Персональные данные на сайте: закон и как не получить штраф
Что такое персональные данные простыми словами
Тема «персональные данные: закон» кажется скучной, пока не приходит проверка или не случается утечка. Поэтому начну с основы. Персональные данные, по 152-ФЗ, это любая информация, по которой можно прямо или косвенно определить конкретного человека. Не только паспорт и адрес. Имя и телефон из формы заявки уже попадают под определение. Email, IP-адрес в связке с другими сведениями, данные о покупках, фото, голос тоже могут попасть.
Есть три группы, и разница между ними важна для штрафов:
- Обычные данные: ФИО, телефон, почта, адрес, должность. Именно их собирает почти любой сайт.
- Специальные категории: здоровье, политические и религиозные взгляды, сведения о судимости. Для клиники, стоматологии или психолога это повседневная работа.
- Биометрические данные: отпечатки, образ лица, голос, если они используются для идентификации.
Самая частая ошибка владельцев малого бизнеса: «у меня просто лендинг, никаких данных я не собираю». Если на странице есть форма с именем и телефоном, виджет обратной связи, чат, подписка на рассылку или кнопка «Заказать звонок», вы уже оператор персональных данных. Оператор здесь не «крупная компания», а любой, кто собирает и использует такие данные: ИП, самозанятый, ООО.
Ещё момент, который удивляет: «обработка» это не только хранение. Сюда входит сбор, запись, уточнение, передача, удаление. Когда заявка из Tilda уходит в CRM и на почту менеджера, это уже несколько действий и несколько мест, где данные лежат.
Что требует закон от владельца сайта
Базовых обязанностей у оператора несколько. Ниже то, что реально касается сайта, а не абстрактной юриспруденции.
1. Законное основание и согласие
Обрабатывать данные можно только при наличии основания. Для формы заявки это обычно согласие человека. Иногда достаточно договора, например когда клиент оформляет заказ и вы обрабатываете данные, чтобы его выполнить. Но для маркетинга, рассылок и «перезвоним, расскажем про акцию» нужно именно согласие.
С 1 сентября 2025 года поменялись правила оформления. Как пишут юридические и бухгалтерские издания, согласие на обработку нужно оформлять отдельно от других документов и сведений, которые человек подтверждает. Новые требования касаются согласий, полученных с этой даты, а не уже собранных ранее. Распространённая практика для сайта выглядит так: рядом с формой стоит чекбокс «Согласен на обработку персональных данных» со ссылкой на отдельный текст согласия. Галочка не должна быть заранее проставлена, а согласие нельзя прятать внутри пользовательского соглашения или оферты.
Также источники отмечают, что согласие должно быть более определённым: предметным и однозначным. На практике это значит, что в тексте нужно конкретно написать, какие данные вы берёте, для каких целей и что с ними делаете. Формулировка «для любых целей компании» не годится. Как именно эти критерии будут толковать проверяющие и суды, пока видно не до конца, поэтому текст согласия лучше показать юристу.
2. Политика обработки персональных данных
Оператор обязан опубликовать документ, который описывает, как он обращается с данными. Для сайта это отдельная страница, на которую ведёт ссылка из подвала и из формы. Хорошая политика отвечает на простые вопросы: кто вы, какие данные собираете, зачем, как долго храните, кому передаёте, как человеку отозвать согласие или потребовать удалить данные.
Не копируйте политику у конкурента. Я регулярно вижу сайты, где в политике указан чужой адрес, чужое название организации или сервисы, которых на сайте нет. Это и выглядит плохо, и при проверке сразу показывает, что документ формальный.
3. Хранение в России
Данные граждан России при сборе нужно записывать и хранить в базах на территории страны. Это требование действует давно, но его по-прежнему нарушают из-за зарубежных сервисов: форм, рассылок, CRM, аналитики и конструкторов. Если заявки с вашего сайта уходят в иностранный сервис, где они и остаются, это риск. Передача данных за границу при этом регулируется отдельно и требует уведомления Роскомнадзора. Один из блогов в выдаче утверждает, что строгие правила локализации появились именно в 2025 году, но проверить это по первоисточнику мне не удалось. Надёжнее ориентироваться на текст 152-ФЗ и разъяснения самого Роскомнадзора.
