Сайт и 152-ФЗ: чек-лист по персональным данным в 2026 году

Форма обратной связи из двух полей уже может сделать владельца сайта оператором персональных данных. Имя, телефон, электронная почта, адрес доставки, данные личного кабинета и другие сведения относятся к конкретному человеку и используются для определенной цели — например, чтобы ответить на запрос или оформить заказ.

Соблюдение 152-ФЗ — это не одна галочка под формой. Нужно понимать, какие данные собирает сайт, на каком основании они обрабатываются, где хранятся, кому передаются и когда удаляются. Юридические документы должны совпадать с реальной технической схемой.

Ниже — практический чек-лист для владельца сайта и команды разработки. Материал актуализирован на 13 октября 2026 года и объясняет общие требования. Он не заменяет консультацию юриста: конкретный набор документов и мер зависит от процессов компании и категорий данных.

Какие данные на сайте могут быть персональными

Персональные данные — любая информация, которая прямо или косвенно относится к определенному или определяемому человеку.

На сайте чаще всего собираются:

• имя, фамилия и отчество;
• телефон и электронная почта;
• адрес доставки;
• дата рождения;
• реквизиты заказа и история обращений;
• данные учетной записи;
• сведения из резюме;
• фотографии, аудио и документы;
• технические идентификаторы и сведения об устройстве, если в конкретной системе они позволяют выделить пользователя или связать его действия.

Важно оценивать не отдельное поле, а весь набор данных и контекст. Например, комментарий без имени может содержать телефон или сведения о здоровье. Файл, загруженный в форму, может включать больше информации, чем предполагает интерфейс.

Проведите инвентаризацию

Составьте таблицу для всех точек сбора:

Точка	Какие данные	Цель	Куда передаются	Срок хранения
Форма заявки	Имя, телефон, комментарий	Ответить на запрос	CRM, корпоративная почта	По утвержденному сроку
Заказ	Контакты, адрес, состав заказа	Исполнить договор	CMS, ERP, доставка	По договору и требованиям учета
Личный кабинет	Контакты, пароль, история действий	Предоставить доступ к сервису	База сайта	Пока действует учетная запись и далее по правилам хранения
Подписка	Email	Отправлять рассылку	Сервис рассылок	До отписки или прекращения основания

Такая карта нужна одновременно юристу, разработчику и ответственному за персональные данные. Без нее политика часто описывает один процесс, а сайт выполняет другой.

Шаг 1. Определите оператора, цели и правовые основания

Оператор — лицо, которое определяет цели и состав обработки. Для коммерческого сайта это обычно организация или индивидуальный предприниматель, которому принадлежит бизнес, а не студия-разработчик.

Для каждой цели укажите:

• категорию пользователей;
• перечень данных;
• действия с данными;
• правовое основание;
• срок обработки и хранения;
• порядок удаления;
• получателей и обработчиков.

Нельзя собирать данные «на всякий случай». Поле должно быть связано с понятной целью. Если для обратного звонка достаточно имени и телефона, запрос паспортных данных будет избыточным.

Согласие — распространенное, но не единственное основание. В отдельных сценариях данные обрабатываются для заключения или исполнения договора, выполнения обязанности по закону и на других основаниях, перечисленных в статье 6 Федерального закона № 152-ФЗ. Правовое основание должен определить юрист с учетом конкретного процесса.

Шаг 2. Разместите политику обработки персональных данных

Если персональные данные собираются через интернет, оператор обязан опубликовать политику и обеспечить доступ к ней на страницах, где происходит сбор. Это следует из статьи 18.1 Федерального закона № 152-ФЗ.

В политике обычно описывают:

• сведения об операторе;
• цели обработки;
• категории субъектов и данных;
• основания и способы обработки;
• сроки обработки и хранения;
• порядок уточнения, блокирования и уничтожения;
• передачу третьим лицам;
• трансграничную передачу, если она есть;
• меры защиты;
• порядок обращений и отзыва согласия;
• контакт ответственного.

Ссылка должна быть заметной и доступной без регистрации. Обычно ее размещают в подвале и рядом с формами. Но наличие ссылки не исправит документ, который скопирован у другой компании и не совпадает с фактическими сервисами.

Шаг 3. Настройте отдельное и доказуемое согласие

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов и информации, которые подтверждает или подписывает пользователь. Требование закреплено в статье 9 Федерального закона № 152-ФЗ.

