«Это же просто сайт-визитка»: почему требования РКН касаются и вас
«У меня просто сайт-визитка с формой записи, зачем мне Роскомнадзор» — примерно так рассуждает владелец юридической фирмы, стоматологии или салона красоты, когда слышит про требования Роскомнадзора к сайту. Логика понятна: РКН — это же про большие маркетплейсы, соцсети, утечки миллионов записей. У меня — пять страниц и форма «Запишитесь на приём».
До 1 марта 2023 года закон действительно освобождал от части обязанностей именно такой сценарий — обработку персональных данных «для исполнения договора с клиентом без передачи третьим лицам». Записали телефон, оказали услугу — уведомлять РКН не требовалось. Но Федеральный закон № 266-ФЗ от 14.07.2022 это исключение отменил, и с 1 марта 2023 года оно не действует. Сегодня уведомлять Роскомнадзор о намерении обрабатывать персональные данные обязаны практически все сайты с формой заявки — исключений осталось всего три, и ни одно не подходит под обычную форму на сайте.
Больше того: у сайта услуг — юрфирмы, стоматологии, салона красоты — риск часто выше, чем у обычного лендинга без форм. Потому что форма записи, квиз или калькулятор стоимости есть почти всегда, и она всегда собирает персональные данные: имя, телефон, иногда — повод обращения. Дальше разберём, что из требований РКН касается любого сайта услуг, а что специфично для трёх сегментов — юристов, стоматологий и салонов красоты. В конце — короткий чек-лист, что проверить в первую очередь.
Общие требования Роскомнадзора к сайту услуг: что нужно всем
Требования Роскомнадзора к сайту услуг не зависят от того, чем вы занимаетесь — консультируете, лечите зубы или стрижёте. Если на сайте есть форма записи, квиз или калькулятор цены, где вводят имя, телефон или e-mail, — вы уже оператор персональных данных: по ст. 3 152-ФЗ персональные данные — «любая информация, относящаяся... к определённому физическому лицу», а телефон и имя подходят под это напрямую.
Дальше — минимум, который нужен любому такому сайту, если хотите проверить сайт на роскомнадзор по закону, а не понадеяться, что маленький бизнес не заметят:
- Опубликованная политика обработки персональных данных — документ в открытом доступе на сайте (ч. 1–2 ст. 18.1 152-ФЗ). Обязанность одна для всех, независимо от размера бизнеса.
- Чекбокс согласия на обработку ПДн — конкретный, предметный, не спрятанный где попало (ч. 1 ст. 9 152-ФЗ).
- Уведомление в Роскомнадзор о намерении обрабатывать ПДн — обязательно почти для любого сайта с формой заявки (ст. 22 152-ФЗ, подробности — во врезке ниже).
- Отдельное согласие на рекламную рассылку — если после записи вы шлёте SMS или e-mail с напоминаниями об акциях, это уже не то же согласие, что на обработку ПДн (ст. 18 закона «О рекламе», 38-ФЗ).
- Локализация баз данных — сервер, где физически хранятся данные клиентов из РФ, должен быть в России (ч. 5 ст. 18 152-ФЗ, требование введено 242-ФЗ). Риск — если запись ведётся через иностранную CRM или чат-бота без серверов в РФ.
Это уже часть более широкой проверки сайта на 152-ФЗ — если хотите пройтись по полному списку пунктов, у нас есть отдельный разбор: как проверить сайт на 152-ФЗ.
Важно: два момента, которые чаще всего упускают на сайтах услуг. Первое — уведомление в РКН обязательно почти всем с 1 марта 2023 года: штраф за неуведомление — 100 000–300 000 ₽ юрлицу (ч. 10 ст. 13.11 КоАП). Второе — с 1 сентября 2025 года согласие на ПДн должно оформляться отдельным пунктом, а не одной галочкой внутри оферты или пользовательского соглашения (ч. 1 ст. 9 152-ФЗ, изменения 156-ФЗ). Не объединяйте чекбокс согласия с офертой — сделайте отдельную строку с отдельным текстом.
Насколько дорого обходится нарушение этих правил — суммы одинаковы для любого сайта услуг, независимо от сегмента, вот основные составы (проверка сайта на соответствие законодательству РФ здесь не делает исключений для «маленьких»):
| Нарушение | Статья/часть | Юрлица |
|---|---|---|
| Нет / не опубликована политика конфиденциальности | ч. 3 ст. 13.11 КоАП | 30 000–60 000 ₽ |
| Обработка данных без письменного согласия (там, где оно обязательно) | ч. 2 ст. 13.11 КоАП | 300 000–700 000 ₽ |
| То же, повторно | ч. 2.1 ст. 13.11 КоАП | 1 000 000–1 500 000 ₽ |
| Неуведомление РКН о намерении обрабатывать ПДн | ч. 10 ст. 13.11 КоАП | 100 000–300 000 ₽ |
| Нарушение локализации (иностранная CRM/сервис записи) | ч. 8 ст. 13.11 КоАП | 1 000 000–6 000 000 ₽ |
| То же, повторно | ч. 9 ст. 13.11 КоАП | 6 000 000–18 000 000 ₽ |
| Реклама (SMS/e-mail после записи) без согласия абонента | ч. 4.1 ст. 14.3 КоАП | 300 000–1 000 000 ₽ |
Не уверены, что все эти пункты уже настроены на вашем сайте?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЮристы и юрфирмы: сайт регулирует 152-ФЗ, а не адвокатская тайна
Отдельный миф именно для юридической сферы: «у меня же адвокатская тайна, данные клиентов и так защищены». Работает это не так — требования РКН к сайтам, где помощь юриста оказывают без статуса адвоката, живут по совсем другим правилам.
