Документы на сайте по 152-ФЗ: полный перечень для бизнеса

На сайте по 152-ФЗ обязательны четыре элемента: политика обработки персональных данных, согласие пользователя на обработку данных при каждой форме сбора, уведомление в Роскомнадзор об обработке ПД (подаётся не на сайте, а через личный кабинет РКН) и реквизиты оператора. Их отсутствие — прямое основание для штрафа по ст. 13.11 КоАП РФ и повод для внеплановой проверки.

какие документы обязательны на сайте по 152-ФЗ: полный перечень

Если на сайте есть хотя бы одна форма — обратная связь, заявка, подписка на рассылку, форма скачивания прайса, форма записи на консультацию — сайт уже обрабатывает персональные данные, и на него распространяется 152-ФЗ «О персональных данных» (полный текст закона — на КонсультантПлюс). Не важно, что компания малая и данные никуда дальше не передаёт: закон не делает исключения по размеру бизнеса. Обязательный набор документов и элементов такой:

• ✓политика обработки персональных данных — отдельная страница с описанием оператора, целей сбора, состава данных, сроков хранения и условий передачи третьим лицам;
• ✓согласие на обработку персональных данных — чекбокс рядом с каждой формой, не проставленный по умолчанию, со ссылкой на политику;
• ✓уведомление в Роскомнадзор об обработке ПД через pd.rkn.gov.ru — обязательно для большинства операторов, кроме случаев из ст. 22 152-ФЗ (например, обработка данных только своих сотрудников по трудовому договору);
• ✓реквизиты оператора — юрлицо или ИП, ОГРН/ОГРНИП, юридический адрес, обычно указываются в самой политике или на странице «реквизиты».

Отдельно уведомление в РКН — это не документ на сайте, а факт регистрации оператора в реестре. Но проверяющие сверяют реестр с сайтом компании в первую очередь: если сайт активно собирает заявки, а компании нет в реестре операторов, вопросов у РКН становится больше, а не меньше.

для интернет-магазина набор шире

Если на сайте стоят счётчики аналитики и рекламные пиксели, добавляется описание использования cookies и согласие на них — отдельным баннером или пунктом в той же политике. Если есть рассылка по e-mail или SMS, нужно отдельное согласие на маркетинговые коммуникации: 152-ФЗ и закон «О рекламе» здесь работают вместе, и одного чекбокса «согласен с политикой» для рассылки недостаточно. Отдельно стоит вопрос оплаты онлайн: если приём платежей идёт через сторонний платёжный сервис, в политике нужно указать и его как получателя данных карты и контактов покупателя.

для сайта с онлайн-чатом или CRM-интеграцией

Данные из формы часто уходят не только на почту менеджера, а сразу в CRM, к сервису чата или в сервис рассылок — то есть третьим лицам-обработчикам. Это нужно прямо назвать в политике: кому передаются данные и с какой целью. Молчание про виджет чата в тексте политики — частая находка при проверке, потому что фактическая обработка не совпадает с описанной. То же касается систем веб-аналитики и рекламных кабинетов: если данные передаются за пределы России, это отдельно фиксируется как трансграничная передача.

почему на сайте нет нужных документов и чем это грозит

Компания на 18 человек в Москве заказала сайт-визитку в 2020 году. Форма «оставить заявку» стоит с открытия — имя, телефон, e-mail улетают на почту менеджера по продажам. Чекбокса согласия нет, ссылки на политику тоже: подрядчик про 152-ФЗ не спросил, заказчик не знал, что спрашивать, а сайт с тех пор ни разу не проверяли, потому что формально «всё работает».

Но весной один из клиентов пожаловался в Роскомнадзор после навязчивого обзвона его номера сторонней компанией — след привёл в том числе к этому сайту. Пришла внеплановая проверка. Она нашла форму без согласия и отсутствие политики на сайте — при том что сайт работал пять лет и передал данные тысяч людей без правового основания. Поэтому компания получила акт о нарушении и предписание устранить нарушение в срок, а не просто рекомендацию «на будущее».

Если этого не сделать, бизнес теряет не только сумму штрафа по ст. 13.11 КоАП РФ. Яндекс Директ при модерации объявлений с формой на посадочной странице требует ссылку на политику обработки данных — без неё рекламный аккаунт блокируют или отклоняют кампанию, и рекламный бюджет просто не доходит до сайта. В тендерах и при работе с крупными заказчиками проверка сайта подрядчика на соответствие 152-ФЗ — обычный пункт due diligence, и его провал стоит контракта ещё до разговора о цене.

как исправить: что разместить на сайте и как оформить

Пять действий закрывают базовый набор требований:

1. ✓написать политику под конкретный сайт — не копировать чужой документ: цели обработки, состав данных и юрлицо у каждой компании свои, и при проверке несовпадение текста с фактом работы формы — отдельное нарушение;
2. ✓разместить ссылку на политику в подвале на всех страницах сайта, а не только на странице «контакты»;
3. ✓добавить чекбокс согласия у каждой формы, которая передаёт данные, — обратная связь, подписка, заказ, скачивание файла, форма на лендинге;
4. ✓подать уведомление в Роскомнадзор через личный кабинет, если компания не входит в перечень исключений ст. 22 152-ФЗ;
5. ✓проверить фактические маршруты данных — куда уходит информация из формы: на почту, в CRM, в сервис чата, за рубеж — и отразить это в политике.

