Коротко
- Политику обработки персональных данных нужно опубликовать на сайте.
- Согласие на обработку оформляется отдельно от других документов — с 1 сентября 2025 года.
- До начала обработки нужно подать уведомление в Роскомнадзор.
- Базы с данными граждан России должны находиться в России.
Содержание
Вы — оператор персональных данных
Если сайт собирает имена, телефоны, имейлы, а также cookie и данные счётчиков аналитики, владелец сайта — оператор персональных данных. На него распространяются обязанности по закону № 152-ФЗ.
Политика обработки
Оператор, который собирает данные через интернет, обязан опубликовать на сайте документ, определяющий его политику в отношении обработки персональных данных, и обеспечить к нему доступ (ч. 2 ст. 18.1 закона № 152-ФЗ).
Согласие на обработку
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов (ст. 9 закона № 152-ФЗ). Галочка «согласен с политикой и пользовательским соглашением» одной строкой больше не подходит.
- Согласие должно быть конкретным, предметным, информированным и однозначным.
- В нём указывают цели, перечень данных и действий с ними, срок и порядок отзыва.
- Для cookie и аналитики — отдельный баннер с понятным описанием.
Уведомление Роскомнадзора
До начала обработки оператор подаёт в Роскомнадзор уведомление о намерении обрабатывать персональные данные (ст. 22 закона № 152-ФЗ). Исключения есть, но для сайтов с формами и аналитикой они применяются редко.
Локализация
При сборе данных граждан России запись, систематизация, хранение и уточнение должны вестись с использованием баз данных, находящихся в России (ч. 5 ст. 18 закона № 152-ФЗ). Проверьте, где хостинг, CRM, сервис рассылок и формы.
Чек-лист для сайта
- Опубликована политика обработки персональных данных.
- Формы собирают отдельное согласие с понятным текстом.
- Есть баннер о cookie и аналитике.
- Подано уведомление в Роскомнадзор.
- Базы данных и сервисы — в России.
- Назначен ответственный за обработку данных.
Частые вопросы
Нужна ли политика обработки персональных данных, если на сайте нет форм?
Если сайт использует cookie и счётчики аналитики, он, скорее всего, обрабатывает персональные данные. Политика и баннер о cookie всё равно нужны.
Можно ли объединить согласие с пользовательским соглашением?
С 1 сентября 2025 года — нет: согласие на обработку персональных данных оформляется отдельно от иных документов.
Нужно ли подавать уведомление в Роскомнадзор маленькой компании?
Как правило, да: размер компании значения не имеет. Исключения узкие, и сайт с формами заявок под них обычно не подпадает.
Материал носит общий характер и не заменяет консультацию: в каждом деле важны детали. Законодательство и судебная практика меняются — проверяйте актуальность на дату обращения.