Короткий ответ
Если на сайте есть хоть одна форма — заявка, обратный звонок, квиз или онлайн-чат, — вы оператор персональных данных. Значит, нужно четыре вещи: политика обработки данных на сайте, отдельное согласие с галочкой у каждой формы (с 1 сентября 2025 года его нельзя «зашивать» в оферту или политику), уведомление в Роскомнадзор до начала обработки и аккуратные счётчики — уведомление о файлах cookie и отключённая запись полей форм в Вебвизоре.
Цена вопроса: привести сайт в порядок — от 15 000 до 40 000 ₽ разово и 1–3 рабочих дня. Цена бездействия: до 300 000 ₽ за неподанное уведомление, до 700 000 ₽ за обработку без надлежащего согласия и остановка рекламы, потому что без данных рекламодателя Яндекс Директ объявления не покажет.
Вы оператор персональных данных — даже если никогда об этом не думали
Слово «оператор» звучит солидно: кажется, что это про банки и сотовых операторов. На деле оператор — любой, кто собирает данные людей и решает, зачем они ему нужны. Имя и телефон в форме «Оставить заявку» — уже персональные данные. Электронная почта в подписке — тоже.
Мы в Interland за 12 лет собрали сотни сайтов на 1С-Битрикс и видим одну и ту же картину: сайт сделан аккуратно, формы работают, заявки падают в CRM — а документы остались из шаблона, который поставила студия пять лет назад. Там до сих пор «Компания <НАЗВАНИЕ> обязуется...». Недавно мы прошли этот путь на собственном сайте и честно расскажем, что нашли у себя.
Данные на сайте собирают не только формы:
- Квизы и калькуляторы — «рассчитать стоимость, оставьте телефон».
- Онлайн-чат и обратный звонок — виджет тоже спрашивает имя и номер.
- Счётчики посещаемости. Яндекс Метрика собирает файлы cookie, адрес устройства и поведение на сайте. Роскомнадзор на практике считает такие данные персональными, если их можно связать с человеком.
- Сторонние сервисы в формах. Классика — защита от спама reCAPTCHA от Google: она отправляет данные посетителя за границу, а это уже трансграничная передача с отдельным уведомлением.
Что изменилось за последние два года
Требования ужесточались постепенно, и многие изменения прошли мимо владельцев сайтов — просто потому, что о них не пишут в новостях бизнеса.
| Когда | Что изменилось | Что это значит для сайта |
|---|---|---|
| 1 марта 2023 | Трансграничная передача данных — только после отдельного уведомления Роскомнадзора | Зарубежные сервисы в формах и аналитике нужно либо убрать, либо оформить |
| 1 июля 2025 | Прямой запрет собирать данные россиян сразу в зарубежные базы | Сайт, почта и CRM должны сначала записывать данные в России |
| 30 мая 2025 | Штрафы выросли кратно, появились оборотные штрафы за утечки | Неподанное уведомление стало отдельным поводом для штрафа |
| 1 сентября 2025 | Согласие на обработку — только отдельным документом | Строчка «нажимая кнопку, вы соглашаетесь» больше не работает |
| 2026 | Число проверок выросло примерно на четверть к 2024 году | Проверяют не только крупных: поводом бывает жалоба клиента |
Последний пункт — самый неприятный. Проверка обычно начинается не с того, что «пришли и нашли», а с обиженного посетителя, который получил рассылку и написал жалобу.
Сколько стоят ошибки
Это размеры штрафов по статье 13.11 Кодекса об административных правонарушениях в редакции, которая действует с 30 мая 2025 года.
| Нарушение | Должностное лицо | Организация |
|---|---|---|
| Не подали уведомление в Роскомнадзор | 30 000 – 50 000 ₽ | 100 000 – 300 000 ₽ |
| Обработка без согласия или согласие не по форме | 100 000 – 300 000 ₽ | 300 000 – 700 000 ₽ |
| Нет политики обработки данных на сайте | 6 000 – 12 000 ₽ | 30 000 – 60 000 ₽ |
| Реклама без идентификатора erid | 100 000 – 200 000 ₽ | 200 000 – 500 000 ₽ |
| Утечка данных, повторно | — | 1–3% годовой выручки, от 20 до 500 млн ₽ |
Индивидуальный предприниматель по части про уведомление отвечает как организация — то есть до 300 000 ₽. Это важно: многие считают, что «я же ИП, мне максимум пять тысяч».