Последний пункт руками проверить сложнее всего: нужно смотреть код формы и настройки интеграций, а не только текст на странице. В аудите сайта по 9 направлениям проверка соответствия 152-ФЗ — один из блоков: мы сверяем текст политики с фактическими формами, виджетами и счётчиками на странице, а не просто фиксируем факт наличия документа.

что делать, если Роскомнадзор находит нарушение повторно

Частый сценарий: политику и чекбокс добавили на основную форму обратной связи после первой проверки, отчитались об устранении. Но через полгода маркетолог запускает лендинг под рекламную кампанию с новой формой заявки — и про чекбокс согласия на этой странице никто не вспоминает, потому что её собирали не веб-разработчики, а подрядчик по лендингам. При повторной проверке РКН фиксирует то же нарушение на другой странице того же сайта.

Формально это уже повторное нарушение — а по ст. 13.11 КоАП РФ повторное нарушение наказывается ощутимо строже первого, вплоть до кратного роста суммы штрафа. Причина всегда одна: документы добавили точечно, под конкретную проверку, а не как обязательное правило для любой новой страницы с формой. Проверяющий не обязан верить на слово, что «на этот раз всё поправили» — он смотрит весь домен целиком, включая поддомены и лендинги на отдельных URL.

Что делать: провести повторный аудит всего сайта целиком, включая лендинги, квизы и всплывающие формы, которые могли появиться уже после первого исправления, — а не только той страницы, на которую указала проверка. Быстрее и надёжнее заказать это как отдельную проверку в рамках аудита сайта, чем поручать разным подрядчикам искать нарушения каждому на своём участке.

как предотвратить нарушения 152-ФЗ на сайте в будущем

Разовое исправление снимает конкретную претензию, но не защищает от следующей — особенно если сайтом занимаются разные подрядчики: одни ведут основной домен, другие делают посадочные под рекламу. Помогает не разовая правка, а процесс:

• ✓закрепить письменное правило: любая новая страница с формой публикуется только после проверки на 152-ФЗ — чекбокс, ссылка на политику, соответствие текста политики фактическим полям формы;
• ✓при смене CRM, чат-виджета, сервиса аналитики или рассылок — обновлять политику в тот же день, а не «когда-нибудь потом»;
• ✓назначить одного ответственного за соответствие — маркетолога, подрядчика или юриста, — а не оставлять вопрос между отделами;
• ✓включить проверку 152-ФЗ в регулярный технический аудит сайта, а не в разовую акцию после жалобы.

Для компаний, у которых сайт меняется часто — новые лендинги, акции, интеграции — разумнее не проверять документы вручную при каждом релизе, а закрыть это в рамках регулярного аудита. Что входит в проверку и сколько это стоит — на странице тарифов.

Точные суммы штрафов зависят от состава нарушения, статуса компании и решения проверяющего органа — таблица показывает норму и тип последствий, а не гарантированную цифру для конкретного дела. На аудите сайта мы фиксируем каждое нарушение отдельной строкой в отчёте со ссылкой на норму — так юристу или руководителю проще решить, что чинить в первую очередь, а с чем можно подождать до следующего релиза сайта. Полный список направлений проверки — на странице аудита сайта.

❓ Частые вопросы

Нужна ли политика конфиденциальности, если на сайте только визитка без форм?

Если на сайте нет ни одной формы, счётчика с идентификаторами пользователей и файлов cookie, обязательных документов по 152-ФЗ формально не требуется. Но большинство сайтов ставят счётчики аналитики уже при запуске — а это уже сбор данных, и политика обработки персональных данных нужна.

Обязательно ли подавать уведомление в Роскомнадзор для маленькой компании?

Да, если компания не входит в перечень исключений ст. 22 152-ФЗ — например, обрабатывает данные не только своих сотрудников по трудовому договору. Размер бизнеса на обязанность не влияет: уведомление подаёт и ИП с одной формой на сайте, и крупная компания.

Можно ли скопировать политику конфиденциальности с другого сайта?

Формально можно взять чужой текст за основу, но нельзя оставить чужие реквизиты, цели обработки и состав данных. При проверке несовпадение текста политики с фактической работой сайта — отдельное нарушение, которое находят даже быстрее, чем отсутствие документа вовсе, потому что видно с первого взгляда на текст.

Что делать, если раньше документов не было и уже была жалоба клиента?

Разместить политику и чекбоксы согласия на всех формах сайта, подать уведомление в РКН, если его ещё нет, и устранить нарушение в срок из предписания. Дальше стоит проверить весь сайт целиком, включая лендинги: повторное нарушение на другой странице наказывается строже.

Сколько стоит проверить сайт на соответствие 152-ФЗ?

Проверка входит в комплексный аудит сайта по 9 направлениям вместе с технической SEO-частью, безопасностью, скоростью и CRO. Точная стоимость зависит от объёма сайта, количества страниц и форм — актуальные тарифы смотрите на странице тарифов ukved.ru.