Оговоримся сразу: это не юридическая консультация, а практический разбор от разработчиков, которые приводят сайты в порядок. Если у Вас сложный случай — сбор медицинских данных, работа с детьми, передача данных за границу — Вам нужен юрист, а не статья.
Кто считается оператором
Оператор — тот, кто собирает и обрабатывает персональные данные. Порог входа низкий: достаточно одной формы с полем «Ваше имя» и «телефон».
Под определение попадают почти все коммерческие сайты: заявка на услугу, запись на приём, обратный звонок, подписка на рассылку, комментарии с указанием имени, корзина интернет-магазина, форма отзыва. Даже если заявок приходит две в месяц, статус оператора от этого не меняется.
Не попадают только сайты-визитки, где вообще нет форм и указан один телефон — но такие сегодня редкость, потому что без формы сайт теряет заявки.
Пять требований к сайту
1. Уведомление в Роскомнадзор. Подаётся до начала обработки данных, то есть до того, как форма на сайте заработает. Это бесплатно и делается через сайт РКН. Проверить, есть ли Вы в реестре операторов, можно на портале pd.rkn.gov.ru по ИНН. Это самый частый пропущенный пункт: политику на сайт ставят почти все, а уведомление подают единицы.
2. Политика обработки персональных данных в открытом доступе. Отдельная страница, ссылка на которую доступна с любой страницы сайта — обычно из подвала. Требование именно к доступности: документ должен открываться без регистрации и поиска.
3. Отдельная галочка согласия в каждой форме. Здесь три условия, и нарушается обычно последнее:
- согласие оформлено отдельным чекбоксом, а не строчкой «нажимая кнопку, Вы соглашаетесь»;
- чекбокс не проставлен заранее — человек ставит галочку сам;
- рядом ссылка на политику, открывающаяся в новой вкладке.
Предустановленная галочка юридически равна её отсутствию: согласие должно быть активным действием.
4. Баннер cookie с работающим отказом. Не просто плашка с кнопкой «Хорошо». Если посетитель отказывается от аналитики, счётчики не должны подключаться — вообще. Баннер, который показывает выбор, но грузит метрику в любом случае, хуже, чем его отсутствие: он документирует нарушение.
5. Реквизиты оператора. В политике должно быть указано, кто именно является оператором: наименование или ФИО, ИНН, адрес для обращений, почта для отзыва согласия. Без этого человек физически не может отозвать согласие, а значит документ не выполняет свою функцию.
Сколько стоит невыполнение
Размеры штрафов выросли — новые значения действуют с 30 мая 2025 года. По статье 13.11 КоАП:
- Обработка без законного основания (ч. 1): граждане 10–15 тыс. ₽, должностные лица 50–100 тыс. ₽, юридические лица 150–300 тыс. ₽
- Обработка без согласия, когда оно обязательно (ч. 2): должностные лица 100–300 тыс. ₽, юридические лица 300–700 тыс. ₽, при повторном — до 1,5 млн ₽
- Нет политики в открытом доступе (ч. 3): должностные лица 6–12 тыс. ₽, юридические лица 30–60 тыс. ₽
- Не подано уведомление в РКН (ч. 10): граждане 5–10 тыс. ₽, должностные лица 30–50 тыс. ₽, юридические лица 100–300 тыс. ₽
Для индивидуальных предпринимателей по большинству составов применяются санкции как для юридических лиц. С 1 января 2026 года такие дела рассматривают мировые судьи.
Обратите внимание на порядок цифр: штраф за отсутствие уведомления в РКН — от 100 тысяч для организации, при том что подача уведомления бесплатна и занимает полчаса.
Четыре ошибки, которые встречаются чаще всего
Политика с незаполненными пропусками. Документ скачали из генератора, вставили на сайт и не вычитали. Внутри остаётся что-то вроде «Оператор персональных данных: [укажите наименование]». Формально политика есть, фактически она не работает: отозвать согласие некуда, оператор не назван.
Галочка, проставленная по умолчанию. Разработчику так удобнее — конверсия форм чуть выше. С точки зрения закона согласия нет вообще.
Шрифты и скрипты с зарубежных серверов. Неочевидный пункт, который пропускают почти все. Когда сайт подключает шрифты с серверов Google, браузер посетителя обращается к зарубежному серверу и передаёт туда IP-адрес — а это персональные данные. Получается трансграничная передача, о которой в политике ничего не сказано. Решается переносом шрифтов на свой хостинг: заодно ускоряет загрузку страницы, потому что убирает обращение к чужому домену.
Формы-заготовки, о которых забыли. В админке остаются демонстрационные формы, созданные при настройке плагина. На сайте они не выведены, но существуют и теоретически доступны. Их нужно либо удалить, либо привести в тот же вид, что и боевые.
Чек-лист самопроверки
Десять минут, и Вы будете знать своё положение.
- Откройте свой сайт и найдите ссылку на политику обработки данных из подвала. Открывается?
- Прочитайте первый раздел политики: назван ли оператор, есть ли ИНН и почта для обращений, нет ли квадратных скобок с пропусками.
- Откройте любую форму заявки: есть ли отдельная галочка согласия и не стоит ли она заранее.
- Проверьте себя в реестре операторов на pd.rkn.gov.ru по ИНН.
- Нажмите в баннере cookie «отклонить» и посмотрите, перестала ли подключаться аналитика.
- Загляните в админку плагина форм: нет ли забытых заготовок без согласия.
Если хотя бы один пункт не сходится — это чинится за один вечер и стоит несопоставимо меньше штрафа.
Почему это стоит сделать не из-за штрафов
Вероятность внеплановой проверки для маленькой компании невысока — проверки чаще приходят по жалобе. Но есть вторая причина, более практичная.
Аккуратно оформленные документы — это сигнал, что компания настоящая. Человек, который сомневается, оставлять ли Вам телефон, смотрит на такие мелочи, даже не осознавая этого. Пустая политика с квадратными скобками сообщает ровно то же, что и неработающая кнопка или битая ссылка: здесь делали на отвяжись.
Плюс есть площадки, где без корректных документов Вас просто не пустят: модерация Яндекс.Директа проверяет наличие политики и реквизитов, и без них рекламу не запустить.
Что делаем мы
Приведение сайта в порядок по 152-ФЗ входит в разработку — отдельно за это мы не берём. Если сайт уже есть и сделан не нами, проверим его по этому же списку и скажем, что нужно поправить.
Работы обычно немного: переписать политику под реального оператора, добавить в формы корректный чекбокс, настроить баннер cookie с рабочим отказом, перенести шрифты на свой хостинг. Уведомление в РКН подаёте Вы сами — это делается от лица владельца бизнеса, за Вас его подать нельзя, но подскажем, как заполнить.
Наши цены и услуги — на странице услуг. Если нужен разбор конкретного сайта — напишите нам, посмотрим и ответим по пунктам.
