Персональные данные в России: как настроить сайт, чтобы не нарушать закон?
В 2022–2025 годов вступили в силу серьёзные поправки: появились новые требования к локализации персональных данных в РФ, уведомлению Роскомнадзора и реагированию на инциденты.
Совокупная сумма штрафов может достигать 18 млн рублей, а сайт могут заблокировать, если нарушения не устранить.
Что относится к персональным данным в Российской Федерации?
Персональные данные — любая информация, по которой можно определить человека:
- ФИО;
- телефон, e-mail;
- IP-адрес, cookie, геолокация;
- фото, видео, изображение лица;
- паспортные и иные идентификационные данные;
- сведения о здоровье, биометрические данные.
Заберите краткий чек-лист
Кто обязан соблюдать закон?
- принимают заявки через формы;
- собирают контакты;
- используют аналитику (Яндекс, VK, Google, пиксели и др.);
- подключает чат-виджеты, CRM, почтовые сервисы;
- передаёт данные третьим лицам.
Если сайт взаимодействует с пользователем, а не просто показывает текст — вы уже оператор ПДн и на вас распространяются требования 152-ФЗ.
Как настроить сайт, чтобы не нарушать Закон ФЗ-152 о персональных данных
- цели и правовое основание обработки;
- категории данных;
- передачи третьим лицам;
- сроки хранения;
- права пользователя и как их реализовать;
- трансграничную передачу (если есть).
Файлы Cookies также могут быть признаны персональными данными, если они позволяют идентифицировать пользователя.
Обычно реализуют в виде отдельного PDF-файла, также можно реализовать отдельной страницей на сайте. Обработку Cookie можно включить в политику ПДн. Нельзя прятать политику внутри пользовательского соглашения на сайте или в договоре.
-
Страна обеспечивает адекватный уровень защиты(включена в перечень Роскомнадзора или является стороной Конвенции Совета Европы №108). В этом случае оператор заранее уведомляет Роскомнадзор, и передача может начинаться сразу, если регулятор не запретил или не ограничил её в течение установленного срока.
-
Страна не обеспечивает адекватную защиту, но
- у оператора есть правовое основание и конкретная цель передачи,
- оператор заранее уведомил Роскомнадзор и дождался разрешения регулятора на такую передачу. Без разрешения — запрещено.
-
ИсключениеПередача допускается без разрешения, если она необходима для:
- защиты жизни или здоровья субъекта ПДн или других лиц;
- исполнения договора, стороной которого является субъект ПДн (например, бронирование отеля за рубежом).
Если сервис передаёт данные пользователей за пределы страны в государства без адекватного уровня защиты, его использование для обработки персональных данных запрещено без разрешения регулятора. Google Analytics и большинство зарубежных аналитик относятся к таким сервисам.
Чтобы не нарушать требования, можно перейти на локальные решения, которые собирают статистику обезличенно и размещаются на серверах внутри страны — например, Яндекс.Метрика или Matomo на собственном сервере компании.
- Свободным — субъект сам ставит галочку.
- Однозначным — одно действие = одна цель (нельзя объединить согласие на обработку ПДн с рассылкой информационных материалов).
- Информированным — рядом видна ссылка на Политику обработки ПДн.
- Сознательным — согласие даётся до отправки формы.
- Конкретным — указано, для какой цели и какие данные обрабатываются.
- Предметным — понятно, кому и куда передаются данные (если передаются).
Отправка формы не должна осуществляться, если чекбокс не нажат. Данные о полученном согласии должны фиксироваться в CRM. А после отзыва согласия обработка должна быть прекращена, если нет другого правового основания.
Реализация получения согласия под формой
- Чекбокс стоит по умолчанию;
- Нет чекбокса как такового;
- Используется один чекбокс для разных целей (например: «обработка заявки» и «подписка на рассылку»);
- Нет ссылки на политику обработки ПД рядом с чекбоксом.
