Часто это выглядит так: типовой лендинг «О компании», пара абзацев про услуги, телефон в шапке и форма «Заказать звонок» внизу. Ни магазина, ни онлайн-оплаты, ни базы клиентов на тысячи строк. Кажется логичным, что 152-ФЗ — это про Wildberries и банки, а не про вас. Разберём честно, когда проверка сайта на 152-ФЗ нужна именно такому сайту-визитке, а когда закон и правда можно не трогать.
Нужна ли сайту-визитке проверка сайта на 152-ФЗ
Что считается персональными данными по закону? Формулировка простая, но нарочно широкая: «персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу» (п. 1 ст. 3 152-ФЗ).
Возьмите свою форму «Заказать звонок». Посетитель вводит имя и телефон, иногда — e-mail и должность. Это уже персональные данные: имя и телефон однозначно относятся к конкретному человеку. А сам факт, что вы собираете эти данные и решаете, зачем и как их обрабатывать, делает вас оператором персональных данных по п. 2 ст. 3 152-ФЗ — точно так же, как крупный интернет-магазин.
Льготы для малого бизнеса здесь нет. Оператором закон называет и юридическое лицо, и физическое лицо, включая ИП и самозанятого. Масштаб бизнеса и наличие каталога товаров ни на что не влияют — форма с именем и телефоном работает одинаково и на визитке за 20 000 ₽, и на маркетплейсе.
А «а вдруг я исключение»? Закон не распространяется только на три узких случая: обработка данных физлицом для личных и семейных нужд, работа с Архивным фондом РФ и сведения, отнесённые к гостайне (ч. 1–2 ст. 1 152-ФЗ). Коммерческий сайт, который собирает заявки от посетителей, ни под один из этих пунктов не подходит.
Запомнить: форма «Заказать звонок» с именем и телефоном — уже персональные данные, и вы автоматически становитесь их оператором, даже без каталога и оплаты на сайте.
Честная развилка: когда 152-ФЗ вас правда не касается
Есть и честный вариант «не касается». Если на сайте нет ни одной формы сбора контактов, ни онлайн-чата, ни счётчиков посещаемости — обработки персональных данных формально не происходит, а значит, нет и обязанностей оператора. Это следует из логики ст. 1 и ст. 3 152-ФЗ, а не отдельная строка закона.
Развилка: если на сайте нет ни форм, ни чата, ни счётчиков — требования 152-ФЗ формально вас не касаются. Есть хотя бы одно из этого — читайте чек-лист ниже, он про вас.
Проблема в том, что чисто статичная страница — с текстом и телефоном в шапке, без единой формы и без аналитики — сегодня редкость даже среди простых визиток. И даже если формы нет, но стоит счётчик Яндекс.Метрики или Google Analytics — это уже основание для применения закона (разберём подробно ниже, в разделе про cookie). Так что развилка «не касается» работает только для сайта без форм и без счётчиков одновременно — сочетание нечастое.
Не уверены, какие формы и счётчики стоят на вашем сайте и подпадают ли они под закон?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтМинимальный чек-лист для сайта-визитки: 6 пунктов
Если хотя бы один пункт развилки выше — про вас, дальше начинаются требования Роскомнадзора к сайту. Для сайта-визитки это не десятки норм, а компактный минимум из шести пунктов.
- Политика обработки персональных данных опубликована и доступна на страницах, где собираются данные (ч. 2 ст. 18.1 152-ФЗ). Что конкретно должно быть в документе и какой штраф за его отсутствие — в статье «Штраф за отсутствие политики конфиденциальности».
- Согласие на обработку ПДн — чекбокс на каждой форме сбора контактов: не предзаполнен и оформлен отдельным пунктом, а не одной строкой с согласием на рассылку или офертой (ч. 1 ст. 9 152-ФЗ). Как правильно оформить — в статье «Согласие на обработку персональных данных: как оформить чекбокс».
- Назначен ответственный за организацию обработки персональных данных (ч. 1 ст. 18.1 152-ФЗ) — обязательно даже для ИП и небольшого ООО. Отдельного штрафа именно за отсутствие такого назначения в КоАП не нашли, но это один из первых пунктов, которые проверяет РКН.
- Проверено, нужно ли уведомление в реестр операторов ПДн — для сайта, который собирает заявки от неограниченного круга посетителей, ответ почти всегда «да» (ч. 1 ст. 22 152-ФЗ). Подробнее и как проверить себя — в статье «Реестр операторов ПДн: нужно ли вам регистрироваться».
