Коротко. Сайт попадает под 152-ФЗ «О персональных данных», как только собирает любые данные посетителей — имя, email, телефон в форме, а также cookie аналитики. Минимум для соответствия: политика конфиденциальности, явное согласие на обработку данных (галочка, которую пользователь ставит сам), уведомление о cookie, обработка и хранение данных россиян на серверах в РФ и подача уведомления в Роскомнадзор. Проверить сайт можно самостоятельно по чек-листу: есть ли политика и согласие, как настроены формы и cookie, где лежит аналитика. Ниже — что именно требует закон и как проверить каждый пункт, в том числе техническую часть.
Это практический ориентир для самопроверки, а не юридическая консультация. По спорным вопросам обращайтесь к юристу.
Когда сайт вообще попадает под 152-ФЗ
Заблуждение «у меня простой сайт, закон не про меня» — самое частое. 152-ФЗ применяется, как только вы собираете персональные данные — а это не только паспорт, но и любые данные, по которым можно определить человека: имя и email в форме заявки, телефон, а во многих трактовках — и cookie систем аналитики (Метрика, счётчики), потому что они связаны с конкретным пользователем.
Если на сайте есть хоть одна форма (обратная связь, подписка, заказ) или счётчик аналитики — вы уже оператор персональных данных. Вопрос не в том, попадаете ли вы под 152-ФЗ, а в том, выполнены ли требования.
Чек-лист самопроверки
1. Политика конфиденциальности
Отдельная страница, где описано: какие данные собираете, зачем, как храните, кому передаёте, как их удалить. Должна быть доступна со всех страниц с формами (обычно ссылка в подвале). Нет политики — это первое и самое заметное нарушение.
2. Явное согласие на обработку
Пользователь должен сам дать согласие — галочка у формы со ссылкой на политику. Ключевое: галочка не должна быть предустановлена (заранее проставлена) — это как раз частое нарушение. Согласие оформляется активным действием пользователя, а не по умолчанию.
3. Уведомление о cookie
Плашка, сообщающая, что сайт использует cookie, со ссылкой на политику. Проверьте, что она действительно показывается новому посетителю и что отказ от необязательных cookie реально отключает аналитические счётчики. Технически cookie и их флаги (какие ставятся, есть ли трекеры) удобно посмотреть через анализатор cookie.
4. Локализация данных в РФ
Данные россиян должны первично собираться и храниться в базах на территории России (ч. 5 ст. 18). На практике это значит: сервер/хостинг и аналитика — в РФ. Иностранная аналитика без хранения в РФ — риск. Где физически расположен сервер, можно прикинуть по IP-проверке (страна хостинга).
5. Уведомление в Роскомнадзор
Оператор персональных данных обязан подать уведомление в Роскомнадзор о намерении обрабатывать данные (с рядом исключений). Это организационный шаг, не технический, но без него соответствие неполное.
6. Защита данных технически
Закон требует принимать меры защиты. Базовое, что проверяется снаружи: сайт работает по HTTPS, формы отправляются по защищённому соединению, нет утечек через незащищённые заголовки. Техническую гигиену покажет сканер безопасности.
| Пункт | Как проверить |
|---|---|
| Политика конфиденциальности | Есть страница, ссылка в подвале на всех страницах с формами |
| Согласие (галочка) | Не предустановлена, со ссылкой на политику |
| Cookie-уведомление | Показывается новому посетителю; отказ отключает счётчики (анализатор cookie) |
| Хранение в РФ | Хостинг и аналитика в РФ (IP-проверка — страна) |
| Уведомление в РКН | Подано (проверяется в реестре операторов РКН) |
| HTTPS и защита | сканер безопасности, HTTPS на формах |
Самые частые нарушения
- Предустановленная галочка согласия. Классика: галочка стоит по умолчанию — согласие не считается добровольным.
- Нет политики или она не привязана к формам. Форма есть, а ссылки на политику рядом нет.
- Cookie-плашка «для галочки». Показывается, но отказ ничего не отключает — счётчики грузятся всё равно.
- Данные уходят за рубеж без хранения в РФ. Аналитика или CRM на иностранных серверах без первичного хранения в России.
152-ФЗ проверяется не одной кнопкой, а по совокупности: организационные документы (политика, согласие, уведомление в РКН) плюс техническая часть (HTTPS, cookie, где хранятся данные). Начните с того, что видно снаружи, — формы, cookie, HTTPS.
Подробный разбор требований закона для сайта — на странице про 152-ФЗ; там же — как оформлены согласие и политика на примере.
Частые вопросы
У меня сайт-визитка без форм. 152-ФЗ меня касается?
Если нет ни одной формы и не стоит аналитика с cookie — формально данных вы не собираете. Но как только появляется форма обратной связи или счётчик Метрики, вы становитесь оператором. На практике почти любой сайт с аналитикой уже под законом.
Достаточно ли поставить политику конфиденциальности?
Нет. Политика — обязательный минимум, но не всё: нужны ещё добровольное согласие (непредустановленная галочка), уведомление о cookie, хранение данных россиян в РФ и уведомление в Роскомнадзор. Одна страница политики без остального соответствие не обеспечивает.
Метрика и аналитика — это персональные данные?
Спорный, но осторожный ответ — да, в части cookie и идентификаторов, привязанных к пользователю. Безопаснее использовать аналитику с хранением данных в РФ, задекларировать её в политике и дать возможность отказаться через cookie-уведомление.
Чеклист на память
- Есть форма или аналитика — вы уже оператор персональных данных.
- Минимум: политика + добровольное согласие (галочка не предустановлена) + cookie-уведомление.
- Данные россиян — хранить и обрабатывать в РФ; аналитика — с хранением в РФ.
- Оператор подаёт уведомление в Роскомнадзор.
- Техника проверяется снаружи: HTTPS, cookie (анализатор), заголовки (сканер).