Согласие на обработку персональных данных на сайте: что обязательно и какие штрафы

Почему форма заявки — это обработка персональных данных

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому человеку. Имя и номер телефона — классический пример. Как только человек нажал «Отправить», вы собрали его данные, а дальше храните их в почте, мессенджере, CRM, таблице — это всё обработка.

Важно, что закон не делает исключений для малого бизнеса. ИП с лендингом и одной формой — такой же оператор, как крупная компания. Не освобождает и B2B: контакты сотрудника компании-клиента тоже персональные данные. Строже всего правила там, где клиенты рассказывают о здоровье, — пример разобрали в статье про сайт для психолога.

Если вы пользуетесь сторонними сервисами, они обычно обрабатывают данные по вашему поручению. Например, в условиях использования Яндекс Метрики прямо сказано: в отношении персональных данных посетителей сайта (в том числе информации об активности на сайте, файлов cookie, данных об устройстве) пользователь Метрики является оператором, а Яндекс — лицом, действующим по поручению оператора по смыслу ч. 3 ст. 6 закона № 152-ФЗ. Ответственность за законность обработки — на владельце сайта.

Что обязательно должно быть на сайте с формой

Дальше — подробно по каждому пункту.

Отдельное согласие: что изменилось с 1 сентября 2025 года

С 1 сентября 2025 года действует новая редакция ч. 1 статьи 9 закона № 152-ФЗ (изменения внесены законом от 24 июня 2025 г. № 156-ФЗ). Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, и — главное для сайтов — оформленным отдельно от иных информации и документов, которые подтверждает или подписывает человек.

Что это значит для формы на практике:

• Не объединяйте согласие с другими условиями. Отметка «Я принимаю условия оферты, пользовательского соглашения и политики конфиденциальности» — та самая «склейка», от которой закон уходит.
• Отметка не должна стоять заранее. Согласие — активное действие человека.
• Текст согласия — отдельным документом, на который ведёт ссылка рядом с отметкой. Не абзац внутри политики, а самостоятельный текст.
• Цели должны совпадать с тем, что вы делаете. Если согласие говорит «для обратной связи по заявке», а вы потом шлёте рассылку с акциями — это уже обработка, несовместимая с целями сбора.
• Отдельные цели — отдельные согласия. Согласие на рекламную рассылку не стоит прятать в согласие на обработку заявки.

Что указать в тексте согласия. Для письменного согласия перечень сведений задан в ч. 4 статьи 9; для сайта его обычно используют как ориентир, хотя форма на сайте — не письменное согласие с подписью. Типичный состав:

1. Кто оператор: название компании или ФИО ИП, адрес.
2. Цель обработки: например, обработка заявки и обратная связь.
3. Перечень данных: имя, телефон, почта — то, что реально есть в форме.
4. Действия с данными и способы обработки.
5. Кому поручена обработка, если данные уходят в сторонние сервисы: CRM, сервис рассылок, телефония.
6. Срок действия согласия и способ его отзыва.

Есть нюанс, который стоит обсудить с юристом: статья 6 закона допускает обработку без согласия, если она нужна для заключения договора по инициативе самого человека. Некоторые юристы считают, что заявка на услугу подпадает под это основание. Но на практике для формы заявки согласие собирают почти всегда: оно закрывает и аналитику, и дальнейшую переписку, и спорные случаи.

Политика обработки персональных данных

По ч. 2 статьи 18.1 оператор, который собирает данные через интернет, обязан опубликовать документ о своей политике обработки персональных данных и сведения о мерах защиты — на страницах своего сайта, через которые собираются данные, — и обеспечить к ним доступ.

Что должно быть в политике — коротко:

• кто оператор и как с ним связаться;
• какие данные, для каких целей и на каком основании обрабатываются;
• какие сервисы получают данные по поручению: хостинг, CRM, аналитика;
• сроки хранения и порядок удаления;
• права человека и как ими воспользоваться, в том числе как отозвать согласие;
• меры защиты данных.

Политика, скачанная из интернета с чужими реквизитами или с перечнем данных, которых у вас нет, — частая ошибка. Документ должен описывать вашу реальную обработку.

Если сомневаетесь, всё ли в порядке с формами на вашем сайте, — мы бесплатно проверим, как устроены формы, согласия и куда уходят заявки.

Уведомление в Роскомнадзор

По статье 22 закона № 152-ФЗ оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о намерении их обрабатывать. Исключений немного, и обычному бизнесу с сайтом и CRM они, как правило, не подходят: например, освобождена обработка исключительно без средств автоматизации — а форма на сайте и заявки в почте или CRM уже автоматизированная обработка.

Как подать:

• Уведомление подаётся на портале персональных данных Роскомнадзора в электронной форме или на бумаге.
• В уведомлении указываются, в частности, оператор, цели обработки, меры защиты, ответственный за организацию обработки, дата начала обработки, наличие трансграничной передачи и место нахождения базы данных.
• Если вы уже подавали уведомление несколько лет назад, проверьте, что сведения в нём актуальны: цели, сервисы, место хранения данных.
• Проверить, есть ли вы в реестре операторов, можно на том же портале.

