Как привести сайт в соответствие 152-ФЗ: требования, cookie, аудит и документы в 2026 году
Входим в ведущие рейтинги и объединения страны:
Если на сайте есть форма заявки, онлайн-чат, Яндекс.Метрика или личный кабинет, владелец сайта — оператор персональных данных и обязан выполнять 152-ФЗ. Минимум для соответствия: опубликованная политика обработки ПДн, согласие на обработку отдельным документом (с 1 сентября 2025 года), корректный cookie-баннер, сбор данных только на российские серверы (с 1 июля 2025 года) и уведомление Роскомнадзора. Если на сайте есть персональные рекомендации, с 7 июля 2026 года за отсутствие правил применения рекомендательных технологий штрафуют по ст. 13.56 КоАП. Штрафы для компаний — от 30 тыс. рублей за отсутствие политики до 18 млн за повторное нарушение локализации, а за повторную утечку данных — оборотный штраф до 500 млн рублей.
Материал подготовил Морозов Никита Алексеевич, эксперт по защите персональных данных (DPO), старший юрист. Опыт работы c персональными данными с 2020 года.
Дата публикации: 22.10.2026
Дата обновления: 22.10.2026
Дата обновления: 22.10.2026
Коротко:
1] Сайт с формой, чатом, Яндекс Метрикой или личным кабинетом обрабатывает персональные данные, владелец сайта — оператор по 152-ФЗ.
2] Обязательный минимум: политика обработки персональных данных, отдельное согласие для каждой формы, уведомление Роскомнадзора и хранение персональных данных на территории Российской федерации.
3] Аналитические и рекламные cookie запускаются только после согласия посетителя; технические — без согласия, но с описанием таких cookie в политике.
4] Зарубежные сервисы требуют отдельного уведомления в Роскомнадзор о трансграничной передаче данных.
5] Персональные рекомендации на сайте требуют правил рекомендательных технологий.
1] Сайт с формой, чатом, Яндекс Метрикой или личным кабинетом обрабатывает персональные данные, владелец сайта — оператор по 152-ФЗ.
2] Обязательный минимум: политика обработки персональных данных, отдельное согласие для каждой формы, уведомление Роскомнадзора и хранение персональных данных на территории Российской федерации.
3] Аналитические и рекламные cookie запускаются только после согласия посетителя; технические — без согласия, но с описанием таких cookie в политике.
4] Зарубежные сервисы требуют отдельного уведомления в Роскомнадзор о трансграничной передаче данных.
5] Персональные рекомендации на сайте требуют правил рекомендательных технологий.
Структура страницы
Кто обязан приводить сайт в соответствие 152-ФЗ
Закон о персональных данных распространяется на всех, кто работает с данными людей: собирает, хранит, использует или передаёт их. Такого человека или компанию закон называет оператором. Оператор сам решает, зачем ему нужны данные, какие именно собирать и что с ними делать. Если вы занимаетесь сбором имен, телефонов, почт или других сведений о клиентах, сотрудниках или посетителях сайта, вы оператор, и закон распространяется на вас.
- -!-Оператором может быть государственный или муниципальный орган, организация любого размера, индивидуальный предприниматель или обычное физическое лицо. Например, это интернет-магазин, который собирает имя, телефон и адрес для доставки, банк или страховая компания, клиника, салон красоты или фитнес-клуб с базой клиентов.
- -!-Закон не применяется к лицам, которые обрабатывает данные исключительно для личных и семейных нужд, например хранит контакты друзей в записной книжке, если при этом не нарушаются права других лиц.
Подрядчик, который обрабатывает данные по вашему поручению (CRM, сервис рассылок, колл-центр), по общему правилу не становится оператором этих данных. Для этого необходимо заключить с ним договор поручения, Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных. Помимо этого, ответственность перед пользователем за действия привлечённого подрядчика несёте вы.
Какие данные считаются персональными
Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.
По сути, это всевозможные сведения, с помощью которых можно определить (идентифицировать) субъекта персональных данных. Законом персональные данные определены достаточно широко, поэтому какого-либо перечня сведений, относящихся к персональным данным субъекта, не существует.