- Если формы, CRM или сервис email-рассылок — зарубежные, стоит проверить требование локализации: данные посетителей из РФ по общему правилу должны храниться в базах на территории России (ч. 5 ст. 18 152-ФЗ). Подробно — в статье про локализацию ПДн по 242-ФЗ.
- Согласие на аналитику — до срабатывания счётчика Яндекс.Метрики или Google Analytics, а не после. Почему это тоже входит в минимум даже без единой формы — в следующем разделе.
Важно: многие уверены — раз заявки собираются «для оказания услуги конкретному клиенту», уведомлять РКН не нужно. Это было верно до 1 сентября 2022 года. Закон 266-ФЗ отменил это исключение, и сейчас оно не действует (ч. 2 ст. 22 152-ФЗ).
Cookie и Яндекс.Метрика — тоже персональные данные, даже без единой формы
Что считается персональными данными, не ограничивается формой с именем и телефоном. Даже если на сайте нет ни одной формы, счётчик посещаемости — тоже сбор персональных данных, если он позволяет идентифицировать посетителя.
Позиция регулятора: Роскомнадзор относит cookie-идентификаторы к персональным данным, так как они позволяют идентифицировать пользователя (п. 1 ст. 3 152-ФЗ) — это позиция регулятора и устойчивая практика применения закона, а не отдельная статья закона про cookie.
Практический вывод: сайт без единой формы, но с Яндекс.Метрикой или Google Analytics без предварительного согласия, всё равно обрабатывает персональные данные — а значит, подпадает под тот же минимальный набор из шести пунктов: уведомление, политика, согласие. Причём согласие должно быть получено до того, как счётчик сработал в первый раз — иначе данные посетителя уже собраны без спроса.
Что будет, если пропустить минимум: штрафы и реальный кейс
Штрафы по трём базовым пунктам минимума выросли в разы после 420-ФЗ (действует с 30 мая 2025 года).
| Нарушение | Граждане | Должностные лица | ИП | Юрлица |
|---|---|---|---|---|
| Нет политики обработки ПДн (ч. 3 ст. 13.11) | 1 500–3 000 ₽ | 6 000–12 000 ₽ | 10 000–20 000 ₽ | 30 000–60 000 ₽ |
| Нет согласия / чекбокса (ч. 2 ст. 13.11) | 10 000–15 000 ₽ | 100 000–300 000 ₽ | 100 000–300 000 ₽ | 300 000–700 000 ₽ |
| Не подано уведомление в РКН (ч. 10 ст. 13.11) | 5 000–10 000 ₽ | 30 000–50 000 ₽ | 100 000–300 000 ₽ | 100 000–300 000 ₽ |
Обратите внимание на ИП: одна и та же вилка 100 000–300 000 ₽ прилетает за два разных нарушения чек-листа — за отсутствие чекбокса (ч. 2, здесь ИП отвечает как должностное лицо) и за неподанное уведомление (ч. 10, здесь по примечанию 1 к ст. 13.11 КоАП ИП уже приравнён к юрлицу). А вот за отсутствие политики (ч. 3) для ИП штраф куда мягче — 10 000–20 000 ₽. По неуведомлению рост особенно заметный: до 30 мая 2025 года штраф за него составлял всего 3 000–5 000 ₽ — то есть вырос в 20–60 раз.
Реальный случай: Роскомнадзор через арбитражный суд привлёк владельца информационного сайта (не интернет-магазина!) сразу по трём пунктам минимума — без предупреждения. Итог одним делом: 50 000 ₽ за неуведомление, 75 000 ₽ за обработку без согласия и 30 000 ₽ за отсутствие политики — 155 000 ₽ суммарно.
Для ООО и АО — субъектов малого и среднего бизнеса — ч. 2 ст. 4.1.2 КоАП позволяет снизить штраф вдвое от вилки для юрлиц, если в статье нет отдельной ставки для ИП. На ИП эта льгота не распространяется.
Как проверить себя за минуту и что делать дальше
Шесть пунктов чек-листа звучат просто, но два из них — нужно ли уведомление в РКН и корректно ли настроено согласие на аналитику — сложно быстро проверить вручную самому, особенно если сайт делали давно или отдавали на аутсорс.
Логичный вопрос — сколько стоит проверить сайт на 152-фз: базовая проверка сайта онлайн по 152 фз бесплатна и занимает около минуты, без регистрации и без ввода данных карты.
Даже минимальный набор часто нарушен на визитках просто потому, что про него никто не думал при запуске сайта. Проверка сайта на 152-фз не занимает вечер — а штраф, если пропустить хотя бы один пункт, может обойтись в сотни тысяч рублей.