Даже обычный сайт компании с формой обратной связи может подпадать под требования Федерального закона № 152-ФЗ «О персональных данных». При этом предприниматели часто ограничиваются размещением шаблонной политики конфиденциальности и считают вопрос закрытым. На практике проверять необходимо не только документы, но и сами формы сбора данных, работу аналитических сервисов, место хранения информации и наличие уведомления Роскомнадзора.
Более 10 лет представляю интересы бизнеса в арбитражных и административных спорах. Защищаю компании при взаимодействии с государственными органами, оспаривании штрафов, нарушении договорных обязательств и разрешении коммерческих конфликтов.
Какие документы по персональным данным должны быть на сайте
Для большинства коммерческих сайтов, собирающих имена, телефоны, адреса электронной почты и другую информацию о посетителях, требуется обеспечить несколько обязательных элементов.
Документ или действие | Когда необходимо |
|---|---|
Политика обработки персональных данных | При обработке персональных данных, в том числе при сборе через сайт |
Согласие на обработку персональных данных | Когда обработка осуществляется на основании согласия |
Отдельное согласие на рекламную рассылку | Если компания собирается направлять рекламные сообщения |
Информация об использовании cookie | Если сайт применяет технологии, связанные с обработкой персональных данных |
Уведомление Роскомнадзора | В большинстве случаев автоматизированной обработки персональных данных |
Защита данных и соблюдение требований локализации | При обработке персональных данных в предусмотренных законом случаях |
Не все перечисленное должно размещаться отдельными страницами. Например, уведомление об обработке персональных данных направляется в Роскомнадзор, а не публикуется на сайте.
Разберем основные требования.
1. Политика обработки персональных данных: обязательна ли на сайте
Да. Статья 18.1 Закона № 152-ФЗ обязывает оператора обеспечить свободный доступ к документу, определяющему его политику обработки персональных данных.
Если сведения собираются через интернет, политика должна быть доступна непосредственно в сети, в том числе на страницах сайта, где осуществляется их сбор.
Наиболее удобный вариант: отдельная страница «Политика обработки персональных данных» со ссылкой в нижней части сайта и возле форм обратной связи.
Что следует указать в документе:
наименование компании или данные индивидуального предпринимателя;
цели обработки персональных данных;
категории посетителей и перечень собираемых сведений;
правовые основания обработки;
действия, которые компания совершает с информацией;
условия передачи данных третьим лицам;
сроки хранения и порядок уничтожения;
порядок обращения пользователя за исправлением или удалением данных;
сведения о реализуемых требованиях к защите персональных данных.
Самая распространенная ошибка: политика существует, но не соответствует реальной работе сайта.
Например, документ утверждает, что компания собирает только имя и номер телефона, хотя сайт дополнительно фиксирует IP-адреса, использует аналитические инструменты и передает заявки в CRM.
При проверке имеет значение фактический порядок обработки информации, а не только содержание опубликованного документа.
2. Согласие на обработку персональных данных: как оформить в 2026 году
С 1 сентября 2025 года действуют изменения статьи 9 Закона № 152-ФЗ, согласно которым согласие на обработку персональных данных должно оформляться отдельно от иных документов и информации, подписываемых или подтверждаемых пользователем.
Это требование необходимо учитывать при оформлении форм заявок, регистрации и подписки.
Например, под формой обратного звонка можно разместить отдельный элемент подтверждения:
«Даю согласие на обработку моих персональных данных в соответствии с условиями согласия на обработку персональных данных».
При этом пользователю должен быть доступен сам текст согласия.
Не рекомендуется заранее устанавливать отметку согласия за посетителя. Компания должна иметь возможность подтвердить, что человек совершил соответствующее действие самостоятельно.
Важно учитывать и другое обстоятельство: согласие требуется не для любой обработки персональных данных.
Статья 6 Закона № 152-ФЗ предусматривает и другие законные основания. Например, обработка определенных сведений может быть необходима для исполнения договора, стороной которого является пользователь.
Поэтому не стоит механически добавлять одинаковые согласия ко всем действиям посетителя. Сначала следует определить цель обработки и соответствующее правовое основание.
3. Нужно ли отдельное согласие на рекламную рассылку
Если компания планирует отправлять посетителям рекламные письма, SMS или рекламные сообщения через мессенджеры, вопрос согласия необходимо решать отдельно.
Часть 1 статьи 18 Федерального закона № 38-ФЗ «О рекламе» требует предварительного согласия адресата на получение рекламы по сетям электросвязи.
Причем именно рекламораспространитель обязан доказать, что такое согласие было получено.
Рассмотрим распространенную ситуацию.
