Представьте ситуацию: предприниматель запускает небольшой сайт, настраивает рекламу, размещает кнопку «Оставить заявку», подключает Яндекс Метрику и CRM-систему. Посетители оставляют имена и номера телефонов, менеджеры получают заявки, а бизнес начинает привлекать клиентов.
Всё выглядит совершенно обычно. Но есть один нюанс: владелец сайта может даже не подозревать, что уже осуществляет обработку персональных данных и обязан соблюдать требования российского законодательства.
Причём речь идёт не только о крупных компаниях и интернет-магазинах. Даже обычный одностраничный лендинг, сайт-визитка или рекламная страница с формой обратной связи могут подпадать под действие Федерального закона № 152-ФЗ «О персональных данных».
В 2026 году требования к обработке персональных данных остаются одним из важнейших направлений государственного регулирования цифрового бизнеса. Роскомнадзор контролирует соблюдение законодательства, а административные санкции за нарушения могут достигать миллионов рублей. В отдельных случаях повторных нарушений оборотные штрафы могут составлять до 500 млн рублей.
Ваш сайт может выглядеть идеально с точки зрения маркетинга, дизайна и продаж, но при этом иметь серьёзные юридические недостатки.
Разберём, какие требования предъявляются к сайтам, за что штрафуют владельцев интернет-ресурсов, какие документы необходимо подготовить и как бесплатно проверить свой сайт с помощью ИИ КОДЕКС.
🔍 1. Что такое 152-ФЗ и кого он касается?
Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» регулирует отношения, связанные со сбором, хранением, использованием, передачей и иной обработкой персональных данных физических лиц.
Согласно статье 3 закона, персональные данные — это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
К таким сведениям могут относиться:
- 👤 Фамилия, имя и отчество.
- 📱 Номер мобильного телефона.
- 📧 Адрес электронной почты.
- 🏠 Адрес проживания.
- 🪪 Паспортные данные.
- 💼 Сведения о месте работы.
- 🛒 Информация о заказах и обращениях.
- 🌐 Идентификаторы пользователей и иные сведения, позволяющие определить человека.
Важно понимать: закон касается не только организаций, которые собирают паспортные данные или заключают договоры с клиентами.
Если компания получает через сайт имя и номер телефона потенциального покупателя, она уже может выступать оператором персональных данных.
Например:
- 🏥 Медицинская клиника размещает форму записи на консультацию.
- 🏢 Агентство недвижимости собирает контакты потенциальных покупателей.
- 🏗️ Строительная компания предлагает бесплатный расчёт стоимости строительства.
- ⚖️ Юридическая фирма принимает заявки на консультацию.
- 🛍️ Интернет-магазин получает данные для оформления заказа.
- 📊 Маркетинговое агентство собирает заявки на рекламные услуги.
- 🚗 Автосалон предлагает записаться на тест-драйв.
Во всех этих ситуациях необходимо оценивать правовые основания обработки информации и обязанности оператора.
Кто такой оператор персональных данных?
Оператором может выступать юридическое лицо, индивидуальный предприниматель или физическое лицо, которое самостоятельно либо совместно с другими лицами организует и осуществляет обработку персональных данных.
Именно оператор несёт ответственность за соблюдение установленных законом требований.
🚨 2. Почему даже обычный лендинг может нарушать закон?
Это один из самых недооценённых рисков современного интернет-бизнеса.
Многие предприниматели считают, что требования 152-ФЗ касаются только крупных сайтов, где пользователи регистрируются, создают личные кабинеты и совершают покупки.
На практике всё значительно шире.
Рассмотрим типичный одностраничный сайт.
На нём размещены:
- 📝 Форма «Оставить заявку».
- 👤 Поле для ввода имени.
- 📱 Поле для номера телефона.
- ☎️ Кнопка «Заказать звонок».
- 📈 Яндекс Метрика.
- 💬 Виджет онлайн-консультации.
- 🔗 Интеграция с CRM-системой.
Посетитель оставляет контактные данные, после чего они передаются менеджеру или автоматически сохраняются в CRM.
