Как привести сайт в соответствие 152-ФЗ: пошаговая инструкция

1SSL-сертификат (HTTPS)

Если ваш сайт собирает любые персональные данные — имя, email, телефон — передача этих данных по незашифрованному каналу (HTTP) нарушает требования к защите ПДн (ст. 19 152-ФЗ). Роскомнадзор при проверке обращает на это внимание в первую очередь.

Зачем нужен HTTPS

• Шифрует данные между браузером пользователя и сервером — никто не может перехватить ФИО, email или номер карты
• Браузеры Chrome и Firefox помечают HTTP-сайты как «Небезопасные» — это отпугивает посетителей
• Google и Яндекс учитывают HTTPS как фактор ранжирования
• Без SSL невозможна интеграция с платёжными системами и большинством API

Как проверить

Откройте свой сайт в браузере. Если в адресной строке отображается замок — SSL установлен. Кликните на замок, чтобы проверить срок действия сертификата. Если вместо замка показывается предупреждение «Не защищено» — сертификата нет или он просрочен.

Как установить бесплатно

Используйте Let’s Encrypt— бесплатный центр сертификации. Большинство хостингов (Timeweb, Beget, REG.RU) позволяют установить Let’s Encrypt в один клик через панель управления. Сертификат обновляется автоматически каждые 90 дней.

2Политика конфиденциальности

Политика конфиденциальности — обязательный документ для любого сайта, который собирает персональные данные (ст. 18.1 152-ФЗ). Отсутствие политики — штраф от 30 000 до 60 000 ₽ для юрлиц (ст. 13.11 ч.3 КоАП).

12 обязательных разделов

Где разместить

Ссылка на политику конфиденциальности должна быть доступна с каждой страницы сайта. Стандартное место — футер. Также ссылку нужно разместить рядом с каждой формой сбора данных и в тексте cookie-баннера.

3Согласие на обработку ПДн в формах

Каждая форма на сайте, которая собирает персональные данные, должна содержать механизм получения согласия (ст. 9 152-ФЗ). Обработка ПДн без согласия — штраф от 300 000 до 700 000 ₽ для юрлиц (ст. 13.11 ч.2 КоАП).

Требования к чекбоксу согласия

• Не предустановлен — чекбокс не должен быть отмечен по умолчанию. Пользователь сам ставит галочку
• Явный текст — «Я даю согласие на обработку персональных данных в соответствии с ...»
• Ссылка на политику — текст согласия должен содержать кликабельную ссылку на политику конфиденциальности
• Форма заблокирована — отправка формы невозможна без отмеченного чекбокса

Какие формы требуют согласия

Все формы, собирающие хотя бы одно поле с персональными данными: формы заказа, регистрации, подписки на рассылку, обратной связи, записи на приём, калькуляторы с вводом email или телефона, чаты с авторизацией.

Изменения 2025 года

С 2025 года ужесточены требования к форме согласия. Согласие должно быть конкретным, информированным и сознательным. Это означает, что общая фраза «согласен на обработку данных» без указания целей и перечня данных может быть признана недействительной. В согласии нужно указать: кто оператор, какие данные, для каких целей, срок действия согласия, способ отзыва.

4Cookie-баннер

Почти каждый сайт использует cookie-файлы — для аналитики, авторизации, рекламы. Если cookie позволяют идентифицировать пользователя (а аналитические и рекламные cookie это делают), они считаются персональными данными по 152-ФЗ. Это значит, что для их сбора нужно согласие.

Когда нужен cookie-баннер

• Сайт использует Яндекс.Метрику, Google Analytics или любую другую систему аналитики
• Установлены рекламные пиксели (VK Pixel, Meta Pixel, myTarget)
• Используются A/B-тесты, персонализация контента
• Работает авторизация через cookie

Если сайт не использует никаких трекеров и cookie нужны только для технической работы (например, сессия авторизации) — баннер формально не обязателен. Но на практике таких сайтов почти нет.

Что должен содержать баннер

5Внутренние документы

Помимо публичных документов на сайте (политика конфиденциальности), 152-ФЗ требует от оператора наличия внутренних организационных документов (ст. 18.1). Эти документы проверяет Роскомнадзор при выездной проверке.

6Уведомление в Роскомнадзор

Оператор персональных данных обязан уведомить Роскомнадзор о начале обработки ПДн (ст. 22 152-ФЗ). Подать уведомление нужно до начала обработки данных. Штраф за неподачу — до 300 000 ₽ для юрлиц.

Как подать уведомление

Что указать в уведомлении

• Наименование и адрес оператора
• Цели обработки ПДн (конкретные, не «любые законные»)
• Категории субъектов (клиенты, сотрудники, посетители сайта)
• Категории данных (ФИО, email, телефон, cookie и т.д.)
• Правовое основание обработки (согласие, договор, закон)
• Меры защиты данных
• Дата начала обработки
• Сведения о трансграничной передаче (если есть)

Исключения

Уведомление не нужно, если вы обрабатываете данные только своих сотрудников в рамках трудового законодательства. Но если у вас есть сайт с формами — вы обрабатываете данные посетителей, и уведомление обязательно.

Бонус: чек-лист быстрой проверки

Пройдитесь по этим 10 пунктам, чтобы быстро оценить состояние вашего сайта. Если хотя бы на 2–3 пункта ответ «нет» — есть риск получить штраф при проверке Роскомнадзора.