152-ФЗ для сайта: всё, что нужно знать в 2026

Закон "О персональных данных" касается любого сайта с формой обратной связи, формой заказа или счётчиком Метрики. То есть практически каждого коммерческого сайта в Рунете. За нарушения штрафуют, в 2024 году суммы выросли до 18 миллионов рублей.

Статья - руководство для владельцев сайтов: что требует закон, какие документы нужны, как избежать штрафов. Материал подготовлен на основе работы веб-студии Сайты2.рф с проектами по 152-ФЗ. Время чтения - 15 минут.

Важно: статья носит информационный характер. Для конкретной ситуации с проверкой или жалобой обратитесь к юристу по информационному праву.

Что такое 152-ФЗ простыми словами

Федеральный закон №152-ФЗ "О персональных данных" принят 27 июля 2006 года. С тех пор регулярно вносятся изменения. В 2015 году ввели обязательную локализацию данных в России. В 2022-2024 годах ужесточили требования к защите и резко повысили штрафы.

Главная идея закона простая: персональные данные граждан России - собственность самих граждан. Любая компания, которая их собирает, обязана получить согласие, защищать от утечек, не передавать без оснований.

Кого касается закон

Закон касается любой компании или ИП, которые обрабатывают персональные данные. Под "обработкой" понимается почти всё: сбор, запись, хранение, использование, передача, удаление.

Сайт обрабатывает персональные данные, если на нём есть хотя бы одно из следующего:

Форма обратной связи или заявки
Регистрация пользователей
Корзина и оформление заказа
Подписка на рассылку
Опрос или анкета
Счётчик Яндекс.Метрики или Google Analytics
Cookies (даже техническая)
Чат-бот с сохранением переписки

То есть закон касается практически каждого коммерческого сайта.

Кто такой оператор персональных данных

Оператор - компания или ИП, которая определяет цели обработки и состав обрабатываемых данных. Владелец сайта в большинстве случаев и есть оператор ПДн.

С 2022 года все операторы обязаны подавать уведомление в Роскомнадзор и регистрироваться в реестре операторов ПДн. Регистрация бесплатная, занимает 1-2 месяца. Реестр публичный, в нём можно проверить любую компанию.

Что такое персональные данные

Персональные данные - любая информация, по которой можно прямо или косвенно идентифицировать человека.

Прямые персональные данные

ФИО (полностью)
Паспортные данные
ИНН, СНИЛС
Адрес проживания
Номер телефона
Email
Фотография лица
Биометрические данные

Косвенные персональные данные

IP-адрес
Идентификаторы устройств (cookies, device ID)
Геолокация
История просмотров и поисковых запросов
Лайки, репосты в соцсетях

Сами по себе косвенные данные могут не идентифицировать человека. Но в комбинации (например, IP + история запросов + примерная геолокация) - позволяют. В 2026 году большинство косвенных данных трактуются как персональные.

Специальные категории ПДн

Данные с особым режимом защиты. Их обработка требует отдельного согласия и более жёстких мер защиты:

Расовая и национальная принадлежность
Политические взгляды
Религиозные и философские убеждения
Состояние здоровья
Сексуальная ориентация
Биометрические данные

Для медицинских центров, клиник, психологов, юристов работа со специальными категориями ПДн - повседневная задача. Требования к политике и согласиям у них особые.

Требования 152-ФЗ к сайту в 2026

10 обязательных требований к любому сайту, который обрабатывает ПДн.

1. Политика обработки ПДн на сайте

Документ, который описывает: какие данные собираете, для каких целей, как храните, кому передаёте, как защищаете. Должен быть доступен с любой страницы сайта (обычно ссылка в подвале).

2. Согласие на обработку

Перед сбором данных пользователь должен явно согласиться. Согласие - чекбокс на форме с ссылкой на политику. Чекбокс не должен быть предустановлен (нарушение закона с 2024 года).

3. Cookies-уведомление

Баннер при первом посещении сайта, сообщает о cookies и даёт возможность отказаться. С 2024 года opt-in (явное согласие) предпочтительнее opt-out (молчаливое согласие).

4. Локализация: хранение ПДн в РФ

Базы данных с персональными данными граждан России должны находиться на серверах в России. Иностранные хостинги (даже европейские) - нарушение закона.

5. Регистрация в реестре операторов

Уведомление в Роскомнадзор о начале обработки ПДн. Заполняется в личном кабинете на сайте Роскомнадзора, рассматривается до 30 дней.

6. Назначение ответственного за ПДн

В компании должен быть назначен сотрудник, который отвечает за соблюдение 152-ФЗ. Для ИП эту функцию выполняет сам ИП. Для ООО - назначается приказом.

7. Соглашения с подрядчиками

Если данные передаются третьим лицам (хостинг-провайдер, CRM-сервис, email-рассылка), с каждым должно быть подписано соглашение о соблюдении 152-ФЗ.

