Введите данные, и мы вам перезвоним в ближайшее время
Формы заявок, онлайн-запись, личный кабинет и счётчики аналитики делают владельца сайта оператором персональных данных. Что требует 152-ФЗ в 2026 году и как выполнить эти требования на сайте технически.
Оставьте телефон, перезвоним и ответим на вопросы по теме статьи.
Почти любой коммерческий сайт обрабатывает персональные данные. Форма заявки, онлайн-запись, оформление заказа, личный кабинет, даже счётчик аналитики. Значит, компания-владелец становится оператором персональных данных по закону 152-ФЗ «О персональных данных» и должна выполнять его требования.
Мы смотрим на тему со стороны разработки. Какие требования касаются сайта, как реализовать их в формах, где хранить данные и что проверить на уже работающем проекте. Тексты документов пишет юрист, но сделать так, чтобы сайт им соответствовал, приходится разработчикам.
Персональные данные — любая информация, по которой можно определить человека. На сайте они появляются чаще, чем кажется на первый взгляд.
Если на сайте есть хотя бы одна форма, требования 152-ФЗ касаются вашего проекта. Часто владелец уверен, что данных не собирает, потому что личного кабинета нет. А потом выясняется, что на сайте есть виджет обратного звонка, квиз на рекламном лендинге и форма подписки в подвале, которые годами отправляют заявки на почту менеджера.
Оператор персональных данных обязан направить уведомление в Роскомнадзор до начала обработки, то есть до того, как сайт начнёт принимать заявки. Подают его обычно в электронном виде через сайт ведомства. В уведомлении описывают, какие данные и для каких целей собираются, поэтому перед подачей полезно составить перечень всех форм и сервисов на сайте. Этот же перечень потом пригодится для политики и для баннера о cookie.
На сайте должна быть опубликована политика обработки персональных данных. Она описывает, какие данные собираются и зачем, как хранятся и защищаются, кому могут передаваться и как пользователь может реализовать свои права. Технически политика должна открываться с любой страницы, поэтому ссылку на неё обычно ставят в подвал и рядом с каждой формой.
Частая ошибка — скачанный шаблон, который не соответствует реальности. В нём не упомянуты CRM, сервис рассылок или онлайн-чат, которыми компания на самом деле пользуется. Политика должна описывать ваши процессы. Если данные из формы уходят в Битрикс24, а оттуда в сервис рассылок, об этом должно быть сказано, иначе документ формально есть, а по сути он написан про какой-то другой сайт.
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов. Включить его в текст оферты, пользовательского соглашения или правил сервиса больше нельзя. Для сайта это означает отдельный текст согласия и отдельную ссылку на него в каждой форме.
| Элемент формы | Как делать | Чего избегать |
| Согласие на обработку | Отдельный документ, ссылка на него рядом с кнопкой отправки | Согласие внутри оферты или пользовательского соглашения |
| Чекбокс | Пользователь отмечает сам, без отметки форма не отправляется | Заранее проставленная галочка |
| Рекламная рассылка | Отдельный чекбокс, необязательный для отправки заявки | Одна галочка на всё сразу |
| Набор полей | Только данные, нужные для обработки заявки | Дата рождения и адрес в форме обратного звонка |
| Фиксация согласия | Сохранять дату, форму и версию текста согласия вместе с заявкой | Нет записей о том, когда и на что дано согласие |
Заранее проставленная галочка кажется мелочью. Но смысл согласия в том, что человек сам совершил действие, и отметка, которую за него поставил разработчик, этот смысл убирает.
С набором полей всё проще, чем кажется. Каждое лишнее поле означает лишние данные, за которые компания отвечает как оператор, и заодно снижает шанс, что человек вообще дойдёт до кнопки отправки. Если для обратного звонка нужны имя и телефон, дата рождения и адрес в этой форме не нужны. Расширять анкету имеет смысл там, где без данных заявку правда не обработать, например при записи к врачу или оформлении доставки.
Про фиксацию стоит сказать отдельно. Когда заявка сохраняется, вместе с ней полезно записывать дату, форму, с которой она пришла, и версию текста согласия. Тексты со временем меняются, и через год без такой записи будет сложно показать, на что именно человек соглашался. Технически это несколько полей в базе сайта и в CRM, но о них часто забывают на этапе разработки.
