Сайт и 152-ФЗ: что проверить перед запуском

Короткий ответ: если на сайте есть хотя бы одна форма, куда человек вписывает имя, телефон или почту, вы — оператор персональных данных, и 152-ФЗ касается вас так же, как крупной компании. Размер бизнеса здесь не важен: ИП с лендингом на одну страницу и форму «перезвоните мне» закон видит так же.

Хорошая новость в том, что для обычного сайта с формой заявки список требований конечный и довольно короткий. Плохая — половина из него вообще не про сайт: приказ издаёт владелец, уведомление в Роскомнадзор подаёт владелец, хранение данных в России обеспечивает владелец. Ниже — чек-лист по пунктам, где каждый из них живёт и как его проверить, а потом — что из этого умеет увидеть проверка «право» в nebulai COMPUTER и чего она не видит принципиально.

Чек-лист: восемь пунктов перед запуском

Коротко: что требуется, где это живёт и как пункт отмечает проверка в COMPUTER. Под таблицей — как проверить руками, подробности по каждому пункту — в разделах ниже.

• Галочка согласия не стоит заранее и без неё форма не уходит; политика открывается без входа из подвала и у формы; в ней названы наименование, ИНН, адрес и почта.
• При подключённой Метрике есть уведомление о cookie, а сама Метрика названа в политике.
• Приказ подписан, уведомление в РКН подано до первой заявки, данные не уходят в зарубежные сервисы без отдельного уведомления.

Согласие на форме: отдельно и без готовой галочки

Самая частая ошибка на свежих сайтах — строка мелким шрифтом «Нажимая кнопку, вы соглашаетесь с политикой». Выглядит аккуратно, но согласием в понимании закона это считать рискованно: человек ничего не отмечал, он просто хотел отправить номер. С 1 сентября 2025 года действуют поправки, по которым согласие на обработку оформляется отдельно от других документов — его нельзя спрятать внутри оферты, пользовательского соглашения или той же политики.

Практический минимум для формы заявки выглядит так:

• Отдельная галочка «Я согласен на обработку персональных данных» рядом с кнопкой.
• Галочка обязательна для отправки и не стоит заранее — заранее отмеченный чекбокс ставит вопрос, давал ли человек согласие сам.
• В тексте галочки — ссылка на политику, открывающаяся в новой вкладке.
• Если собираете ещё и на рассылку — это вторая, необязательная галочка. Заявка и рекламные сообщения — разные цели, одно согласие на обе не годится.

Нужен ли кроме галочки полный текст согласия отдельной страницей — с перечнем данных, целями и сроком — зависит от того, что именно вы собираете и как строите процесс. Для типовой формы многие операторы так и делают. Если сомневаетесь, это вопрос к юристу, а не к генератору шаблонов.

Политика, реквизиты и cookie

Политика обработки персональных данных должна быть опубликована и доступна без ограничений — не за входом в личный кабинет и не в PDF, который скачивается по запросу. Ссылку на неё ставят в подвал каждой страницы и к каждой форме. Как это выглядит на практике, можно посмотреть на нашей собственной политике обработки персональных данных.

В политике человек должен увидеть, кто обрабатывает его данные: полное наименование, ИНН, адрес и почту, куда писать, чтобы отозвать согласие. Там же — какие данные собираются, зачем, сколько хранятся и кому передаются. Если на сайте есть цены, реквизиты продавца стоит дублировать в подвале — это уже требование закона о защите прав потребителей, а не 152-ФЗ.

Яндекс Метрика ставит cookie и собирает сведения о визите. Позиция Роскомнадзора в том, что такие данные могут позволять идентифицировать человека, поэтому при подключённом счётчике на сайте нужно уведомление о cookie, а сама Метрика — названа в политике как получатель. Кнопка «отклонить» в баннере должна действительно отключать счётчик. Баннер, в котором выбор ничего не меняет, хуже отсутствия баннера: он документирует, что выбор был обещан и не выполнен.

Что делается не на сайте

Три пункта из чек-листа не закрываются никакой правкой html, и именно их чаще всего пропускают.

Приказ о назначении ответственного

Оператор назначает ответственного за организацию обработки персональных данных. У ИП это часто он сам. Приказ — внутренний документ: на сайт его не выкладывают, но подписанный экземпляр должен лежать у вас, потому что его спрашивают при проверке. Номер и дата приказа обычно фигурируют в политике.

Уведомление в Роскомнадзор

Уведомление об обработке персональных данных подаётся до начала обработки — то есть до того, как форма на сайте примет первую заявку. Подаётся оно на портале pd.rkn.gov.ru. Исключения из этой обязанности в законе есть, но они узкие; рассчитывать на них без консультации не стоит. После регистрации оператор попадает в реестр, и номер уведомления полезно держать под рукой.

Трансграничная передача и хранение в России

Данные граждан России при сборе должны сначала записываться в базы на территории России. Если потом вы передаёте их за рубеж — зарубежная CRM, рассылочный сервис, облачная таблица с серверами за границей, — это трансграничная передача, и на неё подаётся отдельное уведомление в Роскомнадзор, тоже до начала передачи. Политика при этом должна честно называть передачу и получателей.