В этот момент возникает необходимость определить, кто является оператором данных, на каком основании осуществляется обработка, где хранятся сведения, кому они передаются и какие документы регулируют этот процесс.
Какие нарушения могут обнаружиться на обычном лендинге?
- ❌ Отсутствует опубликованная политика обработки персональных данных.
- ❌ Согласие на обработку персональных данных оформлено ненадлежащим образом.
- ❌ Согласие объединено с другими документами вместо отдельного оформления.
- ❌ Не определены цели и правовые основания обработки.
- ❌ Не выполнена обязанность по уведомлению Роскомнадзора.
- ❌ Используются сторонние сервисы без надлежащего оформления отношений с обработчиками данных.
- ❌ Не соблюдаются требования локализации персональных данных.
- ❌ Не обеспечена необходимая защита информации.
- ❌ Не определены сроки хранения и порядок уничтожения данных.
Отдельно следует обратить внимание на cookies, IP-адреса, идентификаторы и системы веб-аналитики. В зависимости от того, какие сведения собираются и позволяют ли они прямо или косвенно идентифицировать пользователя, такая информация также может относиться к персональным данным.
Отсутствие интернет-магазина не означает отсутствие обязанностей перед Роскомнадзором. Важно не количество страниц сайта, а то, какие данные собираются и как именно с ними работают.
Пример: как небольшой сайт создаёт юридический риск
Предприниматель запускает рекламный лендинг для продажи строительных услуг.
Посетитель вводит имя и номер телефона, нажимает кнопку «Получить консультацию», а информация автоматически поступает в CRM-систему.
При этом владелец сайта:
- Не разместил полноценную политику обработки персональных данных.
- Не оформил отдельное согласие, когда оно необходимо.
- Не проверил обязанность уведомить Роскомнадзор.
- Не проверил место первичного хранения заявок.
- Не оформил надлежащим образом передачу обработки данных подрядчику.
С точки зрения маркетинга сайт работает прекрасно. Реклама приводит клиентов, заявки поступают, менеджеры продают услуги.
Но юридическая сторона процесса остаётся без внимания.
Именно такие ситуации необходимо выявлять до того, как они станут причиной претензий и административной ответственности.
🏛️ 3. Основные требования Роскомнадзора к сайтам в 2026 году
Разберём ключевые обязанности оператора персональных данных.
📄 3.1. Политика обработки персональных данных
В соответствии со статьёй 18.1 152-ФЗ оператор обязан принимать меры для соблюдения законодательства о персональных данных.
Если данные собираются через интернет, на соответствующих страницах сайта необходимо опубликовать документ, определяющий политику оператора в отношении обработки персональных данных, и обеспечить свободный доступ к нему.
Политика должна соответствовать реальным процессам компании.
В ней необходимо отразить:
- Кто является оператором персональных данных.
- Какие категории данных собираются.
- С какой целью осуществляется обработка.
- На каком правовом основании обрабатываются сведения.
- Какие действия совершаются с данными.
- Кто может получать доступ к информации.
- Сроки хранения персональных данных.
- Порядок прекращения обработки и уничтожения данных.
- Права субъектов персональных данных.
⚠️ Просто разместить в подвале сайта документ с названием «Политика конфиденциальности» недостаточно.
Если документ не соответствует фактической деятельности компании, он не решает проблему соблюдения законодательства.
☑️ 3.2. Отдельное согласие на обработку персональных данных
С 1 сентября 2025 года действует важное изменение, внесённое Федеральным законом № 156-ФЗ от 24 июня 2025 года.
Согласно обновлённой редакции статьи 9 152-ФЗ согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает пользователь.
Для владельцев сайтов это особенно важно.
Например, распространённая ситуация:
Под формой заявки размещена одна галочка:
«Я согласен с политикой конфиденциальности и условиями обработки персональных данных».
Такой подход требует пересмотра. Политика обработки персональных данных и согласие на обработку — разные по своей правовой природе документы.
Необходимо обеспечить отдельное оформление согласия и возможность подтвердить факт его получения.
Также важно учитывать, что согласие не является единственным возможным основанием обработки. В отдельных случаях закон допускает обработку без согласия, например при необходимости исполнения договора. Но соответствующее правовое основание должно действительно существовать.
