Что по закону должно быть на сайте: политика, согласие и уведомление в Роскомнадзор
Вы поставили на сайт форму «оставьте телефон, перезвоним». С этого момента вы обрабатываете персональные данные - и на вас распространяются требования, о которых большинство узнаёт из письма с проверкой.
Разберём, что обязано быть на сайте, куда и когда подавать уведомление и сколько стоит этого не сделать.
Что делает вас оператором персональных данных
Достаточно любого из этого:
- Форма заявки или обратного звонка - там имя и телефон
- Форма записи на услугу
- Подписка на рассылку - адрес почты тоже персональные данные
- База клиентов, даже в таблице
- Онлайн-чат, где спрашивают контакты
Оператор - не только крупная компания. Это любой, кто собирает и хранит данные людей: ИП, самозанятый, небольшая студия. Никакого порога по обороту или числу клиентов нет.
Обязательный минимум на сайте
Политика обработки персональных данных
Это не формальность и не «желательно». Часть 2 статьи 18.1 закона 152-ФЗ прямо обязывает оператора, который собирает данные через интернет, опубликовать документ о своей политике обработки и обеспечить к нему доступ.
На практике это отдельная страница, ссылка на которую стоит в подвале сайта и рядом с каждой формой.
Что в ней должно быть: кто оператор с реквизитами, какие данные собираете, зачем, на каком основании, сколько храните, кому передаёте, как человек может отозвать согласие и куда написать.
Согласие на обработку
Рядом с формой - чекбокс со ссылкой на политику. Ключевое: галочка не должна стоять заранее. Проставленная по умолчанию галочка согласием не считается, потому что согласие обязано быть конкретным и осознанным.
Формулировка вида «Отправляя форму, вы соглашаетесь» без чекбокса - слабая позиция. Лучше явный флажок.
Реквизиты
Кто владелец сайта: наименование или ФИО для ИП, ИНН, контакты. Это одновременно требование к политике, элемент доверия и то, что смотрит модерация рекламных систем - подробнее об этом в разборе посадочной страницы для Директа.
Cookie и аналитика
Если стоит Метрика или другой счётчик - упомяните это в политике. Отдельного закона о cookie-баннерах в России нет, но данные, которые собирает аналитика, могут относиться к персональным, и умолчание об этом - лишний риск.
Уведомление в Роскомнадзор
Здесь главное изменение последних лет, о котором многие не знают.
Статья 22 закона 152-ФЗ обязывает оператора уведомить Роскомнадзор о начале обработки персональных данных. С 30 мая 2025 года перечень исключений практически обнулился - раньше многие подпадали под освобождение, теперь уведомление подаёт почти каждый, кто работает с данными людей.
Как подать
- Открыть портал персональных данных -
pd.rkn.gov.ru, раздел с формой уведомления - Заполнить: кто оператор, какие данные и с какой целью обрабатываете, на каком правовом основании, какие меры защиты применяете, где физически хранятся данные
- Распечатать, подписать и отправить в территориальный орган Роскомнадзора - лично или почтой
Третий шаг пропускают чаще всего. Заполнить форму онлайн недостаточно: подписанный документ должен дойти до вашего управления РКН.
Уведомление подаётся до начала обработки - то есть до запуска сайта с формой, а не после.
Сколько стоит не сделать
Ответственность за неподачу уведомления - часть 10 статьи 13.11 КоАП РФ:
| Кто | Штраф |
|---|---|
| Физические лица | 5 000 - 10 000 ₽ |
| Должностные лица | 30 000 - 50 000 ₽ |
| ИП и организации | 100 000 - 300 000 ₽ |
Отдельно наказывается обработка без согласия, несоответствие заявленным целям и отсутствие политики на сайте - это другие части той же статьи.
Проверки бывают и без визита: Роскомнадзор мониторит сайты, и отсутствие политики видно за минуту.
Что смотрят в первую очередь
Если поставить себя на место проверяющего, порядок такой:
- Есть ли страница с политикой и открывается ли она
- Указан ли в политике оператор с реквизитами
- Есть ли согласие рядом с формой и не проставлено ли оно заранее
- Совпадает ли заявленная цель обработки с тем, что происходит на деле
- Подано ли уведомление - это проверяется по реестру операторов
Частые ошибки
Политика скопирована у другого сайта. Вместе с чужими реквизитами и чужими целями обработки. Документ, в котором оператором указана посторонняя компания, не защищает вообще.
Ссылка на политику есть, страницы нет. Классика при переносе сайта: подвал остался, страница потерялась.
Галочка проставлена заранее. Сделано ради конверсии, но обесценивает согласие.
Форма собирает больше, чем нужно. Дата рождения и адрес «на всякий случай» - это лишние данные, которые надо обосновывать. Собирайте минимум: для заявки хватает имени и телефона.
Уведомление заполнено онлайн, но не отправлено на бумаге. Формально обязанность не исполнена.
Как это устроено технически
Три страницы - политика, согласие и реквизиты - нужны на любом сайте, независимо от того, чем он собран. Если делаете сайт в Wuna, попросите добавить их сразу: «добавь страницу политики обработки персональных данных и чекбокс согласия рядом с формой записи».
Важнее другое - где окажутся сами заявки. Они пишутся во встроенную базу проекта, то есть остаются у вас, а не расходятся по сторонним сервисам. В уведомлении в РКН придётся указать, где хранятся данные, и чем короче эта цепочка, тем проще ответ.
Если на сайте предполагается запись клиентов, посмотрите отдельный разбор про сайты с онлайн-записью - там про то, какие поля действительно нужны.
Частые вопросы
Я самозанятый, мне тоже подавать уведомление?
Да, если собираете данные клиентов. Закон не делает исключения по форме регистрации: значение имеет факт обработки, а не статус.
У меня только форма обратного звонка, ничего не храню
Телефон, оставленный в форме, - уже персональные данные, и он где-то сохраняется: в базе, в почте, в мессенджере. Это обработка.
Сайт ещё не запущен, когда подавать?
До начала обработки, то есть до момента, когда форма станет доступна людям.
Можно взять чужую политику и поменять название?
Технически да, юридически это плохая идея: в политике описываются ваши цели, состав данных, сроки хранения и меры защиты. Чужой документ их не описывает.
Что если я уже работаю без уведомления?
Подать сейчас. Это не отменяет ответственности за прошедший период, но прекращает нарушение, и добровольное устранение обычно учитывается.
Статья описывает общие требования и не заменяет консультацию юриста. Формулировки политики и состав данных зависят от того, что именно вы собираете и зачем - при сомнениях покажите документы специалисту.