Чек-лист: что проверить на своём сайте за десять минут
Откройте сайт как обычный посетитель и пройдите по пунктам.
- Политика обработки персональных данных. Ссылка в подвале должна вести на живую страницу, где указаны ваше наименование, ИНН, цели обработки и порядок отзыва согласия. Частая находка: ссылка называется «Политика конфиденциальности», а открывается текст согласия из шаблона.
- Согласие — отдельный документ. Не раздел политики и не абзац в оферте. У каждой формы — ссылка именно на него.
- Галочка согласия стоит и обязательна. Попробуйте отправить форму, не отмечая её. Если заявка ушла — согласия нет. Проверьте и обратное: галочка не должна быть проставлена заранее.
- Подпись у галочки соответствует смыслу. Текст «нажимая кнопку, я даю согласие» рядом с галочкой противоречит сам себе: согласие даётся галочкой.
- Уведомление о файлах cookie. Плашка с возможностью отказаться, а не просто «мы используем cookie, ок».
- Вебвизор в Метрике. В настройках счётчика есть переключатель «Записывать все поля». Если он включён, в записях визитов сохраняется то, что посетители печатали в формах, — даже когда заявку в итоге не отправили.
- Зарубежные сервисы. Загляните в формы: reCAPTCHA от Google, зарубежные чаты и аналитика — это передача данных за границу.
- Запись в реестре операторов. Проверяется по ИНН на портале персональных данных Роскомнадзора.
Если хотя бы три пункта из восьми не сошлись — это обычная ситуация, а не катастрофа. Мы недавно проверяли собственный сайт и нашли у себя ровно четыре: формы отправлялись без галочки, подпись противоречила смыслу, отдельной политики не было, а reCAPTCHA тихо отправляла данные за океан. Исправили за день.
Уведомление в Роскомнадзор: как это выглядит на практике
Уведомление подаётся до начала обработки — то есть, по-хорошему, до запуска форм на сайте. Если сайт работает давно, подают сейчас: это лучше, чем не подавать.
- Где. На портале персональных данных Роскомнадзора. Проще всего — вход через Госуслуги от имени организации или ИП: тогда не нужны ни электронная подпись, ни бумажная копия.
- Что спрашивают. Реквизиты, адреса, цели обработки, категории данных и людей, правовые основания, перечень действий с данными, меры защиты, ответственный за обработку, дата начала, есть ли передача за границу и где физически лежат базы — хостинг, CRM, почта.
- Сколько времени. Само заполнение — час-полтора, если реквизиты и перечень сервисов собраны заранее. Больше всего времени уходит на описание целей: у интернет-магазина их обычно три-четыре.
- Потом. Подтверждение приходит на почту, в реестр операторов вносят в течение 30 дней. Если что-то поменялось — новые формы, рассылка, переезд на другой хостинг, — подаётся уведомление об изменениях до 15-го числа следующего месяца.
Реклама: почему это тот же разговор
Перед запуском Яндекс Директа всплывает вторая тема — маркировка рекламы по закону «О рекламе». Работает она так: в кабинете Директа заполняются данные рекламодателя, Яндекс сам присваивает каждому объявлению идентификатор erid и передаёт сведения в единый реестр интернет-рекламы. Реклама собственных услуг тоже маркируется.
Если данные рекламодателя не заполнены, объявления просто не пойдут. Кстати, рядом стоит и вопрос бюджета: с 2025 года площадки платят сбор 3% с доходов от интернет-рекламы, а с 2026 года в счетах Директа НДС 22% — это стоит учитывать при планировании вместе с поисковым продвижением. А с 2025 года данные в реестре проверяются автоматически: не поступили в срок — материалы уходят в антимонопольную службу. Поэтому мы проверяем сайт и рекламный кабинет в один заход: неприятно потерять неделю на старте только из-за незаполненного поля с ИНН.
Считаем на салфетке
Посчитаем на конкретном примере. Компания-услуги, организация, сайт на 1С-Битрикс с тремя формами и квизом, есть Метрика и реклама в Директе на 100 000 ₽ в месяц.
Вложения: приведение в порядок под ключ — 25 000 ₽ разово (проверка, политика, согласие, настройка всех форм, уведомление о cookie, Метрика, подача уведомления). В третьем квартале добавили рассылку, подали уведомление об изменениях — ещё 5 000 ₽.