Согласие пользователя — это не формальная галочка ради соблюдения требований сайта. Это юридически значимое действие, которое должно соответствовать установленным законом условиям.
🗂️ 3.3. Уведомление Роскомнадзора и реестр операторов
Одно из наиболее важных требований — статья 22 152-ФЗ.
По общему правилу оператор обязан до начала обработки персональных данных уведомить Роскомнадзор о намерении осуществлять такую обработку.
После получения уведомления сведения включаются в реестр операторов персональных данных.
Исключения предусмотрены непосредственно частью 2 статьи 22 закона. В частности, это отдельные случаи обработки исключительно без использования средств автоматизации и некоторые специально предусмотренные законом ситуации.
Поэтому владельцу сайта необходимо определить, возникает ли у него обязанность направить уведомление.
Если компания собирает заявки через электронную форму, использует CRM и другие автоматизированные инструменты, вопрос уведомления особенно актуален.
Само наличие сайта не означает автоматического освобождения от этой обязанности.
Что необходимо сделать предпринимателю?
- Определить цели обработки персональных данных.
- Установить категории обрабатываемых сведений.
- Определить правовые основания обработки.
- Проверить, требуется ли уведомление Роскомнадзора.
- При необходимости направить уведомление до начала обработки.
- Проверить актуальность сведений в реестре операторов.
Проверить информацию об операторах можно на официальном сайте Роскомнадзора.
🇷🇺 3.4. Локализация персональных данных
Отдельное внимание необходимо уделить части 5 статьи 18 152-ФЗ.
При сборе персональных данных граждан России, в том числе через интернет, оператор обязан обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение данных с использованием баз данных, находящихся на территории Российской Федерации, с учётом предусмотренных законом исключений.
Особенно важно изменение, внесённое Федеральным законом № 23-ФЗ от 28 февраля 2025 года, вступившее в силу 1 июля 2025 года.
Что это означает для бизнеса?
Необходимо проверить:
- 🖥️ Где размещены базы данных клиентов.
- ☁️ На каких серверах сохраняются заявки.
- 🔧 Какие CRM-системы используются.
- 🔄 Куда передаются сведения из форм.
- 🌍 Какие сторонние сервисы получают доступ к данным.
- 🔐 Соблюдаются ли требования при трансграничной передаче информации.
Важно: использование зарубежного сервиса само по себе не означает автоматически, что произошло нарушение локализации. Необходимо анализировать фактический маршрут данных, место их первичной записи и хранения, а также соблюдение требований к трансграничной передаче.
🛡️ 3.5. Защита персональных данных
Статья 19 152-ФЗ обязывает оператора принимать необходимые правовые, организационные и технические меры для защиты персональных данных.
В частности, необходимо учитывать:
- Защиту от несанкционированного доступа.
- Разграничение прав доступа сотрудников.
- Безопасность информационных систем.
- Контроль действий с персональными данными.
- Выявление и устранение угроз.
- Резервное копирование и восстановление информации.
- Реагирование на инциденты информационной безопасности.
Нельзя считать, что наличие SSL-сертификата и защищённого соединения HTTPS автоматически обеспечивает полное соответствие 152-ФЗ.
Безопасность персональных данных — комплексная задача, которая включает юридические, организационные и технические мероприятия.
🍪 3.6. Cookies и системы веб-аналитики
Многие сайты используют инструменты аналитики, рекламные пиксели и другие технологии отслеживания поведения пользователей.
Например:
- Яндекс Метрика.
- Системы рекламной аналитики.
- Виджеты обратной связи.
- Сторонние сервисы авторизации.
- Инструменты сбора статистики.
При этом важно понимать, что не каждый cookie-файл автоматически является персональными данными. Правовая оценка зависит от содержания информации, возможностей идентификации пользователя и фактической обработки.
Владельцу сайта необходимо определить:
- Какие сведения собираются.
- Для каких целей используется аналитика.
- Какие сторонние сервисы получают информацию.
- Есть ли основания для соответствующей обработки.
- Как пользователь информируется об используемых технологиях.