4. Меры защиты
Закон требует «правовых, организационных и технических мер». Звучит расплывчато, но для малого бизнеса это конкретные вещи: назначить ответственного за обработку данных, ограничить круг сотрудников с доступом, не пересылать списки клиентов в мессенджерах, использовать пароли и двухфакторную защиту, на сайте включить HTTPS, обновлять CMS и плагины.
5. Права человека
Любой человек вправе узнать, какие его данные у вас есть, потребовать исправить или удалить их, отозвать согласие. В политике должен быть понятный способ связаться с вами, а внутри компании нужен порядок ответа на такие запросы. Он простой, но его надо прописать заранее.
Регистрация в Роскомнадзоре: кому и как
Запрос «персональные данные регистрация в Роскомнадзоре» точнее называть так: это не регистрация, а уведомление об обработке персональных данных. Оператор по статье 22 закона обязан уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки. После этого сведения о вас вносятся в реестр операторов. По данным профильных изданий, срок внесения сведений около 30 календарных дней с момента получения уведомления.
Раньше многие слышали про исключения из этой обязанности, например для обработки данных только сотрудников. Поскольку правила менялись, не полагайтесь на «мне говорили, что можно не подавать». Если у вас есть сайт с формами для клиентов, самый безопасный вариант считать, что уведомление нужно, и сверить это с актуальной редакцией статьи 22 или с юристом. Я не юрист и не буду гадать про ваш конкретный случай.
Что важно знать о самом уведомлении:
- Подают его через сервисы Роскомнадзора или через Госуслуги, если у вас нет электронной подписи (способы уточняйте на официальном сайте ведомства).
- Сведения нужно указывать по каждой цели обработки: какие категории данных, чьи они, на каком основании, какие действия с ними выполняются. Общего описания «собираем заявки» недостаточно.
- Если сведения изменились (новый адрес, новые цели, новые базы), нужно направить информационное письмо. По данным источников, это делают до 15-го числа месяца, следующего за изменениями. Точный срок сверьте по закону.
- Если обработка прекращается, об этом тоже сообщают, по данным источников, в течение 10 рабочих дней.
Практический совет: перед заполнением уведомления составьте простую таблицу. В первой колонке цели (заявки, рассылка, оплата заказа), во второй данные, в третьей где они хранятся, в четвёртой кто имеет доступ. Тогда уведомление, политика и согласие будут говорить одно и то же. Расхождения между этими документами для проверяющего первый сигнал, что что-то не так.
Штрафы: сколько грозит в 2026 году
С 30 мая 2025 года наказания заметно ужесточились. Это произошло по закону №420-ФЗ от 30 ноября 2024 года, который изменил КоАП. Если коротко:
- Обычные нарушения по статье 13.11 КоАП (обработка без согласия, отсутствие политики, неисполнение запросов и так далее) стали стоить дороже. По данным нескольких изданий, за обработку без нужного согласия штраф для юрлиц составляет от 300 до 700 тысяч рублей, для должностных лиц от 100 до 300 тысяч. Раньше потолки были намного ниже: до 100 тысяч для компании.
- За утечки введены оборотные штрафы по статье 13.11.1. Для повторных нарушений они могут составлять от 1 до 3 процентов выручки, но не меньше 25 и не больше 500 миллионов рублей, как пишут источники. В разных публикациях встречаются разные нижние границы и диапазоны, так что точные суммы смотрите в тексте закона и актуальной редакции КоАП.
- Для утечек специальных и биометрических данных суммы выше, а за некоторые случаи предусмотрена и уголовная ответственность. Точные составы и наказания проверяйте отдельно.
Для малого бизнеса оборотные штрафы выглядят страшно, но важно понимать, как устроена система. Крупнейшие суммы предназначены для повторных и массовых утечек. Тем не менее обычный штраф в несколько сотен тысяч для ИП или небольшой компании тоже может серьёзно ударить по бюджету. А ещё в случае утечки вы обязаны уведомить Роскомнадзор. По данным источников, первичное уведомление нужно отправить очень быстро, в течение суток, а людей известить позже. Срок обязательно проверьте по тексту закона, потому что в открытых источниках он описывается по-разному.
Как в реальности начинаются проблемы? Обычно не с внезапной проверки на ровном месте. Чаще это жалоба клиента («мне звонят, хотя я не соглашался»), обращение в Роскомнадзор из-за спама, утечка базы у подрядчика или публикация в телеграм-каналах о слитых данных. Поэтому смотрите на ситуацию глазами человека, которому могут написать жалобу.