8. Защита данных

Технические меры защиты: TLS-шифрование, защита от несанкционированного доступа, регулярные бэкапы, защита от взлома. Минимум - SSL-сертификат и обновлённая CMS.

9. Уведомление об утечках

С 2022 года при утечке ПДн оператор обязан уведомить Роскомнадзор в течение 24 часов. Процедура сложная, но обязательная.

10. Хранение и удаление по запросу

Субъект ПДн (любой пользователь) может потребовать удалить свои данные. Оператор обязан сделать это в течение 10 рабочих дней.

Чек-лист: соответствует ли ваш сайт 152-ФЗ

Пройдитесь по 18 пунктам. Если хотя бы половина не выполнена - сайт под риском штрафа.

Документация

☐ На сайте есть страница "Политика обработки персональных данных"
☐ Политика индивидуальная (не скопирована с другого сайта)
☐ Политика обновлена в 2024-2026 году (с учётом новых требований)
☐ Ссылка на политику есть в подвале каждой страницы

Формы

☐ На всех формах сбора данных есть чекбокс согласия на обработку ПДн
☐ Чекбокс не предустановлен (пользователь сам ставит галочку)
☐ Рядом с чекбоксом ссылка на политику
☐ После отправки формы пользователь получает подтверждение

Cookies

☐ При первом посещении показывается баннер о cookies
☐ В баннере есть кнопки "Принять" и "Отказаться"
☐ Есть отдельная страница с описанием используемых cookies

Технические требования

☐ Сайт работает по HTTPS (SSL-сертификат)
☐ Хостинг находится в России
☐ CMS актуальной версии
☐ Бэкапы делаются регулярно

Регистрация и реквизиты

☐ Компания зарегистрирована в реестре операторов ПДн Роскомнадзора
☐ В подвале сайта указаны юридические реквизиты
☐ Контактные данные оператора указаны в политике

Не уверены в каком-то пункте? Закажите бесплатный аудит на 152-ФЗ - за 24 часа пришлём отчёт с приоритетами.

Как составить политику обработки персональных данных

Политика обработки ПДн - центральный документ. Если на сайте есть формы, политика обязательна.

Что должно быть в политике

10 разделов рабочей политики:

Общие положения. Кто оператор, на основании каких законов работает.
Какие данные обрабатываются. Полный список собираемых данных.
Цели обработки. Зачем собираете каждый тип данных.
Правовые основания. Согласие пользователя, закон, договор.
Способы обработки. Автоматизированная, ручная, смешанная.
Сроки хранения. Сколько храните каждый тип данных.
Передача третьим лицам. Кому передаёте (хостинг, CRM, рассылка) и зачем.
Защита данных. Какие меры применяются (TLS, контроль доступа, бэкапы).
Права субъекта. Какие права у пользователя (узнать, удалить, изменить данные).
Контакты оператора. Куда обращаться с вопросами и запросами.

Шаблон политики

Скачайте готовый шаблон политики обработки ПДн с примерами заполнения для каждого раздела. Скачать шаблон политики (PDF, 8 страниц).

Важно: шаблон - основа, не готовый документ. Под вашу деятельность нужна адаптация: какие данные собираете именно вы, для каких целей, кому передаёте.

Где разместить политику

Отдельная страница на сайте по адресу /legal/privacy/ или /policy/
Ссылка в подвале каждой страницы
Ссылка рядом с чекбоксом согласия на каждой форме
Ссылка в письме-подтверждении заявки

Как часто обновлять

Политику нужно обновлять при:

Изменении состава собираемых данных
Подключении новых интеграций (CRM, email-сервис)
Изменении 152-ФЗ
Не реже одного раза в год для контроля

Согласие на обработку ПДн: как оформить правильно

Согласие - юридическое разрешение пользователя на обработку его данных. Без согласия (когда оно необходимо) обработка незаконна.

Где нужно согласие

Контактная форма
Форма заявки на расчёт
Регистрация пользователя
Подписка на рассылку
Корзина интернет-магазина
Любая форма, в которую вводятся ПДн

Какой должен быть текст согласия

Текст должен явно говорить: на что соглашается пользователь, какие данные обрабатываются, для каких целей.

Плохо: "Я согласен"

Хорошо: "Я согласен на обработку моих персональных данных (имя, телефон, email) согласно политике обработки ПДн для целей обработки заявки, обратной связи и информирования о статусе заказа."

Чекбокс или галочка

☐ Пустой чекбокс - правильно. Пользователь активно ставит галочку.
☑ Предустановленный чекбокс с галочкой - нарушение с 2024 года. Согласие должно быть активным.
Кнопка "Согласен" без чекбокса - тоже считается активным согласием, но юристы рекомендуют чекбокс для большей надёжности.

Хранение согласий

Согласия нужно хранить. База данных или лог-файлы, где зафиксировано: кто, когда, на что согласился, с какого IP. При проверке Роскомнадзора эти записи будут запрошены.

