Персональные данные на сайте: что нужно разместить и как избежать штрафа

У многих сайтов персональные данные собираются незаметно: через форму обратной связи, заказ товара, запись на услугу, личный кабинет, чат, квиз, подписку или сервисы аналитики. Это не только паспортные данные. По ст. 3 закона № 152-ФЗ персональными данными могут быть имя, телефон, email, IP-адрес, cookie-файлы и другие сведения, если они позволяют связать информацию с конкретным человеком

Не нужно ждать, пока пользователь отправит скан паспорта. Если человек ввел номер телефона, написал сообщение в чат, оставил почту для рассылки или оформил заказ, сайт уже получает данные. Отдельно стоит проверить технические инструменты: Яндекс.Метрику, рекламные пиксели, cookie, коллтрекинг, CRM и онлайн-консультанты. Они тоже могут участвовать в сборе и передаче сведений о посетителях

Основной документ — политика обработки персональных данных. По ч. 2 ст. 18.1 закона № 152-ФЗ оператор должен сделать ее доступной для пользователей и раскрыть сведения о реализуемых требованиях к защите персональных данных

Ссылку на политику лучше размещать не только в подвале сайта, но и около форм, через которые пользователь отправляет данные. В самой политике стоит прописать, кто является оператором, какие данные получает сайт, для чего они нужны, кому могут передаваться, сколько времени хранятся и как пользователь может отозвать согласие, уточнить или удалить свои данные

По ст. 6 закона № 152-ФЗ обработка персональных данных возможна только при наличии законного основания. На сайте таким основанием часто становится согласие пользователя, а в отдельных случаях - исполнение договора или иное основание из закона. По ст. 9 закона № 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным

На практике рядом с формой лучше ставить отдельный чекбокс с понятной фразой о согласии на обработку персональных данных. Галочку пользователь должен поставить сам. С 1 сентября 2025 года согласие нельзя маскировать внутри пользовательского соглашения: его оформляют отдельно от других документов и подтверждений

Если данные нужны не только для ответа на заявку, а еще для рекламы, рассылки, звонков, сообщений или передачи партнерам, сначала нужно определить законное основание. Когда такого основания нет, безопаснее подготовить отдельные согласия под разные цели. Для рекламных писем, звонков и сообщений применяется ст. 18 закона № 38-ФЗ «О рекламе»: такая реклама возможна только после предварительного согласия адресата

Если сайт использует cookie, Яндекс.Метрику, пиксели, коллтрекинг или сквозную аналитику, это лучше прямо описать в политике. Пользователю нужно объяснить, какие сведения собираются автоматически, зачем нужна аналитика и как можно ограничить такую обработку

Для данных граждан РФ важно учитывать правило локализации. По ч. 5 ст. 18 закона № 152-ФЗ при сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение данных должны выполняться с использованием баз данных, находящихся в РФ, с учетом исключений, предусмотренных законом. Поэтому стоит проверить хостинг, CRM, формы заявок, сервис рассылки и иностранные платформы, через которые проходят данные

По ч. 1 ст. 22 закона № 152-ФЗ оператор обязан уведомить Роскомнадзор до начала обработки персональных данных, если нет исключений, прямо предусмотренных законом. Если сайт принимает заявки, заказы, регистрации, подписки или использует личный кабинет, этот вопрос лучше разобрать до запуска рекламы и сбора лидов

Ответственность предусмотрена ст. 13.11 КоАП РФ. Штраф возможен за обработку без законного основания, отсутствие корректного согласия, ошибки в политике, нарушение правил хранения, утечку данных или неподачу уведомления в Роскомнадзор

Персональные данные на сайте - это не техническая мелочь, а отдельная зона юридического риска. Минимально нужно проверить политику, согласия, формы, cookie, аналитику, хранение данных, уведомление Роскомнадзора и порядок ответа на запросы пользователей

Телеграм: https://t.me/valerirenov