Что должно быть на сайте по 152-ФЗ: чек-лист на 2026 год

1. Политика обработки персональных данных

Оператор, который собирает данные через интернет, обязан опубликовать документ о своей политике обработки персональных данных (ч. 2 ст. 18.1 152-ФЗ). На сайте это отдельная страница со ссылкой в подвале и рядом с каждой формой.

В политике указывают: кто оператор (наименование или ФИО, ИНН, ОГРН или ОГРНИП, адрес, контакты), какие данные и зачем собираются, на каком основании, как и где хранятся, кому передаются, сколько хранятся и как человек может их отозвать или удалить. Собрать текст за минуту можно в нашем генераторе политики конфиденциальности.

2. Отдельное согласие и отдельная галочка

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом (закон № 156-ФЗ). Его нельзя «спрятать» в оферту, договор или политику, а фраза мелким шрифтом под кнопкой «Отправить» больше не работает.

• Текст согласия — отдельная страница, например /consent. Собрать его можно в генераторе согласия.
• У каждой формы — неотмеченная галочка «Даю согласие на обработку персональных данных» со ссылкой на этот текст.
• Форма не отправляется, пока галочка не отмечена.
• Для рассылки новостей и рекламы — вторая, отдельная галочка.

3. Cookie и Яндекс Метрика

Счётчики аналитики собирают cookie, IP-адрес и сведения об устройстве. Такие данные часто относят к персональным, поэтому безопаснее спрашивать согласие: показать баннер с выбором «Принять» и «Только необходимые» и загружать Метрику только после согласия. В политике нужно упомянуть Метрику и ООО «Яндекс» как получателя данных.

Если аналитики на сайте нет и cookie используются только для работы сайта, баннер не обязателен — но об этом стоит написать в политике.

4. Уведомление Роскомнадзора

До начала обработки оператор подаёт в Роскомнадзор уведомление о намерении обрабатывать персональные данные (ст. 22 152-ФЗ). Это бесплатно и делается онлайн — через Госуслуги или сайт Роскомнадзора. После проверки оператор попадает в реестр, а номер записи удобно указать в политике.

5. Хранение данных в России

Данные граждан России при сборе должны записываться и храниться в базах данных на территории России (ч. 5 ст. 18 152-ФЗ). Проверьте, где находится хостинг сайта, конструктор, CRM и сервис рассылок. Зарубежная форма обратной связи или таблица на иностранном сервисе — частая ошибка.

6. Штрафы

С 30 мая 2025 года штрафы по ст. 13.11 КоАП заметно выросли. Например, компании за обработку данных без согласия или с нарушением требований к нему грозит до 700 тыс. ₽, за неподанное уведомление в Роскомнадзор — до 300 тыс. ₽. Повторные нарушения и утечки наказываются ещё строже.

Короткий чек-лист

• Политика обработки персональных данных — отдельная страница, ссылка в подвале и у форм.
• Согласие — отдельный документ, неотмеченная галочка у каждой формы.
• Отдельное согласие на рассылку, если она есть.
• Баннер про cookie, если стоит Метрика или другая аналитика.
• Уведомление в Роскомнадзор подано.
• Хостинг, формы и CRM — в России.

Статья — обзор для владельцев небольших сайтов, а не юридическая консультация. Если вы обрабатываете данные о здоровье, биометрию, данные детей или передаёте данные за границу, покажите документы юристу.

Как это сделать в Лепке

Сайты Лепки хранятся на серверах в России. Чтобы добавить документы, напишите Лепке: «Добавь политику конфиденциальности и согласие на обработку данных, вот мои реквизиты» — она сделает отдельные страницы, ссылки в подвале и галочку у каждой формы.

Частые вопросы

Полезное по теме

Другие статьи

• Как подтвердить домен .ru через Госуслуги
• Сколько стоит сайт в 2026 году
• Лендинг или многостраничный сайт: что выбрать