152-ФЗ на сайте: политика, согласия и реальные штрафы

Если на сайте есть хотя бы одна форма - заявка, обратный звонок, подписка, чат, - вы оператор персональных данных, и закон требует от вас три вещи: опубликовать политику обработки персональных данных, получать согласие явной галочкой рядом с формой и один раз подать уведомление в Роскомнадзор о том, что вы обрабатываете данные. Актуально на сентябрь 2026 года штрафы такие: нет политики на сайте - от 30 000 до 60 000 ₽ для организации, нет уведомления в Роскомнадзор - от 100 000 до 300 000 ₽, обработка без согласия - от 300 000 до 700 000 ₽, а при повторном нарушении от 1 до 1,5 млн ₽. Утечка данных клиентов начинается от 3 млн ₽. Ниже разбираем, что именно проверяют, как всё это выглядит на живом сайте и как закрыть основные риски за один рабочий день.

Сразу оговорка, чтобы не вводить в заблуждение: мы в Honey Hunters Digital не юристы и не оказываем юридических услуг. Наша часть - инженерная: формы, галочки, хранение данных, интеграции, хостинг, порядок в аналитике. Текст политики и согласий для сложных случаев лучше показать юристу, а вот техническую часть на сайте чаще всего ломает не закон, а невнимательность разработчика.

Кто считается оператором персональных данных

Оператор - это любая компания или ИП, которая собирает и обрабатывает данные людей. Персональные данные - это не только паспорт: имя, телефон, email, адрес доставки, а в спорных случаях и cookie-идентификатор с IP уже считаются данными, по которым человека можно определить.

Практическое следствие: под 152-ФЗ попадает почти каждый коммерческий сайт. Достаточно одного из признаков:

• форма заявки, заказа звонка, записи на приём или расчёта стоимости;
• подписка на рассылку или на новости;
• корзина и оформление заказа;
• личный кабинет с регистрацией;
• онлайн-чат или виджет обратной связи;
• резюме на вакансию, которое приходит на почту с сайта.

Отдельно отметим: обязанности оператора возникают и без сайта - как только у вас есть сотрудники, вы уже обрабатываете их персональные данные. Поэтому формулировка «у нас маленькая компания, нас это не касается» не работает: размер бизнеса на обязанности не влияет, влияет только объём последствий.

Что закон требует от владельца сайта: минимальный набор

Обязательный минимум для типового сайта услуг или каталога - пять пунктов. Их проверяют чаще всего, и именно они дают основную часть штрафов.

1. Политика обработки персональных данных опубликована на сайте и открывается по прямой ссылке без регистрации.
2. Согласие на обработку собирается явным действием: непредзаполненный чекбокс рядом с кнопкой отправки формы.
3. Уведомление в Роскомнадзор о начале обработки персональных данных подано, компания есть в реестре операторов.
4. Данные россиян хранятся на серверах в России (требование локализации), а трансграничная передача, если она есть, заявлена отдельно.
5. Внутренние документы есть в природе: приказ о назначении ответственного, перечень обрабатываемых данных, сроки хранения и порядок уничтожения.

Первые четыре пункта видны снаружи и проверяются без визита в офис. Пятый живёт в папке у руководителя, но всплывает при любом обращении субъекта или проверке.

Сколько стоят нарушения: таблица штрафов

Размеры выросли с 30 мая 2025 года, когда вступили в силу поправки 420-ФЗ. Ключевое изменение: штрафы за утечки стали измеряться миллионами, а за повторную утечку считаются от выручки. Цифры в таблице - для юридических лиц, по статье 13.11 КоАП РФ, актуально на сентябрь 2026 года.

Для должностных лиц и ИП суммы ниже, но тоже чувствительные: например, за обработку без согласия - от 100 000 до 300 000 ₽. Конкретную сумму внутри вилки определяет суд, и на неё влияет, устранили ли вы нарушение до разбирательства.

Обратите внимание на порядок величин. Отсутствие политики - это неприятная, но переносимая сумма. А вот утечка базы клиентов из плохо защищённой админки - это уже миллионы, плюс с декабря 2024 года за незаконный оборот персональных данных появилась уголовная ответственность (статья 272.1 УК РФ). Поэтому разумная логика приоритетов такая: сначала защитить данные, потом закрыть документы, а не наоборот.