В России допускается обработка обезличенных персональных данных для статистики и аналитики — без отдельного согласия. Но обработка данных в целях прямого маркетинга (ретаргетинг, персональная реклама) возможна только при предварительном согласии субъекта ПДн.
Если на сайте есть рекламные пиксели, они не должны запускаться до согласия пользователя.
- информировать пользователя о применении cookie;
- разместить ссылку на cookie-политику (чаще как часть общей политики ПДн).
Баннер должен быть не формальностью, а контролировать загрузку скриптов. Ниже — алгоритм работы баннера cookies на сайте в РФ.
Алгоритм работы баннера Cookies на сайте в России
1. Пользователь зашел на сайт
- Загружаются только обязательные (технические) cookie.
- Аналитика возможна, если данные остаются обезличенными и в РФ (например, через Matomo server-side).
- Работа рекламных пикселей не допускается до получения согласия от пользователя.
2. Проверяем есть ли сохраненное согласие по Cookies?
1) Показываем баннер с предупреждением об использовании Cookies. Допускается формулировка “Продолжая использование сайта, я даю согласие...” с указанием ссылки на более подробные разъяснения об использовании ПДн. При такой формулировке можно автоматически обрабатывать ограниченный набор Cookies.
2) Предлагаем нажать на одну из кнопок
- Принять все;
- Настроить cookies (выбор категорий).
Категории Cookies:
- Технические (обязательные, разрешены без согласия),
- Функциональные,
- Аналитические,
- Рекламные.
Какие категории в конкретном проекте требуют согласия определяют юристы.
3) Фиксируем выбор пользователя в логах: ID / время / выбранные категории.
4) Активируем только те скрипты и Cookies, на которые дано разрешение.
5) Даём возможность изменить решение — ссылка «Настройки Cookies» в футере сайта повторно открывает баннер с уже сохранённым выбором.
- защищённый обмен данными (HTTPS / шифрование канала);
- защита форм от XSS, CSRF, SQL-инъекций и подмены данных;
- антивирусная защита и мониторинг изменений файлов сайта;
- регулярные бэкапы и аудиты безопасности;, изоляция копий;
- ограничение прав доступа к админке, фиксирование истории доступа к данным;
- безопасность обновлений и модулей (особенно CMS и плагинов);
- хранение данных только в тех местах, где доступ контролируется.
Настройка защиты персональных данных
Дополнительные требования законодательства
-
Регистрация в Роскомнадзоре в качестве оператора персональных данных
Если вы обрабатываете персональные данные с использованием автоматизированных средств (сайт, формы, CRM, аналитика, рассылки), необходимо уведомить Роскомнадзор и быть внесённым в реестр операторов ПДн.
Когда регистрироваться не нужно?Регистрация не требуется, если обработка персональных данных осуществляется только в следующих случаях:
- для установления трудовых отношений (кадровый учёт, приём на работу);
- для заключения и исполнения договора, без передачи данных третьим лицам и без дальнейшего распространения;
- обработка сведений, которые сам субъект сделал общедоступными;
- сбор только ФИО — без телефона, email, адреса или иных идентификаторов;
- сбор данных однократно — например, для пропуска на территорию;
- обработка и хранение ПДн только на бумаге, без использования автоматизированных систем (CRM, баз данных, сайта, облака).
Во всех остальных случаях — регистрация в Роскомнадзор обязательна.
-
Усиленные меры защиты
Если система обрабатывает более чувствительные персональные данные — базовых технических мер уже недостаточно и нужна усиленная защита.
Это касается тех случаев, когда система- хранит данные о здоровье, биометрию, убеждения, сведения о детях;
- содержит личные кабинеты, историю заказов или обращений;
- интегрирована с CRM/ERP и внутренними базами;
- влияет на решения с юридическими последствиями (доступ, льготы, услуги);
- работает с большим количеством людей;
Дополнительные технические и криптографические меры, установленные законодательством РФ-
выбор технических средств защиты с учётом типа данных и класса защищённости;
-
использование сертифицированных средств защиты информации по нормативам ФСТЭК;
-
оценка эффективности мер до ввода системы в эксплуатацию;
-
журналирование всех действий с ПДн и контроль попыток доступа;
-
обнаружение атак и реагирование на инциденты;
-
восстановление данных при сбоях или НСД;
-
регулярный контроль достаточности защиты и её обновления.
