Что сайт обязан иметь по 152-ФЗ и сколько стоит ошибка

Почти у каждого сайта малого бизнеса есть форма «Оставьте заявку» или кнопка «Перезвоните мне». Вместе с ней у владельца появляются обязанности по закону о персональных данных, 152-ФЗ. О них часто вспоминают, только когда приходит проверка или жалоба. Разберём, что должно быть на сайте, какие ошибки встречаются чаще всего и почему мы не называем «стоимость» ошибки одной цифрой.

Когда сайт обрабатывает персональные данные?

Персональные данные — любая информация, которая прямо или косвенно относится к конкретному человеку. На сайте это обычно:

• имя, телефон и почта из формы заявки или обратного звонка;
• переписка в чате на сайте;
• адрес для рассылки или подписки;
• данные, которые собирают счётчики посещаемости и рекламные пиксели: cookie, IP-адрес, идентификаторы устройства.

Если хотя бы одно из этого есть, владелец сайта становится оператором персональных данных, и на него распространяются требования 152-ФЗ. Неважно, компания это или индивидуальный предприниматель.

Какие документы должны быть на сайте?

Набор зависит от сайта, но для сайта с формой заявки базовый комплект такой.

1. Политика обработки персональных данных. Оператор, который собирает данные через интернет, обязан опубликовать документ о своей политике обработки и обеспечить к нему свободный доступ (ч. 2 ст. 18.1 152-ФЗ). В политике описывают, кто оператор, какие данные и зачем собираются, на каком основании, сколько хранятся, кому передаются, как защищаются и как человеку реализовать свои права.
2. Согласие на обработку персональных данных. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 9 152-ФЗ). С 1 сентября 2025 года его нужно оформлять отдельно от других документов: строчка «нажимая кнопку, вы соглашаетесь с политикой» внутри формы или пункт в пользовательском соглашении этому не соответствуют. В форме — галочка со ссылкой на текст согласия, и она не должна стоять заранее.
3. Политика cookie и уведомление о них. Если на сайте есть счётчики посещаемости или рекламные пиксели, посетителю нужно объяснить, какие cookie ставятся, зачем и как от них отказаться. Обычно для этого делают отдельный документ и баннер при первом визите.
4. Сведения об операторе. Посетитель должен понимать, кто обрабатывает его данные: наименование или ФИО предпринимателя, ИНН, ОГРН или ОГРНИП, контакты для обращений. Если сайт продаёт что-то потребителям, сведения об исполнителе отдельно требует и закон о защите прав потребителей (ст. 9).

Есть обязанность, которая на сайте не видна: до начала обработки оператор подаёт в Роскомнадзор уведомление (ст. 22 152-ФЗ). Подан ли он, можно проверить в открытом реестре операторов на сайте Роскомнадзора.

Какие ошибки встречаются чаще всего?

На сайтах малого бизнеса раз за разом встречаются одни и те же проблемы.

• Ссылка «в никуда». Под формой написано «согласие на обработку персональных данных», но ссылка ведёт на пустую страницу или на #.
• Согласие спрятано внутри политики. Отдельного документа нет, есть фраза «отправляя форму, вы соглашаетесь».
• Галочка проставлена заранее. Такое согласие трудно назвать сознательным и однозначным.
• Шаблон без адаптации. В политике остались чужие реквизиты, заглушки в квадратных скобках вместо ФИО и ИНН или описаны данные, которых сайт не собирает. При этом реальные сервисы, например счётчик или виджет чата, не упомянуты.
• Счётчик есть, а сведений о нём нет. Метрика или пиксель стоят, но в документах про них ни слова, баннера тоже нет.
• Не понятно, кто оператор. В подвале только логотип и телефон, без ИНН и ОГРН.

Сколько стоит ошибка?

Ответственность за нарушения в сфере персональных данных установлена статьёй 13.11 КоАП. В ней несколько частей. Например, отдельно наказывается обработка без согласия, когда оно обязательно, или с согласием, в котором нет нужных сведений (ч. 2), и отдельно — неопубликование политики обработки (ч. 3). Есть составы про утечки и про хранение данных россиян в базах за пределами России.

Одну сумму «за документ» мы сознательно не называем. Размер штрафа зависит от части статьи, от того, кто нарушитель (гражданин, должностное лицо, предприниматель или юрлицо), и от того, повторное ли это нарушение. В 2025 году вступили в силу поправки, которые изменили штрафы по этой статье. Актуальные суммы стоит сверять с действующей редакцией статьи 13.11 КоАП на дату проверки, а не с цифрами из чужих статей.

Кроме штрафа, есть и другие последствия: предписание Роскомнадзора устранить нарушения, жалобы клиентов, а для юристов и других компаний, которые продают доверие, — вопросы к репутации.

Как проверить свой сайт за десять минут?

1. Откройте каждую форму на сайте. Рядом должна быть ссылка на политику и отдельная, не отмеченная заранее галочка согласия со ссылкой на его текст.
2. Пройдите по этим ссылкам. Документы должны открываться, а не вести на пустую страницу.
3. Сверьте текст с тем, что сайт делает на самом деле: какие поля в формах, какие счётчики, чаты и сервисы подключены.
4. Посмотрите в подвал: есть ли наименование или ФИО предпринимателя, ИНН, ОГРН или ОГРНИП и контакты.
5. Если стоит счётчик посещаемости, проверьте, есть ли уведомление о cookie и описаны ли они в документах.
6. Найдите себя в реестре операторов Роскомнадзора.

Если на какой-то пункт ответ «нет», это и есть список доработок.

Как это устроено на нашем сайте?

У tacticgu.ru сейчас нет форм, регистрации и счётчиков посещаемости. Калькулятор экономии считает прямо в браузере и ничего не отправляет. Поэтому cookie посетителям сайт не ставит, и баннер не нужен. Документы при этом опубликованы: политика обработки персональных данных, отдельное согласие, политика cookie и правовая информация с реквизитами ИП. Когда появятся форма заявки или счётчик, документы обновятся, а у формы появится галочка согласия.

Если хотите, чтобы мы посмотрели ваш сайт и составили список того, что поправить, напишите нам в Telegram.