Политика обработки персональных данных: что в ней должно быть

Политика - это публичный документ о том, какие данные вы собираете, зачем, сколько храните и как человек может их забрать. Скачанный из интернета шаблон с чужим названием компании хуже, чем ничего: он сам по себе доказывает, что документ не про вашу обработку.

Что должно быть в политике по-настоящему вашего сайта:

• полное наименование оператора, ИНН и адрес, контакты для обращений;
• перечень данных: например, имя, телефон, email, город - ровно то, что спрашивают формы на сайте;
• цели обработки по каждой категории: обработка заявки, доставка заказа, рассылка;
• правовые основания и то, какие действия вы совершаете с данными;
• сроки хранения и порядок уничтожения;
• кому данные передаются: CRM, служба доставки, сервис рассылок, колл-трекинг;
• права субъекта и понятный способ ими воспользоваться (адрес, куда писать запрос);
• дата последней редакции.

Технические требования к размещению простые, но их регулярно нарушают. Политика должна открываться отдельной страницей с постоянным адресом, быть доступна из подвала каждой страницы, отдавать код 200 и индексироваться (закрывать её от поиска незачем). PDF-файл вместо страницы - плохая идея: его не видно на телефоне и не открыть по ссылке из формы. Ещё одна частая беда: политика есть, но перечисленные в ней данные не совпадают с полями форм, потому что за год формы дорабатывали трижды, а документ - ни разу.

Согласие на форме: как сделать галочку, которая действительно работает

Согласие должно быть конкретным, информированным и сознательным. На практике это значит: человек сам ставит галочку, видит, на что соглашается, и может отправить форму только после этого. Предзаполненный чекбокс, мелкая серая строчка «отправляя форму, вы соглашаетесь» без ссылки или галочка, отмеченная скриптом при загрузке страницы, - это как раз та ситуация, за которую штрафуют по части 2 статьи 13.11.

Рабочий вариант выглядит так: рядом с кнопкой стоит непредзаполненный чекбокс, текст подписи короткий, а в нём живая ссылка на политику, открывающаяся в новой вкладке. Кнопка отправки неактивна, пока галочка не поставлена, и валидация работает на сервере, а не только в браузере.

Чек-лист по формам, который мы проходим на аудитах:

1. Галочка есть на каждой форме, включая всплывающие окна, виджет обратного звонка и подписку в подвале.
2. Галочка не отмечена по умолчанию, в коде нет атрибута checked.
3. Ссылка на политику рядом с галочкой открывается и ведёт на живую страницу, а не на 404.
4. Согласие на рассылку и рекламу - отдельная галочка, не смешанная с согласием на обработку заявки.
5. Поля формы не собирают лишнего: если для расчёта не нужна дата рождения, её не надо спрашивать.
6. Факт согласия фиксируется: в базе или в письме-заявке сохраняются дата, время, IP и версия текста согласия.
7. Форма отправляется только с проставленной галочкой, обойти её подстановкой в коде нельзя.
8. Поля с чувствительными данными (здоровье, документы) в открытые формы не выносятся вообще.

Пункт шестой пропускают чаще всего, а он самый полезный. Если человек через год заявит, что согласия не давал, спор решает запись: когда, с какой страницы и под каким текстом он поставил галочку. Без этой записи доказывать нечего.

Уведомление в Роскомнадзор: кто подаёт и что там указывать

Уведомление о начале обработки персональных данных подаётся один раз до начала обработки и не зависит от размера бизнеса. С 1 сентября 2022 года действуют всего три исключения: обработка без средств автоматизации (то есть на бумаге), данные в отдельных государственных системах и случаи из законодательства о транспортной безопасности. Сайт с формой заявки ни под одно из них не попадает.

Подать можно электронно через портал персональных данных Роскомнадзора; сведения об операторе вносят в реестр в срок до 30 дней. В уведомлении описывают состав данных, цели, категории субъектов, сроки обработки и меры защиты - и здесь важно, чтобы написанное совпадало с политикой на сайте и с полями форм. Расхождение между этими тремя источниками и есть то, что в разбирательстве выглядит хуже всего.

Если состав данных или цели меняются (запустили личный кабинет, начали собирать адреса доставки), уведомление нужно актуализировать. По опыту Honey Hunters Digital это самый забываемый пункт: компания подала уведомление при запуске сайта в 2021 году, с тех пор добавила интернет-магазин, чат и колл-трекинг, а в реестре по-прежнему записаны только «имя и телефон для обратной связи».