С 30 мая 2025 года в КоАП появилась отдельная часть 10 статьи 13.11 — штраф за невыполнение или несвоевременное выполнение обязанности по такому уведомлению.

Cookie и счётчики: нужен ли баннер

Закон № 152-ФЗ не упоминает cookie напрямую. Но cookie и данные счётчиков вместе с другими сведениями могут относиться к персональным данным, и сами сервисы аналитики перекладывают ответственность на владельца сайта.

Что точно известно из первоисточника. В условиях использования Яндекс Метрики владелец сайта обязуется обеспечивать предоставление посетителям информации об обработке их данных в связи с использованием сервиса — в краткой, понятной и легкодоступной форме, а если этого требует законодательство, — получать согласия посетителей. Там же: оператором данных посетителей, включая cookie, является владелец сайта.

Практический минимум для малого бизнеса:

• Баннер или уведомление при первом входе — какие счётчики и cookie используются и зачем, со ссылкой на политику.
• Раздел о cookie и аналитике в политике обработки данных — какие сервисы, какие данные, как отключить.
• Не перекрывать баннером форму и кнопку на телефоне. Баннер должен закрываться одним нажатием.

Нужно ли блокировать счётчики до согласия посетителя — вопрос, по которому практика неоднородна. Решение стоит принимать с юристом, исходя из того, какие данные вы собираете.

Где хранятся заявки: требование о локализации

По ч. 5 статьи 18 закона № 152-ФЗ при сборе персональных данных, в том числе через интернет, запись, накопление, хранение и уточнение данных граждан России с использованием баз данных за рубежом не допускаются, за исключением отдельных случаев, перечисленных в законе.

Для сайта это значит: проверьте путь заявки. Если форма сделана в зарубежном сервисе форм, заявки уходят в зарубежную CRM или таблицу, данные первично записываются за пределами России — это риск штрафа по ч. 8 статьи 13.11 КоАП, самого крупного из перечисленных ниже. Отдельная тема — передача заявок в нейросети; её мы разобрали в статье о нейросетях и персональных данных.

Таблица: нарушение → штраф

Ответственность — в статье 13.11 КоАП РФ. Суммы — по редакции на 2 октября 2026 года. ИП по частям 1.1 и 8–18 отвечают как юридические лица (примечание 1 к статье), по остальным частям размер штрафа для ИП указан отдельно или они отвечают как должностные лица.

* В частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации (примечание 2 к статье), поэтому для директора коммерческой компании эта графа не применяется.

Плюс отдельные, значительно более крупные штрафы за утечки данных и неуведомление о них (части 11–18): за утечку размер зависит от числа затронутых людей.

Чек-лист: проверьте сайт за 20 минут

1. Пройдите по всем формам сайта: заявка, обратный звонок, квиз, всплывающие окна, чат-бот или чат-виджет. Запишите, где собираются данные.
2. У каждой формы есть отдельная отметка согласия, она не стоит заранее.
3. Отметка согласия не объединена с офертой, пользовательским соглашением или подпиской на рассылку.
4. Ссылка у отметки ведёт на текст согласия с вашими реквизитами, целями, перечнем данных, сроком и способом отзыва.
5. Политика обработки персональных данных открывается со страниц с формами и из подвала, в ней ваши реквизиты и ваши реальные сервисы.
6. Проверьте, куда уходят заявки: почта, CRM, таблица, мессенджер. Все ли сервисы хранят данные в России?
7. В политике перечислены сервисы, которым поручена обработка: хостинг, CRM, аналитика, телефония.
8. При первом входе посетитель видит уведомление о cookie и счётчиках, оно не мешает форме на телефоне.
9. Проверьте себя в реестре операторов на портале Роскомнадзора. Если уведомления нет — подайте; если есть — сверьте сведения.
10. Есть понятный способ отозвать согласие и запросить удаление данных — например, почта в политике, которую кто-то читает.
11. Назначен человек, который отвечает за персональные данные в компании.
12. Повторяйте проверку при каждом изменении форм или подключении нового сервиса.

Технические требования к форме — порядок полей, кнопка, страница «спасибо» — разобраны в статье про форму заявки на сайте; а общий список того, что ещё должно быть на сайте, — в чек-листе что должно быть на сайте услуг.

Условный пример: что дешевле

Пример условный — для иллюстрации, не кейс студии и не юридическая консультация.

Допустим, ООО с сайтом и тремя формами. Согласие склеено с офертой, политика скачана с чужого сайта, уведомление в Роскомнадзор не подавалось, заявки идут в зарубежный сервис форм.

Потенциальные риски по таблице выше: ч. 2 — от 300 тыс. ₽, ч. 3 — от 30 тыс. ₽, ч. 10 — от 100 тыс. ₽, ч. 8 — от 1 млн ₽. Даже по нижним границам — больше 1,4 млн ₽.

Привести всё в порядок — это переделать формы и отметки согласия, подготовить с юристом политику и текст согласия, подать уведомление и перенести приём заявок в российский сервис. Это работа на несколько дней и десятки тысяч рублей, а не миллионы.

Мы можем проверить ваши формы и путь заявок, переделать формы и согласия, а юридические тексты — согласовать с вашим юристом.