Сначала определяется какой уровень защищённости нужен (в зависимости от данных и рисков), и только затем подбираются соответствующие сертифицированные средства защиты. -
Реагирование на инцидентыЕсли случилась утечка, атака или другой сбой безопасности, оператор обязан
-
сообщить в Роскомнадзор в течение 24 часов — указать факт инцидента, возможные причины, предполагаемый ущерб и меры, которые уже предприняты;
-
в течение 72 часов предоставить результаты внутреннего расследования и подтверждённую информацию о масштабах события.
Также оператор должен быть готов ответить на обращения Роскомнадзора и субъектов персональных данных: 10 рабочих дней на ответ + 5 рабочих дней при необходимости направить мотивированное продление срока.
Любой критичный инцидент, о котором не сообщено вовремя, считается нарушением.
-
-
Обязанность крупных операторов передавать обезличенные данные в специальную государственную информационную систему (ГИС)
Для крупных операторов ПДн с 1 сентября 2025 года вводится новая норма: по требованию государства нужно передавать в специальную ГИС обезличенные персональные данные.
Передача выполняется- только по официальному запросу уполномоченного органа (например, Минцифры);
- в обезличенном виде, без возможности идентификации человека;
- в срок до 15 календарных дней, если иной срок не указан в запросе;
- без отдельного согласия субъектов, так как данные уже обезличены.
Цель — формирование обезличенной статистики для государственных сервисов и анализа экономики, без доступа к конкретным людям.
Почему это важно именно сейчас
-
Штрафы и удар по бюджетуВы оплатите не только штраф, но и работы по исправлению ошибок на сайте. В худшем случае доступ к нему временно заблокируют, а выручка просядет.
-
Легкий способ начать проверкуДостаточно одной жалобы, чтобы началась проверка. Это может быть недовольный клиент… или конкурент, который решил подпортить вам жизнь.
-
Только сайтом могут не ограничитьсяПроверка, начавшаяся с жалобы на сайт, может стать проверкой всей компании: внутренних процессов, документооборота, доступа к данным — того, что вы возможно не хотели бы подвергать проверке.
-
Люди стали осторожнее и осознаннееПользователи закрывают подозрительные формы, читают, какие данные вы собираете и зачем. Им надоели непрошеные письма и звонки — и они всё чаще жалуются, если что-то не нравится.
Заключение
Персональные данные — это не только формы с телефонами и письма из CRM.
Даже куки, IP и веб-аналитика уже подпадают под закон. Поэтому любой сайт обязан работать по правилам: корректные согласия, понятные политики и реальная защита данных — не на бумаге, а технически.
Проблема в том, что ошибки встречаются почти у всех: баннер «только принять», сторонние скрипты до согласия, формы без шифрования. Такие мелочи быстро превращаются в серьёзные риски: штраф, блокировка сайта, падение продаж и жалобы клиентов.
Приведённый в порядок сайт — это спокойствие и предсказуемость. А мы поможем сделать так так, чтобы ваш сайт был в порядке.
Почему мы?
Хотите пообщаться о задаче?
Наши услуги
Мы компания, умеющая не только разрабатывать сайты, но и хорошо выполняем роль субподрядчика на средних и больших проектах. Разрабатываем и внедряем решения на базе 1С-Битрикс / Битрикс24. Всегда боремся за успешное доведение проекта до финала, гибко планируя производственный график.
Наши новости и публикации
Разбираем, чем сложный веб-проект отличается от обычного сайта и почему такие системы требуют продуманной архитектуры.
Узнайте результаты исследования MASMI и возможности внедрения и доработки CRM для бизнеса
Рассказываем, что такое BANT, почему он не работает как навык и как встроить его в CRM так, чтобы система сама расставляла приоритеты