Как защитить персональные данные: чек-лист для сайта
Запрос «как защитить свои персональные данные» читают с двух сторон. Первая сторона это человек, который хочет защитить себя. Вторая это бизнес, отвечающий за чужие данные. Начну со второй, потому что вы, скорее всего, владелец сайта.
Что проверить на своём сайте
- Найдите все места, где собираются данные. Формы заявок, квизы, виджеты чата, калькуляторы, подписка, форма оплаты, всплывающие окна, кнопки мессенджеров, обратный звонок. Откройте сайт с телефона и пройдите путь клиента сами.
- Рядом с каждой формой должен быть чекбокс согласия без предустановленной галочки, со ссылкой на отдельный текст согласия. Кнопка отправки неактивна, пока галочка не поставлена.
- Ссылка на политику обработки в подвале каждой страницы и в формах. Убедитесь, что в политике ваши актуальные реквизиты и контакты.
- Куда уходят заявки. На почту, в CRM, в таблицу, в мессенджер? Перечислите все пункты. Если среди них есть иностранный сервис, подумайте о замене или проконсультируйтесь с юристом.
- Кто имеет доступ. Бывший подрядчик, уволенный менеджер, фрилансер, который делал сайт. Закройте лишние доступы и смените пароли.
- Технические основы. HTTPS, обновления, двухфакторная защита в аккаунте конструктора и почте, резервные копии.
- Cookie и аналитика. Если вы подключаете счётчики и ретаргетинг, сообщите об этом в политике. Отдельный баннер про cookie не всегда прямо предписан законом, но прозрачность снижает риск жалоб.
- Сроки хранения. Решите, сколько вы храните заявки без сделки, и удаляйте старые.
Как защитить свои данные как обычному человеку
- Указывайте в формах только то, что реально нужно для услуги. Если сайт просит дату рождения ради заявки на консультацию, это повод насторожиться.
- Не соглашайтесь на «всё сразу»: если согласие на рассылку объединено с согласием на сделку, вы вправе возразить.
- Пользуйтесь разными паролями и двухфакторной защитой в основных сервисах.
- Если вам звонят и пишут без вашего согласия, потребуйте у компании удалить ваши данные и прекратить обработку, письменно. При отсутствии реакции можно жаловаться в Роскомнадзор.
- Осторожнее с фото документов в переписке и мессенджерах.
Как это отражается на дизайне и конструкции сайта
Теперь о том, где закон встречается с моей работой. Часто компании делают «юридическую часть» в последний день перед запуском, и она выглядит как заплатка: чёрный мелкий текст внизу, серый чекбокс, который никто не замечает. Это плохо работает с обеих сторон: и для проверки, и для конверсии.
Чекбокс и форма: баланс между законом и заявкой
Любой лишний элемент в форме снижает отправку. Но галочка обязательна, значит её нужно сделать удобной. Что работает:
- Достаточный размер чекбокса для нажатия пальцем на телефоне.
- Короткая понятная фраза: «Согласен на обработку персональных данных» со ссылкой, а не абзац текста.
- Если ссылка открывается, то в новом окне или во всплывающем блоке, чтобы человек не потерял заполненную форму. На Tilda легко сделать так, чтобы страница согласия открывалась отдельно.
- Понятное сообщение об ошибке, если галочку не поставили. Просто «неактивная» кнопка сбивает людей с толку.
Отдельные страницы вместо одного «соглашения»
После изменений удобнее иметь отдельные страницы: политика обработки, согласие на обработку данных, при необходимости согласие на рассылку. Это тоже вопрос структуры сайта: страницы должны быть доступны из подвала, у них должна быть разметка, нормальные заголовки, читаемый шрифт. Полотно мелкого текста вызывает недоверие. Юридические тексты должны читаться, иначе формально они есть, а по смыслу их как будто нет.
Доверие как часть продаж
Для клиники, юристов, образовательных проектов, финансовых услуг прозрачная работа с данными часть доверия. Короткий блок рядом с формой «Мы используем ваши данные только для связи по заявке и не передаём третьим лицам» (если это правда!) повышает ощущение безопасности. Но только если это правда: нельзя обещать то, чего не делаете.