Про ответственность коротко: в 2025 году штрафы по статье 13.11 КоАП за нарушения в сфере персональных данных заметно выросли, и отдельные составы появились для утечек. Конкретные суммы зависят от состава нарушения и статуса нарушителя, поэтому мы их не приводим — актуальную редакцию смотрите в самом кодексе или у юриста.

Как это проверяет COMPUTER

В редакторе сайта в шапке есть кнопка «право» — с числом нарушений, если они найдены. Она открывает окно «право сайта · 152-ФЗ». Проверка читает файлы собранного сайта и ищет в разметке то, что там можно увидеть: форму с полями телефона, почты или имени, чекбокс со словами о согласии, текст политики, ссылку на неё, ИНН, код Метрики, слово «cookie», цены и оговорку об оферте. Она запускается при открытии редактора и заново после каждой новой версии сайта. Проверка и сборка документов бесплатны — кредиты на них не списываются.

Каждое замечание приходит с уровнем, статьёй и тем, что сделать. Уровней три: «нарушение», «спорно» и «стоит сделать». Замечания, которые правкой сайта не решаются, подписаны «вне сайта».

• Согласие на обработку рядом с формой — форма собирает данные, а чекбокса согласия нет.
• Политика обработки персональных данных — на сайте с формой её текста нет.
• Ссылка на политику в подвале и у формы — политика есть, ссылки на неё не видно.
• Оператор назван: наименование, ИНН, адрес — политика есть, ИНН в ней нет.
• Трансграничная передача названа — о передаче за границу сайт молчит.
• Предупреждение о cookie при подключённой Метрике — счётчик есть, предупреждения нет.
• Реквизиты продавца рядом с ценами — цены есть, ИНН продавца нет.
• Оговорка о публичной оферте — цены есть, фразы «не является публичной офертой» нет.
• Приказ о назначении ответственного, Уведомление Роскомнадзора, Данные россиян хранятся в России — вне сайта: напоминания, пока вы не вписали номер и дату приказа и номер уведомления.

Для наглядности мы прогнали проверку по демо-сайту юридической компании с обложки этой статьи. Результат: «нарушение» по согласию — у формы только строка «Нажимая кнопку, вы соглашаетесь…», без чекбокса; два «нарушения» вне сайта — приказ и уведомление в РКН, потому что реквизиты у демо не заполнены; «спорно» по трансграничной передаче и напоминание про хранение в России. Политика на демо-сайте есть, и в ней стоит ИНН-заглушка из нулей, поэтому замечания по оператору не было: проверка ищет сам факт ИНН в тексте, а подлинность реквизитов сверяется только в форме, откуда собираются документы. Ровно такой разбор и нужен до запуска, а не после первой жалобы.

Замечания, которые правятся разметкой, можно отдать агенту кнопкой «исправить на сайте с агентом»: он получит список нарушений со статьями и поправит формы и подвал. Это обычная правка агентом и оплачивается как любая другая. Пункты «вне сайта» агенту не передаются — их за вас не сделает никто.

Какие документы собирает COMPUTER

В том же окне кнопка «заполнить реквизиты и собрать документы» открывает форму: кто оператор (ИП, юрлицо или физлицо), наименование, ИНН, ОГРН или ОГРНИП, адрес, почта, телефон, ответственный и его должность, номер и дата приказа, номер уведомления РКН, если оно уже подано. ИНН и ОГРН проверяются по контрольному разряду: опечатку в них глазами не видно, а документ с чужим ИНН становится документом другого лица. Затем вы получаете пять файлов:

1. 1Политика обработки персональных данных (privacy.html) — положить на сайт, ссылку поставить в подвал и к каждой форме. Кнопка «положить политику на сайт» делает это сама и сохраняет как новую версию, которую можно откатить.
2. 2Согласие для формы (soglasie.txt) — готовая разметка обязательного чекбокса со ссылкой на политику и отдельной необязательной галочкой для рассылки.
3. 3Уведомление о cookie (cookie.txt) — текст баннера с кнопками «принять» и «отклонить», если на сайте есть счётчик.
4. 4Приказ о назначении ответственного (prikaz.txt) — подписать и хранить у себя, на сайт не выкладывать.
5. 5Что сделать по шагам (instrukciya.txt) — порядок действий, включая подачу уведомления в Роскомнадзор и то, что для неё понадобится.

Каждый файл помечен как шаблон, и это не формальность. Политика в пакете написана из расчёта, что трансграничной передачи нет: если вы подключаете зарубежный сервис, раздел о передаче придётся переписать и подать отдельное уведомление. Подробнее о том, как собрать и опубликовать сам сайт, — в уроке «Как собрать сайт в COMPUTER» и в статье о том, как работает агент.

Чего проверка не видит

• Подано ли уведомление на самом деле. Проверка знает только то, что вы вписали в реквизиты.
• Соответствует ли политика тому, что вы реально делаете с данными. Если заявки уходят в мессенджер или зарубежную таблицу, разметка этого не покажет.
• Работает ли кнопка «отклонить» в баннере cookie. Проверка ищет само предупреждение, а не поведение счётчика.
• Особые категории данных, данные детей, биометрию — для них требования строже, и шаблоны их не покрывают.
• Юридическую силу формулировок. Проверка ищет признаки в тексте; «нарушений не видно» значит только то, что по её правилам ничего не нашлось.