152-ФЗ для сайта простыми словами: что обязан сделать владелец в 2026 году

Владелица стоматологии заказала сайт три года назад. На нём форма «Записаться на приём», Яндекс Метрика и галочка согласия, поставленная заранее. Заявки падают в Telegram администратору, а политику когда-то скопировали у соседней клиники. Пациенты записываются, всё работает. И почти каждая деталь здесь может стать поводом для штрафа по 152-ФЗ.

152-ФЗ — это федеральный закон «О персональных данных» от 27 июля 2006 года. Он определяет, как собирать, хранить и передавать сведения о людях: имена, телефоны, адреса, переписку. Штрафы за нарушения прописаны отдельно, в статье 13.11 КоАП.

В 2025 году правила для сайтов менялись трижды: в мае выросли штрафы, в июле ужесточили хранение данных в России, в сентябре изменили требования к согласию. Ниже о том, что это значит для сайта с формой, корзиной или кабинетом, и чек-лист на 15 минут.

Закон о защите персональных данных касается всех, кто собирает сведения о людях, а не только банков. Таких участников он называет операторами.

Оператор — это тот, кто решает, зачем и как обрабатывать данные. Есть на сайте форма «Перезвоните мне» с именем и телефоном, значит, оператор вы. Не студия, которая делала сайт, и не хостинг. Размер бизнеса значения не имеет: ИП с одной формой отвечает так же, как федеральная сеть.

Обработкой закон называет почти любое действие с данными: сбор, запись, хранение, передачу, удаление. С ответственностью как в гардеробе ресторана: взяли у гостя пальто, значит, отвечаете за него, пока не вернёте. Неважно, кто вешал крючки.

Подрядчик ответственность не снимает. В январе 2026 года Верховный суд оставил в силе штраф министерству, данные которого утекли через подрядчика: оператор сам должен контролировать того, кому поручил работу.

По закону персональные данные — любая информация, которая прямо или косвенно относится к конкретному человеку. На обычном сайте таких мест больше, чем кажется.

Квиз, то есть опрос в несколько шагов перед формой, хороший пример. Ответ «двухкомнатная, переезд до конца года» сам по себе ничего не значит, но рядом с телефоном он уже говорит о конкретном человеке.

На сайте стоматологии «Время радоваться» пациенты записываются с телефона, записей больше 120 в месяц. За имя и номер в каждой из них отвечает клиника.

Со здоровьем строже. Если анкета клиники спрашивает об аллергии или хронических болезнях, это специальная категория данных. Для неё закон требует согласия в письменной форме, если нет другого основания, так что анкету лучше показать юристу до запуска.

Отзывы с фото и портреты врачей на странице «Команда» закон считает распространением данных, то есть показом всем желающим. На это нужно отдельное согласие.

Однозначного ответа нет. В 152-ФЗ слово cookie не встречается, а прямого правила про них, насколько нам известно, не дают и официальные разъяснения Роскомнадзора.

Cookie — короткая запись, которую сайт оставляет в браузере, вроде номерка из гардероба. По номерку человека не узнать. Но Метрика добавляет к нему IP-адрес, то есть адрес устройства в сети, модель телефона, город и историю визитов. Вместе это может указывать на конкретного посетителя.

Минцифры в письме от 12 мая 2025 года разъяснило: если сервис аналитики вроде Google Analytics обрабатывает персональные данные, это передача данных за границу. То есть ведомство считает аналитику обработкой данных, а не технической мелочью. Осторожный подход: оформлять данные Метрики так же аккуратно, как заявки.

Минимум для сайта с формой состоит из четырёх вещей. Подробно о политике мы писали в статье про политику конфиденциальности для сайта, здесь коротко и о том, что изменилось.

Политику требует часть 2 статьи 18.1 закона: если данные собирают через сайт, документ должен лежать на этом сайте и открываться со страниц, где идёт сбор. Политика конкурента не подойдёт, ведь она описывает чужие формы и сервисы.

Закон от 24 июня 2025 года № 156-ФЗ дописал в статью 9 одно предложение. Согласие должно быть оформлено отдельно от иной информации и документов, которые человек подтверждает или подписывает. Роскомнадзор повторил эту формулировку в письме от 3 октября 2025 года.

Значит, фраза «Нажимая кнопку, вы соглашаетесь с политикой и офертой» больше не годится. Оферта — договор, опубликованный на сайте. Согласие не может прятаться внутри неё, политики или пользовательского соглашения.

Рабочий вариант выглядит так:

• под формой отдельная галочка со ссылкой на отдельный текст согласия;
• по умолчанию галочка пустая: по той же статье 9 согласие должно быть сознательным и однозначным;
• в тексте согласия перечислены цели, данные, действия с ними, срок и способ отзыва;
• сайт сохраняет, когда и с какой формы дано согласие, ведь доказывать его по закону должен оператор.

Согласие нужно не всегда. В том же письме Роскомнадзор напомнил: для исполнения договора с человеком отдельное согласие не требуется, например для доставки оплаченного заказа. А заявка «перезвоните мне», квиз и подписка обычно держатся именно на согласии.

Раз позиция неоднозначна, разумно выбрать осторожную схему:

• описать cookie и сервисы аналитики отдельным текстом или разделом политики;
• при первом заходе показать баннер с выбором: согласиться или отказаться;
• после отказа не запускать Метрику и рекламные пиксели, то есть коды рекламных систем, которые отмечают посетителей.

