152-ФЗ для сайта: что обязан сделать владелец бизнеса

Требования 152-ФЗ к сайту касаются каждого, кто собирает персональные данные пользователей: от формы обратной связи до интернет-магазина. В статье разбираем, что именно нужно сделать владельцу бизнеса, чтобы не получить штраф и не потерять доверие клиентов. Материал полезен предпринимателям, маркетологам и всем, кто отвечает за сайт компании.

Что такое 152-ФЗ и почему он касается вашего сайта

Федеральный закон № 152-ФЗ «О персональных данных» регулирует сбор, хранение, использование и распространение любой информации, которая прямо или косвенно относится к человеку. Для сайта это имя, телефон, e-mail, IP-адрес, данные банковских карт, файлы cookie и даже история покупок. Если вы собираете хотя бы один из этих параметров, вы — оператор персональных данных и обязаны соблюдать закон.

Какие требования 152-ФЗ к сайту нужно выполнить

Закон не даёт готового чек-листа для веб-разработчиков, но из его положений и разъяснений регулятора складывается понятный набор обязательств. Перечислим основные.

Согласие на обработку персональных данных

Пользователь должен явно и осознанно согласиться на обработку своих данных. На сайте это реализуется через чекбокс («галочку») рядом с кнопкой отправки формы. Текст согласия должен быть конкретным: какие данные собираются, для каких целей, как долго хранятся и кому могут передаваться.

Политика конфиденциальности

Документ, который описывает все аспекты работы с персональными данными: категории данных, цели обработки, правовые основания, сроки хранения, меры защиты, права субъектов, контакты оператора. Политика должна быть доступна с любой страницы сайта — обычно ссылку размещают в подвале и рядом с формами.

Проверка сайта на соответствие 152-ФЗ: пошаговый алгоритм

Самостоятельная проверка сайта на соответствие 152-ФЗ не требует глубоких юридических знаний. Достаточно пройти по основным точкам контроля. Ниже — пошаговая инструкция, которая поможет выявить типичные проблемы.

1. Составьте карту данных. Определите, какие персональные данные собирает сайт: формы заявок, подписки, онлайн-оплата, личные кабинеты, чаты, файлы cookie, системы аналитики. Для каждого источника зафиксируйте, какие именно поля заполняет пользователь и куда эти данные отправляются.
2. Проверьте наличие согласий. Убедитесь, что каждая форма имеет чекбокс согласия на обработку персональных данных, не предустановленный по умолчанию. Текст согласия должен ссылаться на политику конфиденциальности.
3. Оцените политику конфиденциальности. Откройте документ и проверьте, есть ли в нём: категории данных, цели обработки, правовые основания, сроки хранения, порядок отзыва согласия, контакты оператора. Сравните с реальными процессами: например, если данные передаются в CRM, это должно быть указано.
4. Проверьте хостинг. Узнайте, где физически расположен сервер, на котором хранятся данные. Если хостинг зарубежный, нужно либо перенести сайт на российский сервер, либо обеспечить трансграничную передачу с соблюдением требований (что сложнее).
5. Проверьте SSL и безопасность. Убедитесь, что сайт работает по HTTPS, установлен актуальный SSL-сертификат, CMS и плагины обновлены, нет известных уязвимостей. Проверьте, кто имеет доступ к админке и базе данных.
6. Проверьте уведомление Роскомнадзора. Если вы ещё не подавали уведомление, оцените, обязаны ли это сделать. Для большинства сайтов с формами — да. Подать уведомление можно онлайн за 15–20 минут.
7. Проверьте договоры с подрядчиками. Если вы передаёте данные третьим лицам (CRM-сервис, email-рассылки, коллтрекинг, курьерская служба), убедитесь, что с ними заключены договоры поручения обработки персональных данных.

Аудит сайта 152-ФЗ: что проверяют специалисты

Аудит сайта 152-ФЗ — это более глубокая проверка, которую проводят юристы и технические специалисты. Она включает не только внешний осмотр, но и анализ серверной части, договоров, внутренних регламентов. Такой аудит обычно заказывают перед запуском нового проекта, при масштабировании бизнеса или после инцидентов.

Что будет, если не соблюдать 152-ФЗ на сайте

Ответственность за нарушение закона о персональных данных предусмотрена статьёй 13.11 КоАП РФ. Штрафы для юридических лиц достигают 18 млн рублей, для должностных лиц — до 800 тыс. рублей. Кроме того, Роскомнадзор вправе заблокировать сайт до устранения нарушений, а пострадавшие пользователи могут требовать компенсацию морального вреда.

Как привести сайт в соответствие с 152-ФЗ: практические шаги

Приведение сайта в соответствие с 152-ФЗ — это процесс, который можно разбить на этапы. Ниже — универсальный план, подходящий для большинства бизнесов.

1. Проведите аудит. Используйте чек-лист из этой статьи или закажите профессиональный аудит сайта 152-ФЗ. Зафиксируйте все несоответствия.
2. Разработайте документы. Подготовьте политику конфиденциальности, согласие на обработку, приказ о назначении ответственного, положение о работе с персональными данными. Убедитесь, что тексты соответствуют реальным процессам.
3. Доработайте сайт. Добавьте чекбоксы согласия, ссылки на политику, SSL-сертификат, обновите CMS и плагины. При необходимости перенесите сайт на российский хостинг.
4. Подайте уведомление в Роскомнадзор. Заполните форму на сайте ведомства, указав цели обработки, категории данных, меры защиты. После регистрации вы получите номер в реестре.
5. Заключите договоры с подрядчиками. Если данные передаются третьим лицам, оформите поручения на обработку. Проверьте, что в договорах прописаны обязанности сторон по защите данных.
6. Обучите сотрудников. Проведите инструктаж для тех, кто работает с персональными данными. Объясните, как реагировать на запросы пользователей об удалении или изменении данных.
7. Настройте регулярный мониторинг. Периодически проверяйте сайт на новые формы, изменения в законодательстве, обновления безопасности. Ведите журнал инцидентов.

Если сайт создан недавно и вы только планируете запуск, заложите требования 152-ФЗ на этапе разработки. Это дешевле и быстрее, чем переделывать готовый ресурс. Например, при заказе интернет-магазина или лендинга убедитесь, что подрядчик предусмотрел все необходимые элементы.

Чек-лист: минимальные требования 152-ФЗ для сайта

• На сайте опубликована политика конфиденциальности, доступная с любой страницы.
• Все формы сбора данных имеют чекбокс согласия, не предустановленный по умолчанию.
• Текст согласия конкретен и ссылается на политику.
• Сайт работает по HTTPS с действующим SSL-сертификатом.
• Хостинг или сервер расположен на территории РФ.
• Подано уведомление в Роскомнадзор (если нет исключений).
• CMS и все плагины обновлены до актуальных версий.
• Доступ к админке и базе данных ограничен, используются надёжные пароли.
• С подрядчиками, обрабатывающими данные, заключены договоры поручения.
• Назначен ответственный за организацию обработки персональных данных.

Когда стоит обратиться к специалистам

Команда Perfect Team с 2007 года создаёт и поддерживает сайты, соответствующие требованиям законодательства. Мы поможем провести аудит, устранить нарушения и настроить процессы, чтобы ваш бизнес работал спокойно. Оставьте заявку на консультацию — расскажем, с чего начать в вашем случае.