Закон «О персональных данных» — 152-ФЗ — касается почти любого сайта. Достаточно формы «Оставьте телефон, мы перезвоним», чтобы её владелец стал оператором персональных данных со всеми обязанностями. Требования за последние годы менялись несколько раз, а ответственность за нарушения стала заметно строже — и за утечки, и за формальные упущения.
Ниже — основное, что стоит знать владельцу сайта, без юридического тумана. Важная оговорка: эта статья — не юридическая консультация. Она помогает понять, о чём спрашивать, но для вашей конкретной ситуации нужен юрист, который посмотрит документы и процессы.
Оператор и персональные данные
Персональные данные — любая информация, которая относится к определённому или определяемому человеку. Имя, телефон, адрес электронной почты, адрес доставки, история заказов, привязанная к учётной записи, — всё это они. Важно слово «определяемому»: данные считаются персональными, даже если человека по ним можно установить лишь косвенно, в сочетании с другими сведениями. Поэтому осторожный подход — относить сюда и идентификаторы cookie, и сведения, которые собирают счётчики аналитики.
Оператор — тот, кто организует обработку данных и определяет её цели. Собираете заявки через форму — вы оператор. Не имеет значения, сколько у вас сотрудников и храните ли вы данные сами или у подрядчика: хостинг, CRM или сервис рассылок, как правило, действуют по вашему поручению, а перед человеком отвечаете вы.
Обработка — практически любое действие: сбор, запись, хранение, использование, передача, удаление. «Мы ничего с данными не делаем, они просто лежат в базе» — это тоже обработка.
Согласие: отдельно от всего остального
Обрабатывать данные можно только на законном основании. Согласие человека — самое известное из них, хотя и не единственное: например, данные, необходимые для исполнения договора с покупателем, обрабатываются на основании самого договора. Какое основание применимо к каждой вашей форме — вопрос как раз к юристу.
Если основание — согласие, закон требует, чтобы оно было конкретным, предметным, информированным, сознательным и однозначным. На практике из этого следует несколько вещей.
- Отдельный документ. С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подтверждает. Его нельзя «зашить» в текст оферты, пользовательского соглашения или политики. Одна галочка «принимаю условия и соглашаюсь на обработку» больше не подходит.
- Действие человека. Отметку ставит сам пользователь. Флажок, установленный заранее, — это настройка формы, а не волеизъявление.
- Конкретная цель. Согласие даётся на обработку для определённой цели. Заявка на звонок и рекламная рассылка — разные цели и разные согласия.
- Возможность доказать. Подтвердить, что согласие получено, должен оператор: кто, когда и под каким текстом поставил отметку. Значит, это нужно сохранять.
- Возможность отозвать. Человек вправе отозвать согласие, и у вас должен быть понятный способ это принять и исполнить.
Политика обработки и уведомление Роскомнадзора
Оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему свободный доступ. Для сайта это означает ссылку на политику на тех страницах, где данные собираются: рядом с формой, а не только в подвале главной.
Политика должна описывать то, что происходит на самом деле: какие данные и для чего вы собираете, на каком основании, кому передаёте, сколько храните, как человек может обратиться к вам с запросом. Текст, скопированный с чужого сайта вместе с чужим названием компании, формально документом является, а по существу — нет.
Вторая обязанность — до начала обработки уведомить Роскомнадзор о намерении обрабатывать персональные данные. После этого сведения об операторе вносятся в открытый реестр. Исключений из этого правила немного, и на обычный сайт с формой заявки они, как правило, не распространяются. Если состав данных или цели изменились, сведения в уведомлении нужно обновить.
Где хранить данные
Закон требует, чтобы при сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение происходили с использованием баз данных, находящихся на территории России. Это правило называют локализацией.
Для владельца сайта из него следует практический вывод: смотреть нужно не только на то, где стоит сам сайт, но и на то, куда попадают данные из форм. Зона риска — конструкторы форм, таблицы, CRM и сервисы рассылок, размещённые за рубежом, если заявка записывается сразу туда. Размещение сайта и базы в дата-центре на территории России закрывает вопрос с основной базой, но не отменяет проверку остальных сервисов.
То же относится к резервным копиям: в них лежат те же данные, и требования к месту хранения и защите на них распространяются. О том, как устроить копии, — в статье «Бэкапы, которые восстанавливаются».
Если произошла утечка
Утечка — это не только взлом. Открытая по ошибке выгрузка, резервная копия в общедоступном каталоге, письмо с базой клиентов, отправленное не тому адресату, — всё это инциденты.
В общих чертах порядок такой.
- Остановить. Закрыть доступ, сменить пароли и ключи, сохранить журналы — они понадобятся для расследования.
- Уведомить Роскомнадзор. Закон отводит на это короткие сроки: первое сообщение о самом инциденте — в течение 24 часов с момента его выявления, сообщение о результатах внутреннего расследования — в течение 72 часов. Времени на раздумья нет, поэтому порядок действий и ответственного стоит определить заранее.
- Разобраться. Что именно утекло, чьи данные затронуты, как это произошло и какой вред возможен.
- Устранить причину и зафиксировать, что изменено.
Юриста здесь нужно привлекать сразу, а не после: от того, как оформлены уведомления и что в них написано, зависит дальнейшее.
Лучшая защита от утечки — не собирать лишнего. Данные, которых у вас нет, нельзя ни потерять, ни украсть.
Чек-лист для сайта
- Составлен список всех мест, где сайт собирает данные: формы, регистрация, оформление заказа, чат, подписка, счётчики.
- В каждой форме запрашивается только то, что нужно для её цели.
- Согласие на обработку оформлено отдельным документом; отметка под формой не установлена заранее и не объединена с принятием оферты.
- Факт согласия сохраняется: дата, время, текст, к которому оно относится.
- Политика обработки опубликована, отражает реальные процессы и доступна со страниц с формами.
- Уведомление в Роскомнадзор подано, сведения в нём актуальны.
- Известно, в какие сервисы попадают данные и где эти сервисы размещены.
- Доступ к базе и админке есть только у тех, кому он нужен; сайт работает по HTTPS.
- Определён срок хранения, старые заявки удаляются.
- Есть ответственный и короткая инструкция на случай инцидента.
Техническую часть списка — формы, хранение согласий, размещение, доступы — закрывает разработчик или тот, кто занимается поддержкой сайта. Тексты согласия и политики, выбор оснований обработки и уведомление регулятора — работа юриста. Хорошо, когда они делают её вместе.