К персональным данным относят фамилию, имя, отчество, год, месяц, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, данные о заказе, IP-адрес, cookie-идентификаторы и др.
Отдельный элемент становится персональными данными, когда с его помощью можно прямо или косвенно определить конкретного человека — самостоятельно или вместе с другой информацией, доступной оператору. Поэтому почти любые данные из форм на сайте считаются персональными.
Основные требования 152-ФЗ к сайту, который собирает данные
Политика обработки персональных данных
Нужно опубликовать документ о том, какие данные вы собираете, зачем, как храните и защищаете. Закон требует опубликовать политику на страницах, через которые собираются персональные данные, и обеспечить к ней неограниченный доступ. На практике ссылку ставят в футер всех страниц и рядом с каждой формой.
Шаблон, где цели и сервисы не совпадают с тем, что реально работает на сайте, Роскомнадзор расценивает как нарушение: политика формально есть, но не отражает фактический порядок обработки персональных данных.
Согласие на обработку персональных данных отдельным документом
Согласие на обработку персональных данных оформляется отдельно от других документов, которые подтверждает пользователь, если обработка осуществляется на основании согласия. При этом отдельное согласие не требуется, если для обработки есть другое законное основание, предусмотренное статьёй 6 Федерального закона № 152-ФЗ. Необходимость и содержание согласия определяются с учётом целей и условий обработки данных.
Чекбокс согласия ставит сам пользователь: заранее проставленная галочка не даёт согласия, которое должно быть конкретным, предметным, информированным, сознательным и однозначным.
Законная цель и минимум данных
Обработка ограничивается конкретными, заранее определёнными и законными целями; обработка, несовместимая с целями сбора, не допускается. Объём данных должен соответствовать целям, если для обратного звонка достаточно имени и телефона, поля «дата рождения» или «адрес» в форме будут избыточными.
Отдельное согласие на публикацию данных
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
Хранение персональных данных на территории Российской Федерации
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются.
Норма в такой редакции действует с 1 июля 2025 года (ч. 5 ст. 18 152-ФЗ в ред. Федерального закона от 28.02.2025 № 23-ФЗ). На практике это значит, что форма заявки не должна отправлять данные сразу в Google Forms, зарубежную CRM или иностранный почтовый сервис: сначала они записываются в базу на сервере в России. Штраф для организации — от 1 до 6 млн руб., при повторном нарушении — от 6 до 18 млн руб. (ч. 8, 9 ст. 13.11 КоАП).
Уведомление Роскомнадзора
Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своём намерении осуществлять обработку. Если сведения изменились — новые цели, категории данных, сервисы, — оператор сообщает об этом не позднее 15-го числа месяца, следующего за месяцем изменений.
Реакция на утечку
О неправомерной передаче персональных данных, которая нарушила права людей, оператор сообщает в Роскомнадзор в течение 24 часов с момента выявления, а результаты внутреннего расследования направляет в течение 72 часов. За неуведомление организации грозит штраф.
Запросы пользователей и отзыв согласия
На запрос пользователя об обработке его данных оператор отвечает в течение 10 рабочих дней; срок можно продлить ещё на 5 рабочих дней, направив мотивированное уведомление.
При отзыве согласия обработку нужно прекратить, а данные уничтожить в течение 30 дней, если нет другого законного основания для их обработки. Чтобы это было выполнимо, нужны адрес для обращений, регламент и ответственный, а журнал согласий должен позволять найти конкретную запись.
Зарубежные сервисы
Перед передачей данных за рубеж оператор обязан уведомить Роскомнадзор о трансграничной передаче. Это уведомление подаётся отдельно от уведомления об обработке, а до его подачи нужно получить от иностранного получателя сведения о мерах защиты данных.
На сайте трансграничная передача часто возникает незаметно: зарубежные чат-виджеты и формы, иностранный хостинг или CDN. С 26 июля 2026 года изменён критерий стран с «адекватной» защитой: в перечень включаются государства, чьё регулирование и меры защиты соответствуют положениям Конвенции Совета Европы о защите персональных данных, а не просто участники Конвенции. Перечень стран необходимо проверять перед подачей уведомления.