Метрика, пиксели, чаты и хостинг: где сайт нарушает незаметно

Самые дорогие риски прячутся не в тексте политики, а в подключённых сервисах и в том, где физически лежат данные. Требование локализации означает, что база с данными россиян должна находиться на серверах в России. Зарубежный хостинг, склад заявок в иностранном облаке или CRM без российских серверов - это уже вилка от 1 до 6 млн ₽.

Что проверить по технической части:

• Где лежит сайт и база. Если хостинг зарубежный, вопрос локализации возникает сразу. Как выбирать площадку и когда пора переезжать, мы разбирали в материале как выбрать хостинг для сайта.
• Куда уходят заявки. Часто форма дублирует данные сразу в три места: почту, CRM и таблицу. Все три должны быть в политике, а таблица «для удобства менеджера» обычно не должна существовать.
• Сторонние скрипты. Счётчики, пиксели, чаты и колл-трекинг ставят cookie и передают идентификаторы. Как минимум их нужно перечислить в политике и в уведомлении о cookie, как максимум - отказаться от тех, без которых обходитесь.
• Аналитика без персональных данных. Передавать в цели Метрики телефон или email клиента нельзя. Правильную схему учёта заявок мы описывали в статье про настройку целей в Яндекс Метрике.
• Доступы. Пароли от админки у трёх уволившихся сотрудников - это не юридическая проблема, а прямой путь к утечке, которая стоит миллионы.
• Резервные копии. Бэкап с базой клиентов, лежащий в открытой папке на том же сервере, - классика утечек. Проверяется за пять минут.

Отдельно про уведомление о cookie. Само по себе всплывающее окно закон прямо не требует так, как это делает европейский GDPR, но оно помогает: человек видит, что на сайте работает аналитика, и получает ссылку на политику. Полезное правило: не ставить баннер, который отмечает согласие на всё сразу и не даёт отказаться, - это ровно та формальность, которая не защищает, а выглядит попыткой обойти требование.

Утечка данных: 24 часа и 72 часа

Если данные утекли, у оператора очень короткие сроки: в течение 24 часов нужно сообщить в Роскомнадзор о самом инциденте, а в течение 72 часов - о результатах внутреннего расследования. Молчание квалифицируется отдельно и обойдётся от 1 до 3 млн ₽ дополнительно к штрафу за саму утечку.

Порядок действий, который стоит держать в одном файле заранее, вместе с контактами:

1. Зафиксировать факт: что именно утекло, за какой период, сколько человек в базе.
2. Закрыть дыру: сменить пароли и ключи, отключить скомпрометированные доступы, снять с публикации то, что доступно снаружи.
3. Сохранить логи веб-сервера и панели управления до того, как они провернутся по кругу.
4. Уведомить Роскомнадзор в первые 24 часа.
5. Провести расследование и отправить результаты в течение 72 часов.
6. Оценить, нужно ли предупредить клиентов, и сделать это честно, без формулировок про «технические работы».
7. Устранить причину, а не симптом: обновить CMS, закрыть уязвимость, убрать лишние копии базы.

Здесь хорошо видно, зачем нужны логи и бэкапы: без них невозможно ни оценить объём утечки, ни показать, что вы разобрались в причинах. И почти всегда выясняется, что вход был через давно не обновлявшуюся CMS или плагин.

План на один день: что успеть сделать сегодня

Большую часть рисков закрывает один рабочий день. Порядок - от самого дешёвого и быстрого к трудоёмкому.

1. Соберите список всех форм на сайте (включая всплывающие и виджеты) и полей в них. Это основа для всего остального.
2. Проверьте галочки. На каждой форме, не отмечены по умолчанию, со ссылкой на политику.
3. Откройте политику по ссылке из подвала. Код 200, дата редакции свежая, перечень данных совпадает со списком из пункта 1.
4. Проверьте себя в реестре операторов Роскомнадзора. Нет записи - готовьте уведомление. Есть, но устаревшая - актуализируйте.
5. Настройте фиксацию согласий в базе или в теле письма-заявки: дата, время, страница, версия текста.
6. Наведите порядок в доступах: уберите лишние учётные записи, смените пароли, включите двухфакторную аутентификацию там, где она есть.
7. Проверьте бэкапы и дампы: лежат вне публичной папки, скачать снаружи по прямой ссылке нельзя.
8. Обновите CMS и модули. Это единственный пункт, который может потребовать больше дня, но и самый важный для защиты от утечки.