Особое внимание следует уделить фактической конфигурации аналитических инструментов и передаче информации третьим лицам.
💰 4. Какие штрафы грозят владельцам сайтов в 2026 году?
Это одна из причин, по которой предпринимателям не стоит откладывать проверку своих ресурсов.
Ответственность за нарушение законодательства о персональных данных предусмотрена статьёй 13.11 КоАП РФ.
Причём санкции существенно различаются в зависимости от характера нарушения, количества пострадавших и повторности правонарушения.
Ниже приведены основные санкции для юридических лиц.
| Нарушение | Штраф | |---|---:| | Обработка данных без законного основания | 150 000–300 000 ₽ | | Повторная незаконная обработка | 300 000–500 000 ₽ | | Отсутствие опубликованной политики обработки ПДн | 30 000–60 000 ₽ | | Непредоставление информации субъекту данных | 40 000–80 000 ₽ | | Неисполнение требований об уточнении или уничтожении данных | 50 000–90 000 ₽ | | Повторное нарушение требований об уточнении или уничтожении | 1–6 млн ₽ | | Нарушение требований локализации | 1–6 млн ₽ | | Повторное нарушение локализации | 6–18 млн ₽ | | Неуведомление Роскомнадзора о начале обработки | 100 000–300 000 ₽ | | Неуведомление об утечке персональных данных | 1–3 млн ₽ |
Отдельно следует учитывать ответственность за отсутствие письменного согласия в случаях, когда оно обязательно по закону.
За такое нарушение юридическому лицу может грозить штраф от 300 000 до 700 000 рублей, а за повторное — от 1 до 1,5 млн рублей.
📊 Оборотные штрафы за утечки персональных данных
Особенно серьёзные последствия предусмотрены за неправомерную передачу, распространение или предоставление доступа к персональным данным.
В зависимости от масштаба утечки для юридических лиц установлены следующие штрафы:
| Масштаб утечки | Штраф | |---|---:| | От 1 000 до 10 000 субъектов | 3–5 млн ₽ | | От 10 000 до 100 000 субъектов | 5–10 млн ₽ | | Более 100 000 субъектов | 10–15 млн ₽ |
При повторных нарушениях, предусмотренных соответствующими частями статьи 13.11 КоАП РФ, для юридических лиц могут применяться оборотные штрафы от 1 до 3% совокупной выручки.
Минимальный размер такого штрафа — 25 млн рублей, максимальный — 500 млн рублей.
Для утечек специальных категорий и биометрических персональных данных предусмотрены отдельные, более строгие санкции.
Одна утечка данных может стоить бизнесу миллионов рублей. Повторное нарушение способно привести к финансовым последствиям, которые несопоставимы с затратами на своевременную юридическую и техническую проверку.
🚨 5. Что происходит, если произошла утечка персональных данных?
Предприниматели часто ошибочно полагают, что если произошла утечка, достаточно просто устранить техническую проблему.
Однако законодательство предусматривает конкретные обязанности оператора.
Согласно части 3.1 статьи 21 152-ФЗ, если установлен факт неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, оператор должен уведомить Роскомнадзор:
- ⏱️ В течение 24 часов — об инциденте, предполагаемых причинах, возможном вреде и принятых мерах.
- 🔎 В течение 72 часов — о результатах внутреннего расследования.
Несвоевременное или отсутствующее уведомление также может повлечь административную ответственность.
Поэтому компаниям важно заранее иметь не только документы, но и понятный порядок действий при инцидентах информационной безопасности.
🔎 6. Как Роскомнадзор может выявить нарушения на сайте?
Нарушения не обязательно обнаруживаются только после масштабной проверки организации.
Часть информации доступна непосредственно из открытых источников.
Например, можно проверить:
- Есть ли на сайте политика обработки персональных данных.
- Доступна ли она пользователям.
- Какие формы сбора информации размещены.
- Какие согласия предусмотрены.
- Какие сторонние сервисы подключены.
- Какие элементы сайта могут создавать юридические риски.
Дополнительные сведения могут устанавливаться в ходе контрольных мероприятий, рассмотрения обращений граждан и анализа информации о возможных нарушениях.
