Онлайн-бизнес, который совсем не собирает персональные данные, сейчас найти трудно. Форма заявки, корзина, счетчик Метрики, чат на сайте, и владелец сайта уже оператор. Хорошая новость в том, что базовые требования к сайту вполне конечны. Их можно выполнить за несколько недель и потом поддерживать без аврала.
Ниже список по порядку: от того, что видно посетителю, до того, что происходит внутри компании. Если вы еще не уверены, обрабатывает ли сайт данные, начните со статьи как понять, что сайт обрабатывает персональные данные.
1. Опубликовать политику обработки персональных данных
Политика, которую на сайтах часто называют политикой конфиденциальности, рассказывает, какие данные собирает оператор, зачем, на каком основании, сколько хранит и кому передает. Принять такой документ обязан любой оператор по статье 18.1 Закона № 152-ФЗ.
Для сайта есть отдельное правило. Если данные собираются через интернет, политику публикуют на тех страницах, через которые идет сбор. Значит, ссылка нужна рядом с каждой формой, а не только в подвале сайта.
Политика должна описывать ваш сайт, а не чей-то еще. Если в ней упомянуты сервисы, которых у вас нет, и не упомянута ваша CRM, документ формально есть, но задачу не выполняет. За отсутствие политики организации грозит штраф от 30 000 до 60 000 рублей по части 3 статьи 13.11 КоАП.
2. Подготовить согласие на обработку данных и согласие на рекламу
Политика информирует, а согласие дает основание для обработки там, где другого основания нет. Это два разных документа. С 1 сентября 2025 года согласие на обработку оформляется отдельно от другой информации и документов, поэтому строка «отправляя форму, вы принимаете политику» больше не годится.
Согласие на рекламную рассылку отдельная история. Его дают по Закону «О рекламе», и без него присылать акции нельзя, даже если согласие на обработку данных есть.
Как это устроено, мы разбирали в статьях о разнице между политикой и согласием и о согласии на рекламную рассылку.
3. Привести в порядок формы
Под каждой формой проверьте:
- нет ли лишних полей, которые не нужны для ответа;
- есть ли отдельная галочка согласия, не проставленная заранее;
- есть ли ссылка на текст согласия и на политику;
- отделено ли согласие на рекламу и необязательно ли оно;
- сохраняются ли дата, источник и версия текста согласия.
Подробнее в статье когда форма заявки становится обработкой персональных данных.
4. Настроить cookie и аналитику
Если сайт использует аналитические, рекламные или маркетинговые cookie, пользователю нужна техническая возможность согласиться с их сбором или отказаться. Обычно это cookie-баннер с выбором категорий. Аналитику и пиксели безопаснее загружать только после согласия.
Минимум, без которого не обойтись: описать cookie и подключенные сервисы в политике. Подробно в статье о cookie и согласии.
5. Проверить, где хранятся данные
По части 5 статьи 18 Закона № 152-ФЗ при сборе данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение должны идти в базах на территории России. Для сайта это значит, что хостинг, CRM, почта для заявок и конструктор сайта должны хранить данные в России, по крайней мере первичную базу.
Нарушение этого требования одно из самых дорогих: по части 8 статьи 13.11 КоАП организации грозит штраф от 1 до 6 млн рублей, а за повторное нарушение до 18 млн. Заявки, которые падают на почту в зарубежном сервисе, классический пример риска.
Если данные уходят за рубеж, например через иностранные счетчики или CRM, это еще и трансграничная передача. О ней нужно заранее уведомить Роскомнадзор.
6. Проверить вход и регистрацию
Если на сайте есть личный кабинет, проверьте способы входа. По части 10 статьи 8 Закона «Об информации» российские пользователи должны авторизоваться через номер телефона, Госуслуги, биометрическую систему или другую систему, которая соответствует требованиям закона. Вход только через Google или Apple ID не подходит.
7. Защитить данные технически
Требования к защите задает статья 19 закона и постановление Правительства № 1119. Для типичного сайта небольшого бизнеса минимум такой:
- сайт и формы работают по HTTPS;
- доступ к админке и CRM по личным учетным записям с надежными паролями и двухфакторной авторизацией;
- права доступа выданы по задачам, а не «всем на всякий случай»;
- CMS, плагины и модули регулярно обновляются;
- резервные копии делаются и хранятся защищенно;
- после увольнения сотрудника или ухода подрядчика доступы закрываются в тот же день.
Это не исчерпывающий список, но без этого остальные документы мало что значат.
8. Подготовить внутренние документы
Политика на сайте внутренние правила не заменяет. Обычно компании нужны:
- положение об обработке персональных данных;
- приказ о назначении ответственного, если оператор юридическое лицо;
- документ о мерах защиты;
- порядок ответов на запросы людей;
- правила учета и хранения согласий;
- памятка для работников;
- порядок уничтожения данных;
- порядок действий при утечке;
- договоры с подрядчиками с условиями поручения обработки.
Подробно в статье какие документы по персональным данным нужны организации и ИП.
9. Подать уведомление в Роскомнадзор
Почти любой сайт, который обрабатывает персональные данные, требует уведомления Роскомнадзора до начала обработки. Форма есть на портале персональных данных. За неподанное уведомление по части 10 статьи 13.11 КоАП организации и ИП грозит штраф от 100 000 до 300 000 рублей.
Уведомление нужно заполнять по реальным процессам: какие данные собирает сайт, зачем, где хранит, кому передает. Пошаговая инструкция есть в статье как самостоятельно подать уведомление в Роскомнадзор.
С чего начать
Если ничего не сделано, двигайтесь по рискам:
- Локализация: проверьте, где хранятся заявки.
- Уведомление Роскомнадзора: проверьте себя в реестре.
- Политика и формы: то, что видно сразу.
- Cookie и аналитика.
- Внутренние документы и договоры с подрядчиками.
Первые три пункта обычно можно закрыть за неделю. Остальное требует больше времени, но и откладывать его на годы не стоит.
Частые вопросы
Достаточно ли скачать политику с конструктора документов?
Как основу можно, но ее придется переписать под ваш сайт: реальные формы, сервисы, сроки и цели. Иначе документ будет описывать чужую обработку.
Сайт на конструкторе. Кто отвечает за выполнение требований?
Вы, как владелец сайта и оператор. Конструктор обрабатывает данные по вашему поручению. Его условия и место хранения данных нужно проверить и отразить в документах.
Если сайт только для юрлиц (B2B), требования те же?
Да. Данные представителей компаний, имена и телефоны менеджеров, тоже персональные данные.
Как часто нужно проверять сайт?
При каждом заметном изменении: новая форма, новая CRM, новый счетчик или виджет. И плановая сверка хотя бы раз в год.