Практически это означает, что согласие не стоит прятать внутри пользовательского соглашения или длинного общего текста. Механика должна позволять подтвердить отдельное волеизъявление пользователя.

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оператор обязан доказать факт его получения или наличие другого законного основания.

Для формы важно определить:

• текст рядом с действием пользователя;
• ссылку на отдельный документ согласия;
• цели и состав данных;
• сведения об операторе;
• срок действия и способ отзыва;
• способ технической фиксации версии текста, даты, времени и действия пользователя.

Одна галочка не должна охватывать все цели

Ответ на заявку и рекламная рассылка — разные цели. Если компания планирует отправлять маркетинговые сообщения, согласие на них лучше получать отдельно с учетом требований не только законодательства о персональных данных, но и закона о рекламе.

Предустановленная галочка плохо подтверждает свободный и однозначный выбор. Пользователь должен совершить действие сам.

Шаг 4. Проверьте уведомление Роскомнадзора

По общему правилу оператор до начала обработки персональных данных уведомляет Роскомнадзор. Перечень исключений сейчас узкий и указан в статье 22 Федерального закона № 152-ФЗ.

В уведомлении указывают, в частности, цели, категории данных и субъектов, основания, действия с данными, меры защиты, сведения об ответственном, местонахождение баз и наличие трансграничной передачи.

При изменении процессов сведения в реестре нужно актуализировать. Поэтому запуск новой формы, сервиса аналитики, CRM или личного кабинета — повод проверить не только интерфейс, но и уведомление оператора.

Решение о необходимости и содержании уведомления следует принимать с юристом или специалистом по персональным данным.

Шаг 5. Соблюдайте требования к локализации баз

При сборе персональных данных граждан России через интернет запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России не допускаются, кроме прямо предусмотренных законом случаев. Текущая редакция требования приведена в части 5 статьи 18 Федерального закона № 152-ФЗ.

Проверьте не только основной сервер сайта, но и всю цепочку:

• CMS и базу данных;
• CRM;
• сервис рассылок;
• формы и виджеты;
• аналитику;
• коллтрекинг;
• облачные документы;
• резервные копии;
• сервис поддержки;
• логи и мониторинг.

Если заявка сначала записывается в зарубежный сервис, а затем копируется на российский сервер, простое дублирование не решает вопрос первичного сбора. Архитектуру нужно оценивать до подключения инструмента.

Трансграничная передача — отдельный процесс с дополнительными требованиями и уведомлением. Его нельзя автоматически считать допустимым только потому, что у компании есть политика.

Шаг 6. Зафиксируйте отношения с подрядчиками

Данные часто обрабатывают не только сотрудники владельца сайта. Доступ могут иметь хостинг-провайдер, разработчик, CRM-интегратор, сервис рассылок, колл-центр и техническая поддержка.

Если компания поручает обработку другому лицу, в договоре или поручении должны быть определены:

• цели;
• перечень данных;
• допустимые действия;
• требования к конфиденциальности;
• меры безопасности;
• требования к локализации;
• порядок подтверждения соблюдения мер;
• действия при инциденте;
• возврат или удаление данных после завершения работ.

Разработчику не нужен постоянный доступ к рабочей базе только потому, что он создавал сайт. Выдавайте минимально необходимые права, используйте отдельные учетные записи и отзывайте доступ после выполнения задачи.

Шаг 7. Обеспечьте техническую защиту

SSL-сертификат защищает канал передачи, но не всю систему. Необходимо оценить угрозы и выбрать правовые, организационные и технические меры с учетом характера данных и архитектуры.

Для большинства сайтов базовый список включает:

• HTTPS на всех страницах;
• своевременные обновления CMS, библиотек и серверного ПО;
• уникальные учетные записи;
• сложные пароли и многофакторную аутентификацию для администраторов;
• разграничение прав по ролям;
• защиту форм от автоматических атак;
• безопасное хранение паролей;
• журналирование критических действий;
• резервное копирование и проверку восстановления;
• ограничение доступа к резервным копиям;
• мониторинг доступности и подозрительной активности;
• регламент реагирования на инциденты.

Не отправляйте полные данные заявки в открытый групповой чат. Уведомление менеджеру может содержать номер обращения и ссылку на защищенную систему вместо всего содержимого формы.

Шаг 8. Проверьте cookies и системы аналитики

Cookie-файлы и технические идентификаторы требуют отдельного анализа: какие данные они сохраняют, можно ли связать их с пользователем, кому они передаются и для какой цели используются.