Посетитель оставил номер телефона, чтобы менеджер уточнил стоимость услуги. На следующий день компания начинает отправлять ему сообщения о скидках, акциях и новых предложениях.
Сам факт отправки заявки не дает организации права использовать номер для рекламной рассылки.
Для таких целей необходимо получить самостоятельное предварительное согласие.
Практически это можно реализовать с помощью отдельного необязательного чекбокса «Согласен получать рекламные предложения». Желательно сохранять дату, содержание согласия и другие сведения, позволяющие подтвердить его получение.
Многие сайты устанавливают всплывающее сообщение: «Мы используем файлы cookie. Продолжая пользоваться сайтом, вы соглашаетесь с их использованием».
Однако в российском законодательстве нет универсального требования размещать именно такой баннер на каждом сайте.
Юридическое значение имеет то, какие сведения собираются с помощью cookie и других технологий, можно ли идентифицировать пользователя и на каком основании происходит обработка.
Например, сайт может использовать:
технические cookie для работы личного кабинета;
аналитические инструменты для изучения посещаемости;
рекламные идентификаторы для настройки маркетинговых кампаний;
сторонние сервисы, получающие сведения о действиях пользователей.
Для каждого случая необходимо определить состав информации, цель и законное основание обработки.
Если требуется согласие пользователя, простого уведомления о применении cookie недостаточно. Необходимо обеспечить действительное волеизъявление и возможность его подтвердить.
При наличии аналитики и рекламных инструментов рекомендую отдельно описывать их использование в политике обработки персональных данных.
5. Нужно ли регистрироваться в Роскомнадзоре как оператор персональных данных
Обычно да.
Статья 22 Закона № 152-ФЗ предусматривает обязанность оператора уведомить Роскомнадзор до начала обработки персональных данных, кроме прямо установленных законом исключений.
После изменений законодательства перечень таких исключений существенно сократился.
Например, обработка данных исключительно без использования средств автоматизации при соблюдении установленных условий может осуществляться без уведомления.
Но если сведения из формы обратной связи поступают на электронную почту, сохраняются в CRM или другой информационной системе, рассчитывать на указанное исключение, как правило, нельзя.
Даже небольшой сайт индивидуального предпринимателя с формой заявки может требовать направления уведомления в Роскомнадзор.
Это бесплатная процедура. Направить уведомление можно через официальный портал ведомства.
При этом внесение в реестр операторов не заменяет обязанности правильно организовать обработку персональных данных.
Если компания уже направляла уведомление, необходимо проверить актуальность указанных сведений, включая цели обработки и информацию об используемых системах.
6. Где должны храниться персональные данные пользователей сайта
С 1 июля 2025 года ужесточены требования к локализации персональных данных граждан России.
В соответствии с частью 5 статьи 18 Закона № 152-ФЗ при сборе таких данных, в том числе через интернет, запрещается осуществлять перечисленные в законе операции с использованием баз данных за пределами Российской Федерации, кроме предусмотренных исключений.
Для бизнеса это означает необходимость проверить не только расположение сервера сайта.
Например, форма заявки может работать на российском хостинге, но одновременно отправлять контакты пользователей в иностранную CRM или облачную систему.
Подобная схема требует отдельной правовой оценки.
При этом законодательство не устанавливает абсолютного запрета на любую последующую трансграничную передачу персональных данных. Однако для такой передачи действуют специальные требования статьи 12 Закона № 152-ФЗ, включая отдельное уведомление Роскомнадзора в предусмотренных случаях.
Особенно внимательно рекомендую проверять сервисы аналитики, CRM, рассылок и интеграции с иностранными платформами.
7. Что должно быть под формой обратной связи на сайте
Возьмем типичную форму коммерческого сайта: посетитель указывает имя, номер телефона и нажимает кнопку «Получить консультацию».
Для такой формы следует определить цель обработки, правовое основание и способ информирования пользователя.
Если обработка осуществляется на основании согласия, практический вариант выглядит следующим образом:
Поля формы:
Имя.
Номер телефона.
Отдельный чекбокс:
«Даю согласие на обработку персональных данных».
Слова «согласие на обработку персональных данных» должны вести к документу с конкретным содержанием.
Рядом желательно разместить доступную ссылку на политику обработки персональных данных.
С технической стороны необходимо обеспечить фиксацию подтверждения и защиту передаваемой информации.
При этом требовать паспортные данные, дату рождения или домашний адрес для обычного обратного звонка, как правило, нет необходимости.
Закон требует ограничивать обработку конкретными целями. Собирать дополнительную информацию «на всякий случай» неправильно.