Авторизация в личном кабинете
Если на сайте есть регистрация или личный кабинет, российских пользователей можно авторизовать только:
- по российскому номеру телефона;
- через Госуслуги (ЕСИА);
- Единую биометрическую систему или российские сервисы авторизации, например VK ID, Сбер ID, Яндекс ID (ст. 10 Закона об информации).
Cookie и 152-ФЗ: нужно ли согласие на cookie на сайте
Специальной нормы о cookie в 152-ФЗ нет. Роскомнадзор и суды исходят из общего определения: если cookie позволяют идентифицировать посетителя или используются не только для работы сайта, а для аналитики, рекламы и передачи данных третьим лицам, они считаются персональными данными. Тогда владелец сайта — оператор со всеми обязанностями по 152-ФЗ.
Почему cookie считаются персональными данными
Закон называет персональными данными любую информацию, которая относится к прямо или косвенно определяемому человеку. Cookie присваивает посетителю уникальный идентификатор, фиксирует его действия на сайте, связывает визиты между сессиями. По совокупности это позволяет выделить конкретного человека и проследить его поведение.
Когда согласие нужно, а когда нет
Чтобы определить режим конкретного файла, достаточно двух вопросов. Можно ли по нему идентифицировать пользователя? Используется ли он для целей за рамками оказания услуги, например для анализа поведения или рекламы? Если ответ «да» хотя бы на один из них, cookie приравнивается к персональным данным.
На практике это значит следующее:
-
Технические cookie обеспечивают работу сайта: сохраняют корзину, доступ в аккаунт, язык. Согласия они не требуют, но должны быть описаны в политике. - Аналитические и маркетинговые cookie, такие как Яндекс Метрика, рекламные пиксели и ретаргетинг, требуют согласия. То же относится к сторонним cookie от виджетов, чатов и кнопок соцсетей.
Как оформить согласие
Закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным и оформлялось отдельно от других документов (ч. 1 ст. 9 152-ФЗ). Как именно реализовать это в баннере, закон не говорит, поэтому ниже — практика, которая снижает риски при проверке. Если на сайте есть аналитические или рекламные cookie, баннер показывается при первом входе.
До ответа посетителя загружаются только технические cookie, а аналитические и рекламные скрипты запускаются после согласия;
В баннере коротко сказано, какие cookie используются и зачем, и даётся ссылка на текст согласия и политику cookie;
Есть кнопка отказа, а не только «Принять»; лучше, если кнопки равнозначны по виду и расположению или есть выбор по категориям;
Согласие даётся отдельным действием, галочки заранее не проставлены;
Посетитель может отозвать согласие или изменить выбор в любой момент, например по ссылке «Настройки cookie» в футере.
Частая ошибка — баннер с единственной кнопкой «ОК» и счётчики, которые стартуют до ответа посетителя. В таких случаях трудно доказать, что согласие было получено до начала обработки и было сознательным, а доказывать это обязан оператор (ч. 3 ст. 9 152-ФЗ).
Правила применения рекомендательных технологий: кому нужны и как разработать
Если сайт подбирает контент или товары под конкретного пользователя на основе его предпочтений, владелец обязан разместить правила применения рекомендательных технологий и уведомить об этом пользователей.
Что такое рекомендательные технологии на сайте
Рекомендательные технологии — это технологии, которые собирают, систематизируют и анализируют сведения о предпочтениях пользователей и на этой основе показывают им информацию.
Типичные примеры:
- блоки «Вам может понравиться», «Рекомендуем вам», «С этим товаром покупают» с персональным подбором;
- персональная лента новостей или статей;
- подбор товаров по истории просмотров и покупок;
- персональные подборки и пуш-уведомления на сайте или в приложении.
Обязательные требования
Владелец ресурса, на котором применяются рекомендательные технологии обязан:
1] Разместить в открытом доступе документ на русском языке с правилами применения рекомендательных технологий.