Важно понимать: наличие ошибки на странице ещё не означает, что штраф будет назначен автоматически. Для привлечения к ответственности необходимо установить состав правонарушения и обстоятельства конкретного дела.
Однако открытая доступность сайта делает его потенциальным объектом внимания не только контролирующих органов, но и конкурентов, клиентов и других заинтересованных лиц.
Юридические риски сайта не всегда заметны его владельцу. Но это не означает, что они останутся незамеченными для других.
🧾 7. Чек-лист: проверьте, соответствует ли ваш сайт 152-ФЗ
Перед запуском рекламной кампании или продолжением работы сайта рекомендуем проверить следующие позиции.
- [ ] На сайте опубликована актуальная политика обработки персональных данных.
- [ ] Политика соответствует реальным процессам сбора информации.
- [ ] Формы заявок содержат корректную информацию об обработке данных.
- [ ] Согласие оформляется отдельно от других документов, когда оно необходимо.
- [ ] Предусмотрен механизм подтверждения получения согласия.
- [ ] Определены цели и правовые основания обработки данных.
- [ ] Проверена необходимость уведомления Роскомнадзора.
- [ ] Проверено выполнение требований локализации.
- [ ] Проверены CRM, системы аналитики и сторонние интеграции.
- [ ] Определены сроки хранения и порядок уничтожения данных.
- [ ] Организована защита информации.
- [ ] Назначены ответственные за организацию обработки персональных данных, если это требуется законом.
Даже если на вашем сайте отсутствует интернет-магазин, это не означает, что рисков нет.
Особенно внимательно следует относиться к рекламным лендингам, которые создаются быстро, запускаются под отдельные рекламные кампании и зачастую не проходят полноценную юридическую проверку.
🤖 8. Бесплатный аудит сайта от ИИ КОДЕКС: как проверить свой ресурс?
Учитывая количество требований и сложность законодательства, предпринимателям необходим простой способ предварительно оценить юридические риски своего сайта.
Именно для этого команда ИИ КОДЕКС разработала специальный сервис бесплатной проверки сайтов.
Теперь предпринимателю не нужно самостоятельно изучать десятки нормативных актов, искать потенциальные нарушения в коде страницы или пытаться определить, какие документы необходимо разместить на сайте.
Достаточно указать адрес своего ресурса.
🔍 Что проверяет сервис ИИ КОДЕКС?
Сервис анализирует открытые данные сайта и позволяет выявить потенциальные юридические риски, в том числе:
- ⚖️ Потенциальные нарушения требований 152-ФЗ.
- 📄 Наличие и доступность политики обработки персональных данных.
- 📝 Элементы форм сбора информации.
- ☑️ Возможные проблемы с оформлением согласий.
- 🏛️ Риски, связанные с требованиями Роскомнадзора.
- 📢 Отдельные риски, связанные с рекламным законодательством.
- 🔐 Другие юридически значимые элементы, доступные для анализа по открытым данным сайта.
🚀 Как пройти бесплатную проверку?
1. Перейдите на страницу сервиса ИИ КОДЕКС. 2. Укажите адрес своего сайта. 3. Запустите автоматический анализ. 4. Изучите выявленные потенциальные нарушения. 5. При необходимости оставьте заявку на помощь специалиста.
Проверка выполняется автоматически и занимает ориентировочно от 10 до 40 секунд.
По результатам пользователь получает информацию о потенциальных проблемах, которые требуют дополнительного внимания.
🤝 Бесплатная помощь в устранении нарушений
Команда ИИ КОДЕКС предлагает не только автоматическую проверку, но и бесплатную помощь в разборе выявленных проблем.
Если проверка обнаружила потенциальные нарушения, можно оставить заявку. Специалист поможет разобраться в результатах и подскажет возможные способы устранения проблем.
Проверить свой сайт можно здесь:
👉 Бесплатный аудит сайта от ИИ КОДЕКС
Преимущества сервиса:
- Бесплатная автоматическая проверка.
- Без регистрации.
- Анализ открытых данных сайта.
- Результат ориентировочно за 10–40 секунд.
- Возможность получить помощь специалиста.
