Wiki · Вредоносные технологии

152-ФЗ и персональные данные на сайте

5 мин чтенияАвтор: Станислав БарановСоавторы: Евгений Баев

152-ФЗ – это федеральный закон «О персональных данных», который определяет, как компании собирают, хранят и защищают сведения о людях. Сайт попадает под него, как только посетитель может оставить имя, телефон или почту.

Многие владельцы уверены, что закон писали для банков и госучреждений, а у них «просто форма обратного звонка». Но имя и телефон из этой формы уже персональные данные, а компания, которая их получает, по закону становится оператором. Разберём, что из этого следует для сайта и как проверить свой.

Где на сайте появляются персональные данные

Персональные данные по закону – это любая информация, которая прямо или косвенно относится к определённому человеку. На коммерческом сайте их собирают в таких местах:

формы заявки, обратного звонка и подписки;
онлайн-запись, корзина и оформление заказа;
регистрация и личный кабинет;
онлайн-чат, квиз, отзывы с именем автора;
отклик на вакансию с резюме.

Про cookies и счётчики аналитики в законе прямо ничего не сказано, и здесь владельцы чаще всего сомневаются. На практике сайты показывают уведомление и описывают cookies и сервисы аналитики в политике. Подробнее в статье Файлы cookies.

Что закон требует от владельца сайта

Требование	Статья	Что это значит для сайта
Уведомить Роскомнадзор до начала обработки	ст. 22	Подать уведомление и попасть в реестр операторов
Опубликовать политику обработки	ст. 18.1	Политика доступна на страницах, где собирают данные
Получить согласие, если нет другого законного основания	ст. 9	Согласие оформлено отдельно от оферты и других документов
Хранить данные граждан России в России	ст. 18	База сайта, CRM и сервисы форм работают на серверах в РФ
Уведомить о трансграничной передаче	ст. 12	Отдельное уведомление, если данные уходят за рубеж
Защищать данные и сообщать об утечках	ст. 19, 21	Об инциденте сообщить за 24 часа, о результатах расследования за 72 часа

В редакции 2025 года статья 9 прямо требует оформлять согласие отдельно от иных документов. Одна галочка «Согласен с офертой, политикой и обработкой данных» под формой теперь слабое место: согласие смешано с другими условиями.

Политику пишут под свою компанию. Текст, скопированный с чужого сайта, описывает чужие цели и чужой состав данных, а иногда в нём остаётся и чужое название. Закон и статью 13.11 КоАП о штрафах регулярно правят, поэтому документы сверяют с действующей редакцией хотя бы раз в год.

Как оформить форму заявки

Возьмём клинику с онлайн-записью. В форме три поля: имя, телефон, удобное время. Под кнопкой пустой чекбокс «Даю согласие на обработку персональных данных» со ссылкой на текст согласия, рядом ссылка на политику. Пока чекбокс не отмечен, форма не отправляется.

Оставьте только нужные поля. Для обратного звонка дата рождения и адрес не нужны.
Сделайте чекбокс пустым по умолчанию. Закон требует, чтобы согласие было конкретным, информированным, сознательным и однозначным, а заранее поставленная галочка с этим плохо сочетается.
Вынесите согласие на отдельную страницу: кто оператор, какие данные, для чего, что с ними делают, срок и как отозвать согласие.
Сохраняйте факт согласия: дату, время, форму и версию текста. Согласие дают в любой форме, которая позволяет подтвердить его получение.
Проверьте, куда уходит заявка дальше. Почта, CRM и сервис рассылок тоже хранят эти данные.

Пять шагов оформления формы заявки по 152-ФЗ: минимум полей, пустой чекбокс, отдельное согласие, запись факта согласия, проверка пути заявки — Как оформить форму заявки по 152-ФЗ

Где хранятся данные после отправки формы

Статья 18 запрещает записывать, хранить и обновлять данные граждан России в базах за рубежом. Речь не об одном сервере сайта. Заявка проходит через несколько мест: база CMS, почта менеджера, CRM, конструктор форм. Если хоть одно звено – зарубежный сервис, появляются вопросы и к локализации, и к трансграничной передаче.

Схема пути персональных данных из формы сайта: база CMS, CRM и почта на серверах в России против зарубежного сервиса форм — Куда уходят данные из формы

Поэтому при выборе хостинга и сервисов для форм смотрят, где физически стоят серверы. Канал передачи защищает протокол HTTPS: без него данные из формы идут по сети открытым текстом. Как заявка попадает с сайта в CRM, разбираем в статье Интеграция сайта с CRM.

Шесть пунктов проверки сайта по 152-ФЗ

Компания есть в реестре операторов Роскомнадзора.
У каждой формы есть ссылки на политику и на текст согласия, а не одна ссылка в подвале. Формы во всплывающих окнах, квизах и на старых посадочных страницах проверяют так же.
Чекбокс согласия пустой по умолчанию, без него форма не уходит.
Сайт, CRM и сервисы форм хранят данные на серверах в России.
Сайт работает только по HTTPS, доступ в админку есть только у тех, кому он нужен.
Назначен человек, который сообщит в Роскомнадзор, если случится утечка.

Чек-лист проверки сайта по 152-ФЗ: реестр операторов, политика и согласие у форм, пустой чекбокс, серверы в России, HTTPS — Как проверить сайт по 152-ФЗ

Как искать уязвимости, через которые данные утекают, рассказываем в статье Аудит безопасности сайта.

Уведомление, согласие и утечка: что уточняют владельцы сайтов

Когда подавать уведомление в Роскомнадзор, если на сайте одна форма обратного звонка?

До того, как форма начнёт принимать заявки: имя и телефон в ней уже персональные данные, а уведомление подают до начала обработки. Исключения из статьи 22 узкие, обычный коммерческий сайт под них, как правило, не попадает.

Чем политика обработки персональных данных отличается от согласия?

Политика рассказывает, как компания в целом обращается с данными, и открыта всем. Согласие даёт конкретный посетитель: на определённые цели, действия и срок, с правом его отозвать. Поэтому под формой две ссылки, а согласие не прячут внутри политики или оферты.

Что делать в первые сутки, если база заявок с сайта утекла?

Уведомить Роскомнадзор: про сам инцидент у оператора 24 часа, на итоги внутреннего расследования 72 часа. Параллельно закрывают уязвимость, меняют пароли от админки, хостинга и базы и выясняют, какие данные ушли и за какой период. Ответственного лучше назначить заранее: пока выясняют, кто пишет в Роскомнадзор, сутки заканчиваются.

Формы, хранение данных и защиту сайта проверяем в услуге информационная безопасность сайтов. Переделать формы, согласия и передачу заявок в CRM поможет доработка существующего сайта.