2] Уведомить пользователей о том, что на сайте применяются рекомендательные технологии.
3] Разместить адрес электронной почты для юридически значимых сообщений и сведения о владельце сайта: наименование организации или ФИО.
4] Не применять рекомендательные технологии с нарушением прав и законных интересов граждан и организаций.
1] Разместить в открытом доступе документ на русском языке с правилами применения рекомендательных технологий.
2] Уведомить пользователей о том, что на сайте применяются рекомендательные технологии.
3] Разместить адрес электронной почты для юридически значимых сообщений и сведения о владельце сайта: наименование организации или ФИО.
4] Не применять рекомендательные технологии с нарушением прав и законных интересов граждан и организаций.
Что должно быть в правилах применения рекомендательных технологий
Правила применения рекомендательных технологий должны содержать:
- описание процессов и методов сбора, систематизации, анализа сведений, относящихся к предпочтениям пользователей сети "Интернет", предоставления информации на основе этих сведений, а также способов осуществления таких процессов и методов;
- виды сведений, относящихся к предпочтениям пользователей сети "Интернет", которые используются для предоставления информации с применением рекомендательных технологий, источники получения таких сведений.
Разработка правил: почему шаблон не подходит
Правила должны описывать логику конкретного сайта, а шаблон описывает абстрактный алгоритм. Если правила и фактическая работа рекомендаций расходятся, Роскомнадзор фиксирует нарушение. Поэтому разработка правил начинается с интервью с разработчиком или владельцем платформы.
Юрист выясняет, какие блоки персонализированы, какие данные они используют, откуда эти данные берутся и подключены ли внешние рекомендательные сервисы. Сведения о предпочтениях, как правило, являются персональными данными, поэтому правила согласуются с политикой обработки персональных данных и cookie-баннером.
Если Роскомнадзор выявит нарушения, он вправе потребовать прекратить применение рекомендательных технологий. На исполнение дают сутки с момента получения требования, при неисполнении доступ к ресурсу могут ограничить.
С 7 июля 2026 года за нарушения действует отдельная административная ответственность — ст. 13.56 КоАП (введена Федеральным законом от 26.06.2026 № 199-ФЗ). За отсутствие правил, неинформирование пользователей или применение технологий с нарушением закона организацию штрафуют на 500–700 тыс. руб., за повторное нарушение — на 1–1,4 млн руб. Неисполнение требования Роскомнадзора обойдётся в 1–1,4 млн руб., повторное — в 1,4–2,8 млн руб. Для должностных лиц штраф составляет от 30 до 200 тыс. руб. в зависимости от состава.
Документы для сайта по 152-ФЗ:
152-ФЗ не содержит исчерпывающего перечня документов, необходимых для законной обработки и защиты персональных данных, и прямо называет лишь некоторые из них. Остальные документы оператор разрабатывает с учётом подзаконных актов, судебной и административной практики, а также реальных процессов работы с персональными данными в организации.
Обязательные документы:
Политика обработки персональных данных. Определяет порядок обработки данных и должна быть опубликована на сайте оператора или иным образом доступна неограниченному кругу лиц.
Согласие на обработку. Необходимо, если у оператора нет иных оснований для обработки, перечисленных в ст. 6 закона.
Приказ о назначении ответственного лица. Обязателен для операторов — юридических лиц. Ответственный контролирует соблюдение закона, доводит требования до сотрудников и организует приём обращений. При нарушениях он может быть привлечён к административной ответственности как должностное лицо.
Уведомление Роскомнадзора об обработке. Его подаёт практически каждый оператор. Номер и ключ отправленного уведомления лучше сохранить, чтобы при необходимости вносить в него изменения.
Этим перечень не исчерпывается. Обычно для сайта также нужны: политика cookie, уведомление о трансграничной передаче (если есть зарубежные сервисы), договоры поручения с подрядчиками, локальные акты об обработке и защите данных (п. 2 ч. 1 ст. 18.1 152-ФЗ), акт оценки вреда (приказ Роскомнадзора от 27.10.2022 № 178), документы об уровне защищённости (постановление Правительства РФ от 01.11.2012 № 1119), при необходимости — правила применения рекомендательных технологий. Точный комплект документов по персональным данным зависит от процессов обработки в конкретной организации.