Важно учитывать, что автоматический анализ открытых данных позволяет выявить видимые признаки потенциальных нарушений, но не заменяет полноценный аудит внутренних процессов обработки информации, договоров с подрядчиками, серверной инфраструктуры и организационных мер защиты.
Лучше обнаружить юридическую проблему самостоятельно и устранить её заранее, чем разбираться с последствиями после получения претензии или предписания.
🏢 9. Кому особенно необходима проверка сайта?
Практически любой бизнес, который собирает информацию о клиентах через интернет, должен уделять внимание требованиям законодательства.
В первую очередь это касается:
- 🏥 Медицинских клиник и стоматологий.
- 🏗️ Строительных компаний и застройщиков.
- 🏢 Агентств недвижимости.
- ⚖️ Юридических компаний.
- 🚘 Автосалонов и дилерских центров.
- 🛍️ Интернет-магазинов.
- 📈 Рекламных и маркетинговых агентств.
- 💇 Салонов красоты и косметологических центров.
- 🎓 Образовательных проектов и онлайн-школ.
- 💼 Индивидуальных предпринимателей и частных специалистов.
Особенно актуальна проверка для компаний, которые используют несколько рекламных лендингов, регулярно запускают новые страницы и собирают заявки через различные формы.
В таких случаях важно проверять не только основной корпоративный сайт, но и все дополнительные ресурсы, через которые осуществляется сбор информации.
📈 10. Почему юридическая безопасность сайта должна стать частью бизнеса?
В современном цифровом бизнесе сайт — это не просто рекламная площадка.
Это полноценный инструмент взаимодействия с клиентами, который может собирать, передавать и хранить информацию о людях.
Предприниматель может потратить сотни тысяч рублей на разработку сайта, продвижение, рекламу и привлечение клиентов, но при этом оставить без внимания юридическую сторону своей деятельности.
В результате даже небольшая ошибка в организации обработки персональных данных способна привести к претензиям, предписаниям, административным штрафам и дополнительным расходам на устранение нарушений.
Поэтому юридическая проверка должна проводиться не после получения претензии, а до возникновения проблем.
Особенно это важно для компаний, которые постоянно запускают новые лендинги, рекламные страницы, формы обратной связи и маркетинговые воронки.
Юридическая безопасность — это не расходы ради формального соблюдения закона. Это защита бизнеса, его клиентов, репутации и финансовой устойчивости.
🛡️ Заключение: проверьте свой сайт, пока проблема не стала финансовым риском
152-ФЗ — это не формальность и не набор документов, которые достаточно разместить в подвале сайта.
Это система требований, регулирующая весь процесс работы с персональными данными: от момента их получения до хранения, передачи, защиты и уничтожения.
В 2026 году игнорирование этих требований может обойтись бизнесу очень дорого.
И совершенно неважно, насколько большой у вас сайт: крупный интернет-магазин или одностраничный лендинг с кнопкой «Оставить заявку».
Если вы собираете персональные данные, необходимо понимать свои обязанности и соблюдать законодательство.
🚨 Не ждите претензий от Роскомнадзора. Проверьте свой сайт заранее.
Команда ИИ КОДЕКС предоставляет возможность бесплатно проверить сайт на потенциальные нарушения российского законодательства и получить помощь в определении способов их устранения.
👉 Перейти к бесплатной проверке сайта
Укажите адрес своего ресурса и узнайте, какие юридические риски могут присутствовать на вашем сайте.
ИИ КОДЕКС — юридическая защита и современные технологии для безопасного развития бизнеса.
---
📚 Нормативная база и источники
- Федеральный закон № 152-ФЗ «О персональных данных».
- Статья 9 152-ФЗ — согласие на обработку персональных данных.
- Статья 18 152-ФЗ — обязанности оператора при сборе персональных данных.
- Статья 22 152-ФЗ — уведомление об обработке персональных данных.
- Статья 13.11 КоАП РФ — ответственность за нарушения законодательства о персональных данных.
- Бесплатная проверка сайта от ИИ КОДЕКС.
Материал подготовлен с учётом редакций законодательства, действующих на 4 ноября 2026 года.