ПЕРСОНАЛЬНЫЕ ДАННЫЕ НА САЙТЕ: ТРЕБОВАНИЯ 152-ФЗ В 2026 ГОДУ

Федеральный закон № 152-ФЗ определяет персональные данные как любую информацию, которая относится к прямо или косвенно определённому либо определяемому физическому лицу. Поэтому оценивать нужно не только название отдельного поля, но и контекст, в котором сведения позволяют связать информацию с человеком.

ТИПИЧНЫЕ ДАННЫЕ НА САЙТЕ

• Имя, фамилия и отчество, если сайт их запрашивает.
• Телефон и электронная почта, связанные с конкретным посетителем, клиентом или аккаунтом.
• Адрес, сведения о заказе, договоре или обращении, если они относятся к физическому лицу.
• Данные личного кабинета и регистрации: логин, идентификатор пользователя, история действий и другие связанные сведения.
• Технические идентификаторы и данные поведения могут требовать оценки в контексте конкретного сервиса и возможности определить пользователя прямо или косвенно.

По 152-ФЗ оператором может быть государственный или муниципальный орган, юридическое либо физическое лицо, которое самостоятельно или совместно с другими определяет цели обработки, состав персональных данных и действия с ними. Поэтому выражение «сайт является оператором» удобно в быту, но юридически оператором обычно выступает владелец бизнеса, организация, ИП или другое лицо, которое организует обработку.

Если компания размещает форму заявки, выбирает поля, получает контакты, решает, куда отправлять заявку и как долго её хранить, именно эти решения нужно описывать в документах и настройках.

СТАТУС БИЗНЕСА САМ ПО СЕБЕ НЕ РЕШАЕТ ВОПРОС

Обязанности возникают из фактической обработки. ИП, организация, самозанятый или физическое лицо могут попадать под требования закона, если в конкретной деятельности выступают оператором персональных данных. Поэтому начинать стоит не с формы регистрации бизнеса, а с карты процессов.

На одном сайте может быть несколько независимых целей обработки. Контакт из формы консультации нужен для ответа на обращение, адрес доставки — для исполнения заказа, электронная почта подписчика — для рассылки, а технические данные аналитики — для отдельной задачи. Смешивать всё в одну абстрактную цель «обработка персональных данных» неудобно и рискованно.

ПРОЙДИТЕ ПО ВСЕМ СЦЕНАРИЯМ

• форма обратной связи, расчёта стоимости или заказа звонка;
• регистрация и личный кабинет;
• оформление заказа и доставка;
• подписка на новости или рекламную рассылку;
• чат, обратный звонок и сторонние виджеты;
• комментарии, отзывы и загрузка файлов;
• аналитика, пиксели и другие сервисы, которые получают технические сведения о посетителях.

После этого для каждой точки полезно записать: какие поля или идентификаторы используются, зачем они нужны, куда поступают, кто имеет к ним доступ и когда обработка должна прекращаться.

Отдельно разберите формы и чекбоксы персональных данных и cookie и персональные данные: у этих точек сбора свои правовые и технические нюансы.

152-ФЗ требует законной и справедливой обработки, заранее определённых целей и соответствия состава данных этим целям. Закон прямо запрещает избыточность: если для первичного ответа достаточно имени и телефона, дополнительные сведения должны иметь самостоятельную понятную необходимость.

МИНИМАЛЬНАЯ ЛОГИКА ПРОВЕРКИ

1. Определить цели. Каждая цель должна быть конкретной и реальной.
2. Оставить необходимый состав данных. Поля формы и сведения в системах не должны быть избыточными относительно цели.
3. Определить правовое основание. Согласие — одно из оснований, но не единственное.
4. Описать сроки. Хранение не должно продолжаться бесконечно без основания и цели.
5. Проверить получателей и подрядчиков. Хостинг, CRM, почта и другие сервисы должны быть учтены в фактической схеме.
6. Обеспечить защиту. Организационные и технические меры выбираются с учётом реальной системы обработки.

Важно, что красивая страница политики сама по себе не делает обработку законной. Если документ говорит одно, а форма отправляет данные в другую систему, поля собираются без необходимости или фактический срок хранения не определён, проблему нужно исправлять в процессе, а не только в тексте.

Статья 6 152-ФЗ предусматривает несколько оснований обработки. Согласие субъекта — одно из них. В других ситуациях обработка может быть необходима для договора, действий по инициативе самого человека, исполнения обязанности по закону и по иным предусмотренным основаниям. Поэтому решение «ставить или не ставить обязательную галочку» нельзя принимать отдельно от конкретной цели формы.

Если используется именно согласие, действующая статья 9 требует, чтобы оно было конкретным, предметным, информированным, сознательным и однозначным. Оператор также должен уметь подтвердить факт его получения. Согласие на обработку персональных данных должно оформляться отдельно от другой информации и документов, которые подтверждает или подписывает человек.

ЧТО ЭТО ЗНАЧИТ ДЛЯ ИНТЕРФЕЙСА

• не ставьте отметку согласия заранее за пользователя;
• не объединяйте разные самостоятельные подтверждения одной общей формулировкой;
• связывайте текст согласия с реальной целью и составом данных;
• храните доказательство того, что пользователь совершил нужное действие и какую редакцию текста он подтвердил;
• отдельно анализируйте рекламу и рассылки: там могут возникать дополнительные требования.