Штрафы для сайтов в 2026 году
За нарушения в области персональных данных предусмотрена административная ответственность. Каждое нарушение квалифицируется отдельно, поэтому по итогам одной проверки сайта оператору могут назначить сразу несколько штрафов. Основные составы и суммы для граждан, должностных лиц, ИП и организаций приведены в таблице ниже.
ИП, если для них нет отдельной санкции, отвечают как должностные лица.
Дела по ст. 13.11 КоАП возбуждает Роскомнадзор, а рассматривает суд. Поэтому даже после протокола размер штрафа можно снизить: позиция юриста и устранённые до суда нарушения учитываются.
За нарушения, связанные с персональными данными, кроме ответственности компании возможна и личная ответственность должностных лиц. За незаконный оборот персональных данных с декабря 2024 года действует уголовная статья 272.1 УК РФ.
Не опубликована политика обработки персональных данных (ч. 3 ст. 13.11 КоАП РФ) | Для граждан от 1,5 до 3 тыс. руб. Для должностных лиц от 6 до 12 тыс. руб. Для индивидуальных предпринимателей от 10 до 20 тыс. руб. Для юридических лиц от 30 до 60 тыс. руб. |
Не предоставлена информация по запросу пользователя (ч. 4 ст. 13.11 КоАП РФ) | Для граждан от 2 до 4 тыс. руб. Для должностных лиц от 8 до 12 тыс. руб. Для индивидуальных предпринимателей от 20 до 30 тыс. руб. Для юридических лиц от 40 до 80 тыс. руб. |
Не выполнено требование уточнить, заблокировать или удалить данные (ч. 5, 5.1 ст. 13.11 КоАП РФ) | Для граждан от 2 до 4 тыс. руб., при повторном нарушении от 20 до 30 тыс. руб. Для должностных лиц от 8 до 20 тыс. руб., при повторном нарушении от 30 до 50 тыс. руб. Для индивидуальных предпринимателей от 20 до 40 тыс. руб., при повторном нарушении от 50 до 100 тыс. руб. Для юридических лиц от 50 до 90 тыс. руб., при повторном нарушении от 300 до 500 тыс. руб. |
Обработка персональных данных без правового основания (ч. 1, 1.1 ст. 13.11 КоАП РФ) | Для граждан от 10 до 15 тыс. руб., при повторном нарушении от 15 до 30 тыс. руб. Для должностных лиц от 50 до 100 тыс. руб., при повторном нарушении от 100 до 200 тыс. руб. Для юридических лиц от 150 до 300 тыс. руб. при повторном нарушении от 300 до 500 тыс. руб. |
Обработка без согласия или с согласием, не соответствующим закону (ч. 2, 2.1 ст. 13.11 КоАП РФ) | Для граждан от 10 до 15 тыс. руб., при повторном нарушении от 15 до 30 тыс. руб. Для должностных лиц от 100 до 300 тыс. руб., при повторном нарушении от 500 тыс. руб. до 1 млн. руб. Для юридических лиц от 300 до 700 тыс. руб., при повторном нарушении от 1 до 1,5 млн. руб. |
Не подано уведомление в Роскомнадзор (ч. 10 ст. 13.11 КоАП РФ) | Для граждан от 5 до 10 тыс. руб. Для должностных лиц от 30 до 50 тыс. руб. Для юридических лиц от 100 до 300 тыс. руб. |
Утечка персональных данных более 1000 субъектов обработки (ч. 12–14 ст. 13.11 КоАП РФ) | Для граждан от 100 до 400 тыс. руб. Для должностных лиц от 200 до 600 тыс. руб. Для юридических лиц от 3 до 15 млн. руб. |
Повторная утечка данных (ч. 15 ст. 13.11 КоАП РФ) | Для граждан от 400 до 600 тыс. руб. Для должностных лиц от 800 до 1,2 млн. руб. Для юридических лиц от 1% до 3% от совокупной выручки нарушителя за предшествующий год, но не менее 20 млн и не более 500 млн рублей |
Не уведомлен Роскомнадзор об утечке (ч. 11 ст. 13.11 КоАП РФ) | Для граждан от 50 до 100 тыс. руб. Для должностных лиц от 400 до 800 тыс. руб. Для юридических лиц от 1 до 3 млн. руб. |