Пункты с первого по пятый обычно занимают 3-4 часа работы разработчика. Шестой и седьмой - ещё пару часов. Обновление CMS считается отдельно и зависит от того, сколько лет её не касались.

Пять ошибок, которые не спасают

Эти вещи выглядят как выполнение требований, но не работают. Перечисляем, потому что встречаем их чаще всего.

1. Шаблонная политика с чужими реквизитами. Иногда в тексте остаётся название другой компании. Документ есть, а оператор в нём - не вы.
2. Строчка «отправляя форму, вы соглашаетесь» без галочки. Сознательного действия нет, доказать согласие нечем.
3. Галочка, отмеченная заранее «чтобы не терять конверсию». Потеря конверсии от честного чекбокса измеряется единицами процентов, вилка штрафа - сотнями тысяч рублей.
4. Одно согласие на всё сразу. Обработка заявки и рекламная рассылка - разные цели, и согласие на рассылку должно быть отдельным.
5. Политика есть, а данные лежат где попало. Выгрузка клиентов в общей папке облака, база на зарубежном сервере, дамп в корне сайта. Документы в порядке, риск максимальный.

Общий принцип: 152-ФЗ проверяется не по факту наличия документов, а по совпадению трёх вещей - того, что написано в политике, того, что заявлено в уведомлении, и того, что реально делает сайт. Расхождение между ними и есть нарушение.

Кому это поручить

Юридическую часть - формулировки политики и текстов согласий - лучше согласовать с юристом, особенно если вы работаете с медицинскими данными, детьми или биометрией. Всё остальное - это обычная работа по сайту: собрать формы, поправить чекбоксы, вынести политику на нормальную страницу, настроить фиксацию согласий, обновить CMS, разобраться с бэкапами и доступами.

Если заниматься этим некому, приходите в Honey Hunters Digital: техническую проверку сайта по 152-ФЗ и правки мы делаем в рамках поддержки и сопровождения сайтов. Базовый тариф - от 15 000 ₽ в месяц: 4 часа работ и «Красная кнопка» на срочные случаи; на этом объёме обычно и закрывается технический минимум по формам, политике и доступам. Сколько часов уходит на типовые задачи такого рода, видно в нашем разборе времени на типовые доработки сайта. Если проще обсудить голосом, напишите нам через контакты и опишите, что за сайт и какие формы на нём есть, - скажем, что критично, а что можно отложить.

А чтобы такие новости про штрафы и требования не проходили мимо, заглядывайте в наш телеграм-канал «Тусовка владельцев сайтов»: там мы коротко разбираем изменения, которые касаются обычных коммерческих сайтов, и показываем, что с ними делать на практике.

Частые вопросы

Нужна ли политика, если на сайте нет форм, только телефон?
Если сайт действительно ничего не собирает - нет форм, чата, подписки и счётчиков с идентификаторами, - политика на сайте не обязательна. Но обязанности оператора у компании остаются из-за данных сотрудников, а счётчик аналитики есть почти всегда, поэтому на практике политику размещают.

Можно ли взять шаблон политики из интернета?
Как основу - да, но его нужно привести в соответствие с вашим сайтом: реквизиты оператора, реальный перечень полей из форм, цели, сроки хранения и список сервисов, которым вы передаёте данные. Шаблон без правок не защищает и легко опознаётся по чужим формулировкам.

Что грозит за отсутствие уведомления в Роскомнадзор?
Для организации это от 100 000 до 300 000 ₽ по части 10 статьи 13.11 КоАП РФ. Уведомление подаётся один раз до начала обработки, электронно, и при изменении состава данных или целей его нужно актуализировать.

Нужно ли всплывающее окно про cookie?
Прямого требования именно такого баннера в российском законе нет, но уведомление о cookie полезно: оно информирует посетителя об аналитике и даёт ссылку на политику. Главное, чтобы оно не имитировало согласие, от которого нельзя отказаться.

Проверяет ли кто-то сайты сам, без жалоб?
Да. Наличие политики, корректность форм и запись в реестре операторов видны снаружи и проверяются без визита в офис, поэтому дело не обязательно начинается с жалобы клиента. Быстрее всего разбирательство запускает обращение человека, чьи данные не удалили по требованию.