Cookies и 152-ФЗ: что нужно знать

Cookies - небольшие файлы, которые сайт сохраняет в браузере посетителя. Используются для разных задач: от запоминания корзины до отслеживания поведения под рекламу.

Какие cookies считаются ПДн

Технические cookies (сессия, авторизация) - обычно не считаются ПДн.
Аналитические cookies (Метрика, Analytics) - считаются ПДн, потому что идентифицируют устройство.
Маркетинговые cookies (ретаргетинг, реклама) - точно считаются ПДн.
Cookies третьих сторон (Facebook Pixel, VK Pixel) - считаются ПДн.

Что должно быть на сайте

Баннер при первом посещении. Сообщает о cookies, даёт возможность принять или отказаться. Без баннера - нарушение.

Опт-ин или опт-аут. Опт-ин: пользователь явно соглашается, до согласия маркетинговые cookies не загружаются. Опт-аут: cookies загружаются сразу, пользователь может отказаться. С 2024 года опт-ин предпочтительнее.

Страница с описанием cookies. Отдельная страница, где перечислены все используемые cookies, их цели, сроки хранения.

Пример баннера cookies

"На сайте используются cookies для аналитики и улучшения работы. Продолжая использовать сайт, вы соглашаетесь на их обработку. Подробнее в политике обработки cookies."

Кнопки: "Принять все cookies" / "Настроить" / "Отказаться".

Штрафы за нарушение 152-ФЗ в 2026

В 2024 году штрафы были существенно повышены, особенно за утечки и нарушения локализации. На 2026 год действуют следующие суммы.

Таблица штрафов

Нарушение	Юр. лицо	ИП	Физ. лицо
Нет политики обработки ПДн	до 60 000 ₽	до 10 000 ₽	до 3 000 ₽
Нет согласия на обработку	до 150 000 ₽	до 20 000 ₽	до 5 000 ₽
Обработка ПДн в неверных целях	до 100 000 ₽	до 15 000 ₽	до 4 000 ₽
Невыполнение требований по защите	до 100 000 ₽	до 20 000 ₽	до 8 000 ₽
Нарушение локализации (хранение ПДн за рубежом)	до 18 000 000 ₽	-	-
Повторное нарушение	до 500 000 ₽	до 100 000 ₽	до 30 000 ₽
Утечка ПДн от 1000 до 100 000 субъектов	до 5 000 000 ₽	-	-
Утечка ПДн свыше 100 000 субъектов	до 15 000 000 ₽	-	-

Эти суммы реальные. В 2024 году Роскомнадзор возбудил более 5 000 дел по статье 13.11 КоАП. Сайт без политики обработки ПДн - первая претензия от проверяющих.

Дополнительные последствия

Блокировка сайта при нарушении локализации
Включение в реестр нарушителей (публичный)
Уголовная ответственность за умышленную утечку (статья 137 УК)
Гражданские иски от пользователей за моральный ущерб

Что делать при проверке Роскомнадзора

Проверки бывают плановые (раз в 3 года) и внеплановые (по жалобе или инциденту). С 2022 года плановые проверки ограничены, но внеплановых стало больше.

Какие документы готовить

При проверке запрашивают:

Политика обработки ПДн (актуальная версия с датой)
Согласия пользователей (выборочно, за определённый период)
Приказ о назначении ответственного за ПДн
Соглашения с подрядчиками (хостинг, CRM)
Журнал учёта согласий и запросов на удаление
Технические документы по защите (если есть)

Как реагировать

Срок ответа на запрос Роскомнадзора - 5 рабочих дней. Если требуют документы - предоставляете в полном объёме. Если требуют объяснения - пишете официальный ответ.

Не игнорируйте запросы. Молчание трактуется как отказ от сотрудничества и увеличивает штраф.

Когда обращаться к юристу

Сразу, как пришёл запрос. Юрист по информационному праву проверит, законен ли запрос, поможет составить ответ, предупредит о возможных последствиях. Стоимость консультации - 10 000-30 000 ₽, в большинстве случаев экономит десятки тысяч на штрафах.

Что в итоге

10 главных требований 152-ФЗ к сайту:

Политика обработки ПДн на сайте
Согласия в формах с непредустановленным чекбоксом
Баннер cookies при первом посещении
Локализация на российском хостинге
Регистрация в реестре операторов
Назначение ответственного за ПДн
Соглашения с подрядчиками
SSL и защита данных
Уведомление об утечках в течение 24 часов
Удаление данных по запросу субъекта

Если эти пункты выполнены - сайт защищён от штрафов. Если нет - первый проверяющий выпишет претензию минимум на 60 000 ₽, повторное нарушение - до 500 000 ₽.

Нужно гарантированно соответствовать 152-ФЗ? Сайты2.рф делает сайты с комплектом по 152-ФЗ под ключ за 14 дней. Или бесплатный аудит существующего сайта за 24 часа - пришлём отчёт по 50+ параметрам.

Заказать сайт по 152-ФЗ · Бесплатный аудит за 24 часа · Telegram: @t9424744