Персональные данные на сайте: требования 152-ФЗ к формам, cookies и согласиям

Любая информация, относящаяся к определённому или определяемому физическому лицу. Прямые персональные данные: имя, фамилия, телефон, email, паспортные данные, адрес. Косвенные: IP-адрес, cookie с идентификаторами, геолокация (в комбинации). Особые категории: здоровье, биометрия, политические взгляды. Работа с любой из этих категорий через формы или веб-аналитику образует обработку персональных данных.

Да. Одна форма сбора имени, email или телефона уже образует обработку персональных данных. Политика обязательна по статье 18.1 152-ФЗ, размер сайта и количество форм значения не имеют. За отсутствие политики юридическое лицо получает штраф от 30 до 60 тысяч рублей по части 3 статьи 13.11 КоАП.

Формально это нарушение принципа конкретности согласия по статье 9 152-ФЗ. Каждая цель обработки требует отдельного согласия: согласие на регистрацию ≠ согласие на маркетинговую рассылку. На практике общая галочка работает до первой жалобы или проверки: при разборе Роскомнадзор фиксирует отсутствие конкретных согласий и привлекает оператора к ответственности. Лучше разделить с самого начала.

Если сайт использует аналитику (Я.Метрика, Google Analytics), маркетинговые трекеры (ретаргетинг), виджеты соцсетей или другие технологии, идентифицирующие пользователя, баннер нужен. По разъяснениям Роскомнадзора 2022–2024 годов cookies с идентификаторами в комбинации с IP считаются обработкой ПДн и требуют согласия. Баннер должен давать возможность выбрать категории, а не только «Принять все».

20 критериев по 152-ФЗ (ч. 2 ст. 18.1): данные оператора, цели обработки, правовые основания, категории субъектов и данных, способы обработки, сроки хранения, передача третьим лицам, меры защиты, права субъектов, контакты ответственного. Каждый пункт формулируется под вашу деятельность, а не берётся общей фразой из шаблона.

Я.Метрика формально требует согласия: она обрабатывает данные через cookie с идентификаторами. На практике большинство российских сайтов используют её без отдельного согласия, и на проверке это фиксируют как нарушение. Рабочая схема: выделить в cookie-баннере «Аналитические» отдельной категорией и не запускать Я.Метрику до согласия. Google Analytics с 2022 года имеет дополнительные сложности с локализацией ПДн (242-ФЗ).

По 242-ФЗ операторы обязаны хранить ПДн граждан РФ в базах данных, расположенных на территории РФ. Для сайта это означает: ваш хостинг и базы данных должны быть в России; сторонние сервисы, которым передаются ПДн, должны иметь локализацию в РФ (у Я.Метрики она есть, у Google Analytics нет). Зарубежный хостинг или сервис без локализации образует нарушение со штрафом до 6 млн ₽.

Зависит от состава. Отсутствие политики: 30–60 тысяч рублей (часть 3 статьи 13.11 КоАП). Обработка без письменного согласия, когда оно требуется: 300–700 тысяч, повторно 1–1,5 млн (часть 2). Обработка без баз данных на территории России: 1–6 млн, повторно 6–18 млн (часть 8). Утечка персональных данных: оборотные штрафы по частям 12–15. Несколько составов одновременно суммируются.

Чек-лист: (1) политика обновлена под новые цели обработки и новые подрядчики; (2) согласия под новыми формами добавлены отдельно; (3) cookie-баннер обновлён, если появились новые трекеры; (4) уведомление в Роскомнадзор актуализировано (если изменились существенные параметры); (5) журнал согласий настроен для новых форм. Лучше делать через экспресс-аудит /checksite + ручную сверку.

Скрывать нарушения бесполезно, работает план приведения в соответствие. Начните с аудита (бесплатно /checksite или экспертно), составить список приоритетных исправлений, начать с критичных (политика, согласия под формами), параллельно подготовить документы для подачи актуализированного уведомления в Роскомнадзор (если требуется). Документированный процесс «приводим в соответствие» снижает риск штрафа, даже если проверка придёт по ходу работы.