Что сделать в первую очередь
- Определите, какие данные реально собирает сайт: счётчики статистики, cookie, IP, формы заявок и обратной связи — всё это персональные данные посетителей.
- Проверьте, есть ли на сайте политика обработки персональных данных и доступна ли она с каждой страницы: её отсутствие — самое частое и легко фиксируемое нарушение.
- Посмотрите, как оформлено согласие: галочка при отправке формы и информирование о cookie должны быть явными, а не подразумеваться.
- Уточните, подавали ли вы уведомление в Роскомнадзор об обработке персональных данных: для сайта со сбором данных оно практически обязательно.
- Проверьте, куда уходят данные счётчиков: передача на зарубежные серверы аналитики — это трансграничная передача со своими требованиями.
- Не откладывайте приведение в порядок: с 2025 года штрафы за нарушения 152-ФЗ выросли, и проверка может прийти без предупреждения.
! Чего нельзя делать
Чаще всего штрафы по 152-ФЗ компании получают не за серьёзные утечки, а за простые вещи, которые видны прямо на сайте. Вот чего точно не стоит делать.
Не считайте, что без онлайн-продаж 152-ФЗ вас не касается: сбор cookie и данных из форм уже делает вас оператором.
Не выкладывайте первый попавшийся шаблон политики: несоответствие политики реальной обработке — само по себе нарушение.
Не собирайте данные из форм без согласия и без ссылки на политику: это одно из самых легко фиксируемых нарушений.
Не игнорируйте уведомление в Роскомнадзор: его отсутствие легко проверяется по реестру и грозит штрафом.
Не откладывайте приведение сайта в порядок: с 2025 года штрафы выросли, и нарушение видно проверяющему без выезда.
Как я привожу сайт в порядок
- Провожу аудит сайта: смотрю, какие данные и через какие инструменты вы собираете, куда они уходят и каких документов и согласий не хватает по закону.
- Готовлю политику обработки персональных данных под вашу реальную деятельность и размещаю её так, чтобы она была доступна с любой страницы сайта.
- Настраиваю сбор согласий: корректные формулировки галочек согласия, информирование о cookie и отдельные согласия там, где они нужны по закону.
- Подаю или проверяю уведомление в Роскомнадзор об обработке персональных данных, чтобы снять одно из самых частых оснований для штрафа.
- Закрываю вопрос трансграничной передачи и локализации: оцениваю, где хранятся данные, и привожу процессы в соответствие требованиям закона.
- От того, какие данные собирает сайт: одни счётчики или ещё и формы с контактами — объём обязанностей разный.
- От того, есть ли уже политика и согласия: иногда нужно лишь доработать, а иногда собрать всё с нуля.
- От того, куда передаются данные: зарубежные сервисы аналитики добавляют требования по трансграничной передаче.
- От того, обрабатываете ли вы данные на серверах в России: локализация — отдельное требование закона.
- От того, насколько активно используются формы и личные кабинеты: чем больше данных, тем строже требования.
Что подготовить
Чтобы привести сайт в соответствие, мне нужно понять, какие данные и как вы собираете. Вот что стоит подготовить к старту — остальное проверю сам по сайту.
Ссылка на сайт и доступ к его настройкам, чтобы проверить точки сбора данных и разместить документы.
Какие счётчики, формы, чаты и рекламные пиксели стоят на сайте — от этого зависит объём обязанностей.
Текущие документы по персональным данным, если они есть, чтобы оценить, что доработать.
Реквизиты оператора для политики и уведомления в Роскомнадзор.
Где физически хранятся данные сайта и куда передаются, для оценки локализации и трансграничной передачи.
Зачем вы собираете данные посетителей — для аналитики, заявок, рассылок — чтобы корректно отразить это в документах.
Что я беру на себя
- Аудит сайта и всех точек сбора данных с перечнем того, что нужно исправить по 152-ФЗ.
- Подготовку политики обработки персональных данных и сопутствующих документов под вашу деятельность.
- Настройку корректных согласий и информирования о cookie на сайте.
- Подачу и сопровождение уведомления в Роскомнадзор об обработке персональных данных.
- Решение вопросов трансграничной передачи и локализации данных, чтобы снять риски при проверке.
Кто будет вести ваше дело
Константин Александрович Вруцкий
Адвокат · член Адвокатской палаты · 20 лет практики
Я привожу сайты в соответствие 152-ФЗ лично, с первого разговора: разбираю, какие данные вы реально собираете, готовлю политику и согласия под вашу деятельность, подаю уведомление в Роскомнадзор и закрываю вопросы cookie, трансграничной передачи и локализации. Делаю так, чтобы документы, настройки сайта и сведения в реестре совпадали и не давали поводов для штрафа. Честно говорю, что обязательно, а что — на будущее.
