Практически любой современный сайт работает с персональными данными. Форма обратной связи, регистрация, заказ товара, подписка на рассылку, заявка на консультацию — во всех этих случаях пользователь может передавать владельцу сайта имя, номер телефона, электронную почту и другие сведения.
Именно поэтому требования Федерального закона №152-ФЗ «О персональных данных» касаются огромного количества компаний и предпринимателей. Даже небольшой сайт-визитка может попасть под требования законодательства, если через него собираются данные посетителей.
Проблема в том, что нарушения часто возникают не намеренно. Владелец сайта может быть уверен, что всё оформлено правильно, хотя на странице отсутствует необходимый документ, форма собирает данные без корректного согласия или компания не выполнила обязанность по уведомлению Роскомнадзора.
Какие ошибки чаще всего встречаются на сайтах?
1. Нет политики обработки персональных данных
Если оператор собирает персональные данные через интернет, он должен обеспечить доступ к своей политике в отношении обработки персональных данных. Для сайта соответствующий документ должен быть опубликован в сети и доступен пользователю.
При этом недостаточно просто разместить документ под названием «Политика конфиденциальности». Его содержание должно соответствовать тому, какие данные действительно собирает и обрабатывает компания.
За невыполнение обязанности по публикации политики штраф для юридического лица может составлять от 30 000 до 60 000 рублей.
2. Формы собирают данные без корректного согласия
Представьте обычную форму:
Имя
Телефон
Кнопка «Отправить»
Пользователь вводит свои данные и отправляет их компании. Значит, начинается обработка персональных данных.
Если основанием для такой обработки является согласие пользователя, оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Причём обязанность доказать получение согласия лежит на операторе.
С 1 сентября 2025 года действует ещё одно важное требование: согласие на обработку персональных данных должно оформляться отдельно от другой информации и документов, которые подтверждает пользователь. То есть просто спрятать согласие внутри пользовательского соглашения уже недостаточно.
На практике для сайта это означает, что формы необходимо проверять отдельно: что именно пользователь подтверждает, куда ведут ссылки возле формы и можно ли подтвердить факт получения согласия.
3. Компания не уведомила Роскомнадзор
Это ещё одна опасная ошибка.
По общему правилу оператор до начала обработки персональных данных должен уведомить Роскомнадзор о намерении осуществлять такую обработку. Закон предусматривает отдельные исключения, поэтому необходимость уведомления нужно определять с учётом конкретной деятельности компании.
За невыполнение или несвоевременное выполнение обязанности по уведомлению предусмотрены отдельные штрафы. Для юридических лиц их размер составляет от 100 000 до 300 000 рублей.
То есть наличие политики на сайте само по себе ещё не означает, что компания выполнила все требования законодательства.
4. Сайт собирает больше данных, чем ему необходимо
Одна из базовых ошибок — собирать информацию «на всякий случай».
Например, для обычной заявки клиенту достаточно оставить имя и телефон, но сайт дополнительно требует дату рождения, адрес или другие сведения, которые фактически не нужны для обработки обращения.
152-ФЗ устанавливает требования к целям и объёму обработки персональных данных. Обработка данных, не соответствующая заявленным целям их сбора, может стать основанием для ответственности. Для юридических лиц по ч. 1 ст. 13.11 КоАП РФ предусмотрен штраф от 150 000 до 300 000 рублей.
5. Документы есть, но они не соответствуют сайту
Это очень распространённая ситуация.
Документы однажды скачали из интернета, поменяли название компании и разместили в подвале сайта.
Но затем на сайте появились:
- новые формы;
- онлайн-заказы;
- личный кабинет;
- аналитические сервисы;
- рассылки;
- новые способы связи с клиентами;
- сторонние сервисы обработки информации.
А документы остались прежними.
В результате фактическая работа сайта и положения политики могут существенно отличаться.
Поэтому важно проверять не только наличие документов, но и то, соответствуют ли они реальным процессам обработки данных.
6. Персональные данные хранятся с нарушением требований
Отдельное внимание необходимо уделять тому, где фактически находятся базы данных.
При сборе персональных данных граждан России через интернет запись, систематизация, накопление, хранение, уточнение и извлечение таких данных должны осуществляться с учётом требований о локализации. С 1 июля 2025 года законодательство прямо запрещает при таком сборе использовать для этих операций базы данных, находящиеся за пределами России, за предусмотренными законом исключениями.
Поэтому использование иностранных CRM, форм, облачных платформ и других сервисов необходимо оценивать отдельно.
«У нас маленький сайт — нас это не касается»
Размер сайта сам по себе не освобождает от требований 152-ФЗ.
Даже на небольшом лендинге может находиться форма:
«Оставьте телефон — мы вам перезвоним»
Пользователь оставил номер — персональные данные получены.
Поэтому требования законодательства могут распространяться не только на крупные интернет-магазины и сервисы, но и на сайты малого бизнеса, ИП, образовательных проектов, медицинских центров, салонов, агентств и других организаций.
Штрафы стали слишком серьёзными, чтобы игнорировать проверку
Ответственность за нарушения законодательства о персональных данных сегодня включает целый ряд отдельных составов.
Например, КоАП предусматривает для юридических лиц штрафы:
- 30 000–60 000 ₽ — за отсутствие необходимого публичного документа о политике обработки персональных данных;
- 100 000–300 000 ₽ — за нарушение обязанности уведомить Роскомнадзор;
- 150 000–300 000 ₽ — за неправомерную обработку персональных данных или обработку, несовместимую с целями их сбора;
- значительно более высокие санкции — за утечки и неправомерную передачу больших объёмов персональных данных.
Поэтому проверить сайт намного проще и дешевле, чем устранять нарушения уже после получения претензии.
Как проверить свой сайт?
Начните с основных вопросов:
- опубликована ли политика обработки персональных данных;
- соответствует ли она реальной работе сайта;
- правильно ли оформлены формы сбора данных;
- есть ли отдельное согласие на обработку персональных данных там, где оно требуется;
- можно ли подтвердить получение согласия пользователя;
- выполнена ли обязанность по уведомлению Роскомнадзора, если она распространяется на компанию;
- не используются ли инструменты и сервисы, создающие дополнительные риски при обработке данных.
Самостоятельно заметить все ошибки бывает сложно — особенно когда сайт менялся и дорабатывался в течение нескольких лет.
Проверьте сайт на АУДИТИК.РУ
АУДИТИК.РУ помогает проверить сайт и обнаружить потенциальные нарушения до того, как они станут причиной претензий и штрафов. Сервис позволяет обратить внимание на проблемные места сайта и вовремя привести его в соответствие с требованиями законодательства.
Не ждите проверки — проверьте свой сайт заранее.