Данные граждан РФ собираются в зарубежные базы (локализация) (ч. 8, 9 ст. 13.11 КоАП РФ) | Для граждан от 30 до 50 тыс. руб., при повторном нарушении от 50 до 100 тыс. руб. Для должностных лиц от 100 до 200 тыс. руб., при повторном нарушении от 500 до 800 тыс. руб. Для юридических лиц от 1 до 6 млн. руб. при повторном нарушении от 6 до 18 млн. руб. |
Нарушение требований к рекомендательным технологиям (ст. 13.56 КоАП РФ) | Для граждан от 10 до 20 тыс. руб., при повторном нарушении от 20 до 40 тыс. руб. Для должностных лиц от 30 до 50 тыс. руб., при повторном нарушении от 60 до 100 тыс. руб. Для юридических лиц от 500 до 700 тыс. руб. при повторном нарушении от 1 до 1,4 млн. руб. |
ИП, если для них нет отдельной санкции, отвечают как должностные лица.
Дела по ст. 13.11 КоАП возбуждает Роскомнадзор, а рассматривает суд. Поэтому даже после протокола размер штрафа можно снизить: позиция юриста и устранённые до суда нарушения учитываются.
За нарушения, связанные с персональными данными, кроме ответственности компании возможна и личная ответственность должностных лиц. За незаконный оборот персональных данных с декабря 2024 года действует уголовная статья 272.1 УК РФ.
Аудит сайта на соответствие 152-ФЗ: что проверяем
При юридическом аудите сайта в сфере персональных данных проверяют не только наличие необходимых документов, но и их соответствие тому, как данные обрабатываются на практике. Ниже перечислено, на что обращают внимание в первую очередь и какие ошибки встречаются чаще всего.
Политика обработки персональных данных
Проверяют, что документ отражает реальные процессы обработки, содержит актуальную дату и находится в свободном доступе на сайте. Типичная ошибка: использование шаблонного текста, в котором не упомянуты инструменты веб-аналитики, CRM-системы и модули онлайн-связи с посетителями. В результате политика описывает одну обработку, а на деле происходит другая.
Согласие на обработку
Согласие должно быть оформлено отдельным документом и содержать все реквизиты, обязательные по ст. 9 закона. Нередко его просто встраивают в текст политики или пользовательского соглашения (оферты), и это считается нарушением: согласие должно быть конкретным и осознанным, а не растворяться в других условиях.
Разделение согласий по целям
Для каждой цели обработки требуется самостоятельное согласие. Распространённая ситуация: одно согласие охватывает и обработку заявки, и маркетинговую рассылку, хотя пользователь вправе принять первое и отказаться от второго.
Правовые основания обработки
Для каждой цели должно быть определено собственное правовое основание. Частый пример: данные соискателей на вакансии собираются и хранятся без их согласия и без иного основания, предусмотренного законом.
Уведомление в Роскомнадзор
Проверяют, что уведомление подано и что содержащиеся в нём сведения совпадают с фактической обработкой на сайте. Нередко уведомление было направлено несколько лет назад и с тех пор ни разу не обновлялось, хотя процессы и состав данных менялись.
Трансграничная передача данных
Если для работы сайта используются зарубежные сервисы, оператор обязан направить отдельное уведомление о трансграничной передаче. Его отсутствие при подключённых иностранных инструментах относится к самым распространённым нарушениям.
Cookie и счётчики
Проверяют, какие cookie запускаются до ответа посетителя, можно ли отказаться и описаны ли все cookie в политике. Типичная ошибка: Яндекс Метрика и рекламные пиксели запускаются при открытии страницы, а баннер лишь информирует о cookie.