На практике компании создают политику использования cookies и механизм управления необязательными категориями. Баннер должен отражать реальные настройки, а не просто сообщать, что cookies используются.

Проверьте:

• какие скрипты загружаются при первом посещении;
• запускаются ли необязательные счетчики до выбора пользователя;
• передаются ли данные третьим лицам;
• где расположена инфраструктура поставщика;
• какие сроки хранения установлены;
• можно ли изменить выбор позже.

Юрист должен определить правовое основание и нужную механику согласия для конкретного набора сервисов.

Шаг 9. Установите сроки хранения и удаления

Персональные данные не должны храниться бессрочно без цели. Для каждого процесса установите срок или понятное условие прекращения обработки.

После достижения цели оператор прекращает обработку и уничтожает данные в сроки, предусмотренные законом, если нет другого основания для продолжения хранения. Например, часть сведений о заказе может требоваться для бухгалтерского или налогового учета, а маркетинговая подписка должна прекращаться после отзыва согласия.

Технически нужно предусмотреть:

• поиск данных по запросу субъекта;
• исправление неточностей;
• блокирование;
• удаление из активной системы;
• правила обращения с резервными копиями;
• подтверждение выполненного удаления.

Кнопка «удалить пользователя» в административной панели не всегда удаляет его данные из CRM, рассылки, файлов и интеграций.

Шаг 10. Подготовьте процесс к инцидентам и обращениям

Компания должна знать, кто принимает запросы пользователей, кто проверяет основания, кто вносит изменения в системы и кто общается с регулятором.

Нужны понятные инструкции на случай:

• отзыва согласия;
• запроса сведений об обработке;
• требования уточнить или удалить данные;
• ошибочной отправки информации;
• утраты доступа;
• утечки или несанкционированного доступа.

Реагировать на инцидент впервые по факту — медленно и рискованно. Контакты, роли и порядок действий лучше определить заранее и проверить на учебном сценарии.

Быстрый чек-лист сайта по 152-ФЗ

Перед запуском проверьте:

• определен оператор персональных данных;
• составлена карта всех точек сбора и передачи данных;
• для каждой цели определено правовое основание;
• опубликована актуальная политика обработки персональных данных;
• согласие оформлено отдельно и его получение можно доказать;
• маркетинговые коммуникации отделены от обработки заявки;
• проверена обязанность уведомить Роскомнадзор;
• сведения в реестре оператора соответствуют фактическим процессам;
• первичный сбор и хранение организованы с учетом требования локализации;
• оценена трансграничная передача;
• с обработчиками заключены необходимые договоры и поручения;
• доступы выдаются по ролям и регулярно пересматриваются;
• настроены обновления, резервные копии и мониторинг;
• определены сроки хранения и порядок удаления;
• есть процесс работы с обращениями и инцидентами.

Частые вопросы

Нужна ли политика сайту без личного кабинета?

Если сайт собирает персональные данные через форму, заказ, подписку, обратный звонок или другой онлайн-сценарий, требования к публикации политики могут применяться и без личного кабинета.

Достаточно ли текста «нажимая кнопку, вы соглашаетесь»?

Не всегда. Нужно учитывать требование об отдельном согласии, его конкретность, содержание, способ выражения и возможность доказать получение. Механику следует согласовать с юристом.

Можно ли хранить заявки в электронной почте?

Почта становится частью системы обработки. Нужно оценить ее местонахождение, доступы, защиту, сроки хранения и резервное копирование. Для работы с заявками обычно удобнее использовать настроенную CRM с ролевым доступом.

Отвечает ли разработчик за соблюдение 152-ФЗ?

Оператором обычно является владелец бизнеса, который определяет цели обработки. Но разработчик обязан реализовать согласованные требования и может выступать обработчиком по поручению. Ответственность сторон и меры защиты фиксируются в договоре.

Гарантирует ли российский хостинг полное соответствие?

Нет. Локализация — только одно из требований. Важны основания обработки, документы, согласия, уведомления, доступы, безопасность, сроки хранения и все подключенные сервисы.

Главное

Соответствие 152-ФЗ создается на стыке права, процессов и технологии. Нельзя сначала подключить формы, CRM и аналитику, а потом попытаться описать их универсальной политикой.

При разработке или аудите сайта Акрелис может помочь составить техническую карту сбора и передачи данных, проверить архитектуру интеграций, доступы, хранение и защиту. Юридические основания и формулировки документов необходимо согласовать с профильным специалистом. Обсудить техническую часть проекта.