Отдача у такой работы не в выручке, а в снятом риске. Считаем его честно, как страховку. Типовой «набор» нарушений для сайта с формами — уведомление, согласие и политика — это в среднем 645 000 ₽ штрафа (берём середину вилок: 200 000 + 400 000 + 45 000). Вероятность разбирательства за год для небольшой компании с активной рекламой и рассылками оценим в 10% — это осторожная оценка на фоне роста числа проверок. Значит, ожидаемые потери — 64 500 ₽ в год, или около 16 100 ₽ за квартал.
| Квартал | Вложено нарастающим итогом | Снятый риск нарастающим итогом | Итог |
|---|---|---|---|
| 1-й | 25 000 ₽ | 16 100 ₽ | −8 900 ₽ |
| 2-й | 25 000 ₽ | 32 200 ₽ | +7 200 ₽ |
| 3-й | 30 000 ₽ | 48 300 ₽ | +18 300 ₽ |
| 4-й | 30 000 ₽ | 64 400 ₽ | +34 400 ₽ |
Это модель, а не гарантия: штраф либо будет, либо нет, среднего значения в жизни не бывает. Но даже по осторожной оценке работа окупается ко второму кварталу. А в расчёт не попали две вещи, которые ощущаются сразу: неделя простоя рекламы из-за незаполненных данных рекламодателя — это 25 000 ₽ неотработанного бюджета плюс заявки, которые ушли к конкурентам, и репутационная история, когда клиент публично жалуется на рассылку без согласия.
Контрпример. Мастерская по ремонту техники: сайт-визитка без форм, заявки приходят по телефону и из карт, рекламы нет, счётчика нет. Здесь тратить 25 000 ₽ незачем — обработки персональных данных через сайт просто нет. Появится форма обратного звонка — вернёмся к разговору, и это будет уже минимальный набор за 5 000–10 000 ₽.
Вердикт: если на сайте есть хотя бы одна форма и вы платите за рекламу — приводить в порядок стоит сразу, работа окупается за пару кварталов. Если сайт без форм и без счётчиков — можно не спешить, но политику всё равно стоит опубликовать, когда появится Метрика.
Кому это срочно, а кому можно не спешить
- Срочно: интернет-магазины, компании с рассылками и теми, кто запускает рекламу. У магазина к формам добавляются заказы, доставка и оплата — данных больше, а сайт обычно собирали давно и документы не трогали.
- В ближайший месяц: сайты с формами и квизами без рассылок. Риск ниже, но неподанное уведомление — самостоятельное нарушение.
- Можно спокойно: сайт-визитка без форм, счётчиков и рекламы. Здесь достаточно следить, чтобы всё так и оставалось.
Как это делаем мы
Interland — золотой партнёр 1С-Битрикс из Новосибирска. Приведение сайта в соответствие занимает у нас 1–3 рабочих дня и выглядит так: проверяем сайт и находим все места сбора данных, готовим политику и согласие под ваш бизнес, публикуем их и настраиваем формы, ставим уведомление о cookie, приводим в порядок Метрику, заполняем и подаём уведомление в Роскомнадзор вместе с вами, попутно проверяем маркировку рекламы. Подробности и цены — на странице услуги «Сайт по 152-ФЗ»: от 5 000 ₽ за одно уведомление до 15 000 ₽ за всё под ключ.
Если сомневаетесь, нужна ли вам эта работа вообще, — пришлите ссылку на сайт. Посмотрим формы и сервисы и честно скажем, что у вас уже в порядке, а что стоит поправить. Проверка бесплатная и ни к чему не обязывает.
Коротко
- Форма на сайте = обработка персональных данных. Оператор — вы, даже если это ИП с сайтом-визиткой и одной кнопкой.
- С 1 сентября 2025 года согласие — отдельный документ с отдельной галочкой, которая не стоит заранее.
- Уведомление в Роскомнадзор подаётся до начала обработки, через Госуслуги — без подписи и бумаги.
- Штрафы: до 300 000 ₽ за неподанное уведомление и до 700 000 ₽ за обработку без надлежащего согласия.
- Порядок в документах и порядок в рекламном кабинете — одна задача: и то, и другое проверяют до запуска рекламы.