У последнего пункта есть цена: часть посетителей пропадёт из отчётов. А баннер, который закрывается крестиком и ничего не отключает, выглядит формальностью. Где провести черту, решайте с юристом и тем, кто ведёт аналитику. И не перегружайте форму: пять галочек под двумя полями выглядят как ловушка. Такое сразу видно на UX-аудите.

По статье 18 закона «О рекламе» реклама по сетям связи допускается только с предварительного согласия получателя, и доказывать его придётся тому, кто рассылает. Поэтому для рассылки нужна своя необязательная галочка: человек, который записывается на чистку зубов, не должен соглашаться на акции.

До начала обработки оператор обязан уведомить Роскомнадзор, это статья 22 закона. С сентября 2022 года исключений почти не осталось, так что уведомление нужно почти любому бизнесу с формой на сайте. Подаётся оно бесплатно на портале персональных данных Роскомнадзора. Как заполнить форму, мы разбирали в статье о регистрации сайта в Роскомнадзоре.

В уведомлении указывают в том числе, где находится база с данными россиян и есть ли передача за границу. Поэтому его нельзя подать и забыть. Сменили CRM, то есть программу учёта клиентов, и сведения уже другие.

Трансграничная передача — это когда данные уходят в другую страну. Например, на сайте стоит Google Analytics или чат хранит переписку на серверах за рубежом.

По статье 12 о такой передаче уведомляют Роскомнадзор отдельно и до её начала. В страны из списка с адекватной защитой данных передавать можно сразу после подачи, в остальные после срока рассмотрения. В июле 2026 года статью снова поправили, так что сверяйте правила на момент подачи.

Небольшому сайту обычно проще заменить зарубежные сервисы: Метрика вместо Google Analytics, шрифты с собственного сервера.

Локализация — это требование хранить данные россиян в России. Оно действует с 2015 года, а с 1 июля 2025 года стало жёстче: закон от 28 февраля 2025 года № 23-ФЗ переписал часть 5 статьи 18.

Раньше закон обязывал вести данные в базах на территории России. Теперь он прямо запрещает при сборе записывать, хранить, уточнять и извлекать их с помощью баз за рубежом. Исключения касаются правосудия, госуслуг и журналистики, а не заявок и продаж.

Минцифры в письме от 12 мая 2025 года добавило: копии тоже должны лежать в российских базах. Уже собранные в России данные передать за границу можно, но по правилам трансграничной передачи.

Вывод для сайта: путь заявки должен начинаться в России. Считается то, где сервер стоит физически, а не где зарегистрирован провайдер. Хостинг только первый шаг, проверьте каждое место, куда попадает заявка.

Частая схема: форма сразу отправляет заявку в Telegram администратору или на личный Gmail менеджера. Проблем две. Данные с первого шага записываются на зарубежных серверах, а новая редакция закона это запрещает. И база клиентов оседает в личном телефоне: менеджер уволился, и заявки ушли с ним.

Что решает обе проблемы:

• заявка сначала сохраняется в базе сайта или CRM на сервере в России;
• в мессенджер уходит только сигнал «Новая заявка, откройте CRM», без имени и телефона;
• почта для заявок корпоративная, на российском сервисе;
• у каждого сотрудника свой доступ, и после увольнения его отключают в тот же день.

Сложнее, когда клиент сам пишет в зарубежный мессенджер: однозначного ответа, как оценивать такую переписку, нет. Минимум: переносить заявку в CRM и обсудить вопрос с юристом.

В личном кабинете данных ещё больше, и важно, кто их видит. В кабинете дилеров MMB Russia доступ разделён по ролям, а входы контролируются по IP. Правило «каждый видит только своё» стоит заложить в личный кабинет клиента с первого дня.

С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП, её ввёл закон от 30 ноября 2024 года № 420-ФЗ. Штрафы выросли в разы, появились отдельные наказания за неподанное уведомление и утечки. Суммы для компаний по редакции, действующей в октябре 2026 года:

ИП за нарушения по локализации, уведомлению и утечкам платят как компании, по первым двум строкам суммы для ИП меньше. Для клиник есть отдельная строка: утечка сведений о здоровье стоит компании от 10 до 15 млн рублей, это часть 16.

Последняя строка описывает оборотный штраф: его считают в процентах от выручки за календарный год перед тем, как нарушение выявили.

Если утечка случилась, по статье 21 закона о ней сообщают Роскомнадзору в течение 24 часов, а о результатах внутреннего расследования в течение 72 часов. Решите заранее, кто это делает. В пятницу вечером искать ответственного поздно.

Откройте свой сайт с телефона и пройдитесь по списку. Ответ «не знаю» тоже результат.

Для сайта, которому несколько лет, пара ответов «нет» обычное дело. Тексты документов пишет юрист, а галочки, баннер, путь заявки и забытые интеграции правятся на стороне сайта. Это задачи техподдержки сайта: приведём сайт в порядок спокойно, а не в спешке после письма из Роскомнадзора.

Если сайт регулярно дорабатывают, добавьте в план развития сайта правило: новая форма, сервис или кабинет появляются только вместе с обновлёнными документами.

152-ФЗ касается любого сайта, который принимает имя, телефон или почту. Минимум на 2026 год: политика, отдельное согласие, текст про cookie, своя галочка для рассылки, уведомление в Роскомнадзор и заявки, которые хранятся в России.

Правила меняются часто: в июле 2026 года снова поправили статью о передаче данных за границу. Статья написана в октябре 2026 года и не заменяет юриста, финальные тексты документов сверьте с ним.