Локализация
Проверяют, куда первыми попадают данные из форм и чатов. Типичная ошибка: заявки уходят напрямую в зарубежную CRM, Google Forms или иностранный почтовый сервис.
Договоры с подрядчиками
С каждой компанией, которая получает персональные данные или имеет к ним доступ (хостинг-провайдер, оператор клиентской базы, сервис рассылок и т. д.), должно быть заключено поручение на обработку. На практике такие договоры часто отсутствуют вовсе или не содержат необходимых условий.
Обработка обращений пользователей
Нужен выстроенный процесс: назначенный ответственный, понятный порядок и адрес, по которому субъект может направить запрос. Нередко не определено ни то, ни другое, из-за чего обращения остаются без ответа в установленный срок.
Рекомендательные технологии и сведения о владельце сайта
Если на сайте применяются рекомендательные технологии, необходимо опубликовать правила их использования. Кроме того, нужно указать сведения о владельце ресурса и адрес электронной почты для юридически значимых сообщений. Часто на сайте нет ни документа, ни контактного адреса.
Чек-лист: 10 шагов, чтобы привести сайт в соответствие 152-ФЗ
- Составить перечень форм, чатов, счётчиков и виджетов, через которые собираются данные.
- Убрать из форм поля, без которых можно обойтись.
- Настроить первичную запись и хранение данных в России.
- Опубликовать политику обработки персональных данных и политику cookie; ссылки разместить в футере и у каждой формы.
- Для каждой формы оформить отдельное согласие с пустым чекбоксом.
- Настроить cookie-баннер: аналитические и маркетинговые cookie запускаются только после согласия.
- Подать уведомление в Роскомнадзор, при использовании зарубежных сервисах — уведомление о трансграничной передаче.
- Заключить договоры поручения с подрядчиками: CRM, сервис рассылок, колл-центр.
- Назначить ответственного, утвердить порядок ответа на запросы (10 рабочих дней) и реагирования на утечки (24 и 72 часа).
- Если на сайте есть персональные рекомендации — опубликовать правила рекомендательных технологий и указать контакт для юридически значимых сообщений.
Отзывы клиентов
Сервис СберЗдоровье
Команда юристов фирмы «Афонин, Божор и партнеры» на постоянной основе сопровождает в юридической части обработку персональных данных и вносят необходимые корректировки. Регулярно обращаемся к специалистам компании и подтверждаем высокий уровень их ответственности и экспертизы
Специалисты компании «Афонин, Божор и партнеры» помогают фирме, среди прочего, в вопросах обработки и защиты конфиденциальной информации и данных. Наши сотрудники часто обращаются к юристам в рамках комплексного обслуживания и рассчитывают на компетентное решение своих вопросов
Halsa | Персональные витамины
Платформа Happy Inc
Юристы компании «Афонин, Божор и партнеры» в рамках абонентского сопровождения сервиса быстро и качественно решают поставленные перед ними задачи, в том числе, в сфере обработки персональных данных пользователей, что минимизирует регуляторные риски и снимает вопросы контрагентов
Часто задаваемые вопросы (FAQ)
Если на сайте обрабатывается только номер телефона, который сам по себе не позволяет идентифицировать конкретного человека, необходимость размещения политики конфиденциальности зависит от обстоятельств обработки. Однако на практике номер телефона обычно собирается вместе с другими сведениями, например именем, IP-адресом или историей обращений. В совокупности эти данные могут позволить идентифицировать человека и признаваться персональными данными.
Слово «баннер» в законе не упоминается, но если на сайте есть аналитические или рекламные cookie, согласие нужно получить до их загрузки, и баннер — типовой способ это сделать. Если на сайте только технические cookie, согласие не требуется, их достаточно описать в политике cookie.
Да. Метрика устанавливает аналитические cookie, поэтому согласие нужно получить до их загрузки (ст. 6 и 9 152-ФЗ). Если счётчик грузится при открытии страницы, он должен запускаться только после того, как посетитель принял cookie. Обычно это решают баннером с кнопками «Принять» и «Отклонить».