Что сломается на Tilda и как проверить
Самые частые проблемы на сайтах, которые мне приходилось видеть при доработках:
- Форма есть, а чекбокса нет, особенно в блоках, которые добавляли по одному и в разное время.
- Галочка есть, но она необязательная, и заявка уходит без неё.
- В подвале старая ссылка на политику или страница опубликована с ошибкой.
- Вспомогательные формы, например всплывающее окно или квиз, остались без согласия.
- В интеграциях заявки отправляются в сервис, о котором забыли в политике.
- Заявки приходят в общий чат, где сидят десятки людей, включая тех, кого давно нет в компании.
Решение чаще всего простое: один раз проходим по всем формам, приводим их к единому виду и фиксируем в таблице. Это часы работы, а не недели. Дороже обходится ситуация, когда нужно срочно переделывать сайт после жалобы.
План действий на неделю
Если юридическая часть вашего сайта устарела или её нет, вот реалистичный порядок:
- День 1. Составьте список всех форм и интеграций, куда уходят данные.
- День 2. Определите цели обработки (заявки, рассылки, оплата, аналитика) и сроки хранения.
- День 3. Подготовьте или обновите политику и текст согласия. Здесь лучше привлечь юриста, хотя бы для проверки.
- День 4. Исправьте формы: чекбоксы, ссылки, обязательность, подвал.
- День 5. Проверьте, нужно ли подавать или обновлять уведомление в Роскомнадзор, и сделайте это.
- День 6. Наведите порядок с доступами и паролями, настройте двухфакторную защиту.
- День 7. Проверьте сайт глазами клиента на телефоне, отправьте тестовые заявки и убедитесь, что всё работает.
И ещё раз про границы моей компетенции: я занимаюсь сайтами, поэтому могу привести в порядок формы, страницы, структуру и тексты на сайте. Но юридическую квалификацию вашей ситуации, формулировки документов и решение о необходимости уведомления лучше подтвердить у юриста или в официальных источниках: на сайте Роскомнадзора и в актуальной редакции 152-ФЗ. Закон менялся в последние годы не один раз и может меняться дальше.
Частые вопросы
Персональные данные: закон, о чём он и кого касается?
Основной закон это 152-ФЗ «О персональных данных». Он касается всех, кто собирает и использует сведения о людях: компаний, ИП, самозанятых, владельцев сайтов с формами заявок. Он определяет, на каком основании обрабатывать данные, как получать согласие, как защищать данные и какая ответственность предусмотрена за нарушения.
Что такое персональные данные простыми словами?
Это любая информация, по которой можно определить конкретного человека: имя, телефон, почта, адрес, фото, паспортные данные, данные о здоровье. Даже обычная заявка на сайте с именем и номером телефона считается обработкой персональных данных, и вы как владелец сайта отвечаете за то, что с ней происходит.
Как защитить свои персональные данные?
Сообщайте минимум сведений, читайте, на что даёте согласие, используйте разные пароли и двухфакторную защиту, не отправляйте фото документов без необходимости. Если вам звонят или пишут без согласия, потребуйте письменно прекратить обработку и удалить данные, а при отказе подайте жалобу в Роскомнадзор.
Нужна ли регистрация в Роскомнадзоре, если у меня сайт с формой заявки?
Формально это не регистрация, а уведомление об обработке персональных данных. Оператор по общему правилу подаёт его до начала обработки, и сведения вносятся в реестр. Есть исключения, а правила менялись, поэтому проверьте свой случай в статье 22 закона на сайте Роскомнадзора или у юриста.
Какой штраф за нарушение закона о персональных данных на сайте?
С 30 мая 2025 года штрафы выросли. По данным изданий, за обработку без нужного согласия юрлицо может заплатить от 300 до 700 тысяч рублей. За повторные утечки введены оборотные штрафы, до 500 миллионов. Точные суммы сверяйте с актуальной редакцией КоАП, статьи 13.11 и 13.11.1.
Нужно ли согласие в виде отдельного документа?
С 1 сентября 2025 года, по разъяснениям изданий, согласие оформляют отдельно от других документов и сведений, которые подтверждает человек. На сайте это обычно чекбокс без предустановленной галочки со ссылкой на отдельную страницу с текстом согласия. Формулировку лучше проверить у юриста.