Проверьте не только основные формы. Всплывающие окна, квизы, калькуляторы, виджеты обратного звонка и формы на рекламных посадочных страницах обычно добавляют в спешке, и как раз они остаются со старым текстом и одной галочкой на всё. Такие формы мы регулярно находим при аудитах.
С 1 июля 2025 года первичный сбор и хранение персональных данных граждан РФ должны вестись в базах данных на территории России. Для сайта это касается всей цепочки, по которой проходит заявка, а не только сервера, где лежит сам сайт.
Правильная схема выглядит так. Данные сначала попадают в российскую базу, а уже оттуда передаются в другие системы по настроенной интеграции. Как выстроить такую передачу, мы описывали в статье об интеграции сайта с CRM и ERP.
Типичная ситуация на аудите. Форма на сайте сделана сторонним конструктором, заявки из неё идут в зарубежный сервис автоматизации, а оттуда в CRM. Всё работает. Менеджеры довольны. Но первичный сбор в этой схеме происходит не в России. Исправляют это обычно переносом формы на сам сайт и прямой интеграцией с CRM. Если зарубежный сервис всё же нужен, схему стоит отдельно проверить с юристом.
Cookie и счётчики аналитики, например Яндекс Метрика, собирают данные о посетителях, поэтому пользователя нужно информировать об их использовании. Стандартное решение — баннер при первом визите со ссылкой на документ о cookie или на соответствующий раздел политики. Порядок работ обычно такой.
Второй пункт часто даёт неожиданный результат. На сайтах, которые живут несколько лет, скапливаются счётчики от прошлых подрядчиков, пиксели давно закончившихся кампаний, виджеты сервисов, от которых компания отказалась. Они продолжают собирать данные и замедлять загрузку, хотя их отчёты никто не открывает.
С 30 мая 2025 года штрафы за нарушения в сфере персональных данных существенно выросли, а для повторных утечек предусмотрены оборотные штрафы, которые рассчитываются от выручки компании. Одна утечка из плохо защищённой формы или устаревшей CMS может обойтись дороже, чем разработка сайта.
Есть и репутационный риск. Клиенты, чьи данные утекли, теряют доверие к компании, а новость об утечке надолго остаётся в поисковой выдаче.
Поэтому защита данных держится не на одних документах. Нужна техническая гигиена, то есть обновления CMS и модулей, HTTPS, разграничение доступа к админке и CRM, резервные копии, регулярная проверка форм. Эти задачи входят в техническую поддержку сайта. Как требования к персональным данным влияют на бюджет разработки, описано в статье о стоимости сайта.
При разработке сайтов мы закладываем требования к персональным данным с самого начала. Проектируем формы с отдельным согласием и правильными чекбоксами, размещаем ссылки на политику и согласие, настраиваем cookie-баннер, выбираем хостинг и интеграции с CRM так, чтобы данные собирались и хранились в России. Для действующих сайтов проводим технический аудит форм, скриптов, интеграций.
Тексты политики и согласия готовит юрист заказчика, а мы отвечаем за то, чтобы сайт технически им соответствовал. Если хотите проверить свой сайт или запустить новый с учётом текущих требований, заполните бриф.
Статья носит информационный характер и не является юридической консультацией. Требования законодательства о персональных данных меняются, поэтому применительно к вашему бизнесу их стоит уточнить у юриста.
Как правило, да. Имя и телефон из формы относятся к персональным данным, а компания, которая их собирает, становится оператором и обязана направить уведомление в Роскомнадзор до начала обработки. Подпадает ли ваш случай под исключения, лучше уточнить у юриста.
Нет. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов. В форме на сайте должна стоять ссылка именно на текст согласия, а не на оферту или общие правила сервиса.
Если cookie и счётчики аналитики собирают данные о пользователях, посетителя нужно об этом проинформировать. Обычно для этого показывают баннер при первом визите со ссылкой на документ, где описано, какие cookie и сервисы используются и зачем.
С 1 июля 2025 года первичный сбор и хранение данных граждан РФ должны вестись в базах на территории России. Поэтому заявка сначала должна попадать в российскую базу, на сервер сайта или в CRM, размещённую в РФ. Схему с зарубежными сервисами стоит отдельно проверить с юристом.
С 30 мая 2025 года штрафы за нарушения в сфере персональных данных существенно выросли, а за повторные утечки предусмотрены оборотные штрафы. Кроме штрафов, утечка бьёт по репутации, поэтому защиту данных дешевле заложить при разработке сайта.
