие данные собирает сайт: формы, счётчики, виджеты.
- Опубликуйте политику и отдельное согласие, поставьте галочку в каждую форму.
- Настройте cookie-баннер, если подключены счётчики.
- Подайте уведомление в Роскомнадзор.
Быстрее всего начать с проверки сайта — она покажет, чего не хватает.