Отдельного штрафа за cookie нет. Если аналитические cookie признают персональными данными, обработку без согласия квалифицируют как обработку без законного основания: для организации 150–300 тыс. руб., при повторном нарушении — 300–500 тыс. руб. (ч. 1, 1.1 ст. 13.11 КоАП). К этому могут добавиться штрафы за неопубликованную политику и неподанное уведомление.
Это высокий риск. Google Analytics означает трансграничную передачу: нужны согласие посетителя на аналитические cookie и уведомление Роскомнадзора о трансграничной передаче. Кроме того, данные посетителей сразу записываются в зарубежную базу, что создаёт риск нарушения требования о локализации (ч. 5 ст. 18 152-ФЗ). Безопаснее использовать российские сервисы аналитики.
Да, исключением являются случаи, которые прямо указаны в законе.
Уведомлять Роскомнадзор не нужно, если:
Уведомлять Роскомнадзор не нужно, если:
- данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
- оператор обрабатывает данные только без использования средств автоматизации;
- данные обрабатываются в соответствии с законодательством о транспортной безопасности для защиты транспортного комплекса от актов незаконного вмешательства.
Зависит от того, как он формируется. Если подборка формируется по характеристикам товара одинаково для всех посетителей, это не персональная рекомендация. Если учитывается история просмотров или покупок конкретного пользователя, это рекомендательная технология.
Нет, если сайт показывает товары только по параметрам, которые пользователь выбрал сам. Фильтры, сортировка и поиск по запросу под требования не подпадают.
При каждом изменении обработки данных: новая форма, сервис, CRM, подрядчик, рекомендательный блок. И при изменении закона. Повторную проверку стоит проводить не реже 1 раза в год.
Наши комментарии в СМИ по персональным данным
- 14.05.2026, РБКМожно ли стереть упоминания о человеке из Сети, данных поисковых систем, с сайтов судов? Как грамотно воспользоваться так называемым «правом на забвение»?
- 06.05.2026, КоммерсантГенетические данные будут передаваться за границу только по особому разрешению
- 28.04.2026, РБКРедактор РБК Life Ева Акимова разобрала с юристами все возможные ситуации
- 01.04.2026, RG.RUТермин "врачебная тайна" в российском законодательстве означает любые сведения о состоянии здоровья и диагнозе, которые были получены в ходе обследования и лечения
- 23.03.2026, РамблерЗа первые восемь месяцев 2025 года объём слитых персональных данных россиян вырос вчетверо по сравнению с тем же периодом 2024 года и достиг 13 миллиардов строк
- 27.01.2026, Мир2428 января – Международный день защиты персональных данных
- 14.11.2025, РБК
- 31.10.2025, Московский комсомолец
- 28.07.2025, Журнал PressfeedКак теперь проводить опросы, чтобы не нарушить закон «О персональных данных»?
- Июль 2025, АктионРазобрались в изменениях, которые вступят в силу в июле 2025 года. Узнали, какие проекты сейчас рассматривает Госдума, и рассказали, к чему готовиться, когда их примут
- 23.05.2025, РБКУжесточается ответственность за нарушение правил обработки персональных данных. Это касается не только компаний, но ИП и физлиц — для них санкции могут достигать 800 тыс. руб.
- 23.09.2024, ИзвестияСитуация стала прецедентом в области персональной информации, полагают эксперты
Мы в цифрах
Динамичность
< 3 час.
средний срок ответа на запрос клиента по стандартной задаче. Оперативно отвечаем на обращения и согласовываем сроки решения задач
Заслуживаем доверие
6 лет
подряд нашу фирму и специалистов отмечают рейтинги Право-300, ИД Коммерсантъ, Российская газета в числе лучших юристов
Опыт
9 лет
средний юридический стаж наших экспертов, из которых порядка пяти лет работы в нашей компании. Мы сплоченная команда энтузиастов с прочной позицией на рынке
клиенты из Forbes, RAEX
> 10
крупнейших компаний доверяют нам свои проекты, в их числе компании группы Сбера, Яндекса, Технониколь, LG, 1С и Самолет