Подробный разбор требований к тексту, форме и фиксации волеизъявления смотрите в статье «Согласие на обработку персональных данных на сайте».

Часть 2 статьи 18.1 152-ФЗ обязывает оператора обеспечить неограниченный доступ к документу, определяющему политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите. Если сбор идёт через интернет, документ должен быть опубликован в соответствующей сети, в том числе на страницах сайта, с которых осуществляется сбор, с возможностью доступа к нему.

ЧТО ПРОВЕРИТЬ НА ПРАКТИКЕ

• ссылка на политику открывается без авторизации и ошибки;
• она доступна на страницах, где происходит сбор данных;
• в документе указаны фактические цели, категории данных, сроки и реальные участники обработки;
• названия сервисов и маршруты данных совпадают с настройками сайта;
• после изменения форм, CRM, аналитики или инфраструктуры документ пересматривается.

Подробный состав политики лучше разбирать отдельно, потому что это самостоятельный поисковый и юридический вопрос. Здесь важно зафиксировать принцип: политика — публичное описание реальной системы обработки, а не универсальный шаблон для любого сайта.

Для структуры и содержания документа переходите к материалу «Политика обработки персональных данных для сайта».

По общему правилу статьи 22 152-ФЗ оператор до начала обработки обязан уведомить уполномоченный орган о намерении осуществлять обработку персональных данных. Закон содержит исключения, поэтому ответ зависит от конкретной схемы обработки. Проверять нужно не наличие сайта как такового, а реальные процессы и применимость исключений.

После подачи уведомления сведения оператора вносятся в реестр. Для владельца сайта полезно сверять реестр не только при первом запуске проекта: при изменении сведений об обработке могут возникать обязанности по обновлению информации.

Пошаговый порядок подачи и сроки разберём в статье «Уведомление Роскомнадзора об обработке персональных данных», а проверку записи оператора — в материале «Реестр операторов персональных данных».

После нажатия кнопки данные могут уйти сразу в несколько систем: встроенное хранилище платформы, корпоративную почту, CRM, таблицу, сервис аналитики или автоматизации. Поэтому список интеграций нужно проверять так же внимательно, как текст формы.

Для персональных данных граждан России действует требование локализации: при сборе, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение не должны выполняться с использованием баз данных, находящихся за пределами России, кроме прямо предусмотренных законом случаев. Последующая трансграничная передача регулируется отдельно статьёй 12 152-ФЗ.

ЧТО НУЖНО ЗНАТЬ О КАЖДОМ СЕРВИСЕ

• какое юридическое лицо оказывает услугу;
• какие именно данные сервис получает;
• для какой цели он участвует в обработке;
• где находится первичная база и другая инфраструктура;
• есть ли передача иностранным лицам или на территорию других государств;
• какими условиями оформлена порученная обработка, если она используется.

Проверка по одному названию сервиса редко достаточна. Условия, юридические лица и архитектура продукта меняются, поэтому сведения лучше сверять по актуальной документации поставщика и реальной конфигурации проекта.

Эти два вопроса разделяем: локализация персональных данных касается первичной работы с базами при сборе, а трансграничная передача — передачи данных за пределы России.

• Политика есть, но ссылка не открывается или отсутствует на странице сбора данных.
• Форма просит лишние сведения, которые не нужны для заявленной цели.
• Одна универсальная галочка одновременно пытается закрыть обработку заявки, рекламу, правила сервиса и другие самостоятельные действия.
• Согласие отмечено заранее и пользователь фактически не совершает однозначного подтверждающего действия.
• Документы не совпадают с реальными интеграциями: в политике нет фактически используемой CRM, почты или аналитики.
• Не проверена обязанность уведомить Роскомнадзор либо сведения в реестре устарели.
• Не проверено место хранения и маршрут данных через иностранные сервисы.
• Нет понятного срока или условия прекращения обработки, и данные остаются в системах без пересмотра.

Автоматическая проверка может обнаружить часть публичных признаков: формы, ссылки, документы, чекбоксы, подключённые сервисы и технические настройки. Но она не видит внутренние договоры, локальные акты, реальные права сотрудников и все серверные процессы. Поэтому результат нужно использовать как карту для дальнейшей проверки, а не как юридический сертификат.

Отдельно сверяйте административную ответственность за конкретный состав нарушения. Для этого в кластере есть отдельная статья «Штрафы за персональные данные на сайте».

Теоретически сайт может быть устроен так, что владелец не организует сбор персональных данных посетителей через пользовательские сценарии. На практике это нужно подтверждать по всей технической схеме: проверить серверные журналы, аналитику, сторонние виджеты, cookies, системы защиты, встроенные видео и другие компоненты.

Поэтому формулировка «у нас нет формы, значит 152-ФЗ не касается сайта» слишком упрощает вопрос. Нужно установить, какие сведения реально получают владелец и подключённые сервисы, можно ли связать их с определяемым физическим лицом и какую роль владелец сайта играет в этой обработке.