Что важно знать о 152-ФЗ для сайта
Я ничего не продаю, только счётчик статистики — я тоже оператор данных?
Да, скорее всего, да. Закон о персональных данных понимает под ними любую информацию, относящуюся к человеку, которого можно прямо или косвенно определить. Данные, которые собирают счётчики статистики и cookie, — IP-адрес, идентификаторы устройства, поведение на сайте — в совокупности позволяют выделить конкретного посетителя, поэтому их обработка подпадает под закон. Как только сайт собирает такие данные, компания становится оператором персональных данных, даже если на сайте нет ни корзины, ни оплаты, ни регистрации. А значит, появляются обязанности: опубликовать политику обработки, получать согласие, информировать о cookie и в большинстве случаев уведомить Роскомнадзор. Многие владельцы информационных сайтов и лендингов об этом не подозревают и узнают уже при проверке или жалобе. Поэтому само по себе отсутствие продаж не освобождает от требований 152-ФЗ — значение имеет именно сбор данных.
Что грозит за нарушение 152-ФЗ и почему это стало серьёзнее?
Ответственность по закону о персональных данных в последние годы заметно ужесточилась: с 2025 года штрафы за нарушения выросли кратно, а за утечки данных введены оборотные штрафы, которые считаются от выручки и могут быть очень крупными. Но даже без утечки оштрафовать могут за вещи, которые легко увидеть прямо на сайте: отсутствие политики обработки данных, обработку без надлежащего согласия, неподанное уведомление в Роскомнадзор. Это нарушения, которые проверяющему видны без всякой выездной проверки — достаточно открыть сайт. Отдельно наказывается несоблюдение требований к согласию и к информированию пользователей. Именно поэтому ситуация изменилась: раньше на формальные нарушения смотрели сквозь пальцы, теперь же цена бездействия высока, а зафиксировать нарушение просто. Привести сайт в порядок заранее обходится несопоставимо дешевле, чем разбираться с последствиями после жалобы или проверки.
Нужно ли согласие на cookie и как его правильно оформить?
Сами по себе cookie бывают разными, но как только они используются для аналитики, рекламы или иной обработки данных посетителя, пользователя нужно об этом информировать и в надлежащих случаях получать его согласие. На практике это означает понятное уведомление о том, что сайт использует cookie и для каких целей, со ссылкой на политику обработки данных, а не молчаливое предположение, что человек согласен уже фактом захода на сайт. Важно, чтобы согласие было осознанным: пользователь должен понимать, какие данные собираются и зачем. Заметный баннер с информацией и ссылкой на политику, а где требуется — с возможностью согласиться, закрывает базовые требования. Я помогаю подобрать корректные формулировки и настроить информирование так, чтобы оно соответствовало закону и при этом не отпугивало посетителей и не мешало работе сайта.
Обязательно ли подавать уведомление в Роскомнадзор?
В большинстве случаев да. После изменений последних лет круг ситуаций, когда обработка персональных данных возможна без уведомления Роскомнадзора, резко сузился, и почти любой сбор данных через сайт — формы, счётчики, личные кабинеты — требует подать уведомление о намерении обрабатывать персональные данные. Это не разовая формальность: в уведомлении описывается, какие данные, с какими целями и каким способом вы обрабатываете, и эти сведения должны соответствовать тому, что реально происходит на сайте и записано в вашей политике. Неподанное или недостоверное уведомление — одно из самых частых оснований для штрафа, потому что его легко проверить по реестру. Поэтому я не просто подаю уведомление, а свожу воедино то, что собирает сайт, что написано в политике и что заявлено в Роскомнадзор, чтобы между этими тремя вещами не было расхождений, за которые могут наказать.
С чего начать, если на сайте сейчас ничего нет по 152-ФЗ?
Начинать стоит не со скачивания первого попавшегося шаблона политики, а с аудита: нужно точно понять, какие данные собирает именно ваш сайт, какими инструментами и куда они передаются. Только на этой основе документы и настройки будут отражать реальность, а не чужой бизнес. Дальше выстраивается комплект: политика обработки данных под вашу деятельность, корректные согласия и информирование о cookie на сайте, уведомление в Роскомнадзор и проверка вопросов трансграничной передачи и локализации. Важно, чтобы всё это было согласовано между собой — частая ошибка, когда на сайте лежит шаблонная политика, не имеющая отношения к тому, что компания реально делает с данными, и это само по себе становится нарушением. Я провожу всю работу под ключ: от аудита до готового, соответствующего закону сайта, и объясняю, что поддерживать дальше, чтобы соответствие не устарело.