Адвокатская тайна — норма ст. 8 63-ФЗ «Об адвокатской деятельности и адвокатуре в РФ»: «любые сведения, связанные с оказанием адвокатом юридической помощи своему доверителю», с гарантиями вроде запрета допрашивать адвоката как свидетеля. Действует она только для адвокатов — людей со статусом адвоката (юробразование, стаж, экзамен) — и адвокатских образований: коллегий, бюро, кабинетов.
Юридическая фирма в форме ООО, ИП-юрист или «частнопрактикующий юрист» без статуса адвоката под 63-ФЗ не подпадают. Значит, конфиденциальность данных клиента на сайте такой фирмы — имя, телефон, история в CRM, форма онлайн-консультации — регулируется исключительно 152-ФЗ, как у любого другого оператора ПДн. Особой защиты «по умолчанию» тут нет: помощь юриста клиенту и выполнение требований РКН к сайту — два разных вопроса.
Если контора всё же адвокатская (коллегия, бюро, кабинет), 63-ФЗ и 152-ФЗ действуют параллельно — но это не типичный случай для среднего сайта юридических услуг. Форма онлайн-консультации требует того же отдельного чекбокса согласия, что и любая другая форма записи — как его правильно оформить, разобрано в статье про чекбокс согласия в форме.
Стоматологии и клиники: почему риск выше
У медицинских сайтов риск по 152-ФЗ выше, чем у обычной юрфирмы или салона, по одной причине: сведения о состоянии здоровья — это специальная категория персональных данных (ст. 10 152-ФЗ). Их обработка по умолчанию запрещена, кроме нескольких исключений — письменного согласия субъекта (п. 1 ч. 2) или медицинской деятельности с обязанностью хранить врачебную тайну (п. 4 ч. 2).
Отдельно — врачебная тайна (ст. 13 323-ФЗ): факт обращения, состояние здоровья, диагноз. Это не то же самое, что 152-ФЗ, и не заменяет его: 152-ФЗ регулирует сайт клиники как оператора персональных данных, 323-ФЗ — профессиональную обязанность врача не разглашать сведения о пациенте. Оба режима действуют одновременно, путать один с другим нельзя.
Есть нюанс, к которому стоит отнестись с осторожностью, а не как к готовому диагнозу: если форма записи спрашивает не только имя и телефон, а повод обращения — «болит зуб», «хочу имплант», — формально это уже сведения о здоровье. Значит, потенциально нужно отдельное письменное согласие именно на данные о здоровье, а не один общий чекбокс. Прямой судебной практики по формам записи на сайтах нет — если ваша форма спрашивает повод обращения, это повод проконсультироваться отдельно, не повод паниковать.
Важно: обработка данных без надлежащего согласия, если требовалось письменное (в том числе по спецкатегории «здоровье»), — это ч. 2 ст. 13.11 КоАП: 300 000–700 000 ₽ для юрлица, а при повторном нарушении — до 1 500 000 ₽ (ч. 2.1). Для стоматологии или клиники риск выше, чем у «обычного» сайта-визитки, именно поэтому.
Подробный разбор требований именно для медицинских сайтов и клиник — тема отдельного материала. Здесь важно зафиксировать главное: спецкатегория ПДн и врачебная тайна — это два основания быть внимательнее, а не повод меньше проверять сайт.
Салоны красоты и барбершопы: фото «до/после» и право на изображение
У салонов красоты и барбершопов есть свой риск — но не по линии Роскомнадзора. Фото «до/после» в портфолио — это вопрос ст. 152.1 ГК РФ «Охрана изображения гражданина»: обнародовать фото человека можно только с его согласия. Исключения (публичные места, мероприятия, съёмка за плату) для портфолио салона обычно не подходят — нужно согласие клиента, лучше письменное.
Важно не преувеличивать риск в другую сторону: такие фото обычно не биометрические персональные данные (ст. 11 152-ФЗ) — биометрия используется для установления личности, а не для демонстрации результата стрижки. Но право на изображение по ГК РФ всё равно требует отдельного согласия — это уже не защита от РКН, а гражданско-правовая история.
Важно: это не штраф Роскомнадзора, а отдельный гражданско-правовой риск по Гражданскому кодексу — публикация фото клиента без согласия может обернуться иском от самого клиента (компенсация, требование удалить фото), а не проверкой РКН. Складывать эту сумму со штрафами по 152-ФЗ не нужно — это разные плоскости ответственности.
При этом общие требования из раздела выше действуют для салонов так же, как для юристов и стоматологий: форма записи на услугу или квиз стоимости стрижки — это обработка персональных данных со всеми вытекающими обязанностями.
Что проверить в первую очередь на сайте услуг
Соберём общий чек-лист и сегментные пункты в один список — чтобы проверить сайт на требования Роскомнадзора можно было за один проход, без юриста в штате:
- Опубликована политика конфиденциальности.
- Чекбокс согласия на ПДн стоит отдельно от оферты и пользовательского соглашения.
- Есть отдельное согласие на рекламную рассылку, если после записи вы шлёте SMS или e-mail с акциями.
- Уведомление в Роскомнадзор о намерении обрабатывать ПДн подано.
- CRM, чат-бот или сервис онлайн-записи — проверено, где физически хранятся данные (локализация в РФ).
- Для юрфирм без статуса адвоката: защита данных клиента идёт через 152-ФЗ, а не через 63-ФЗ — проверьте пункты 1–5 отдельно, адвокатская тайна их не заменяет.
- Для стоматологий и клиник: если форма спрашивает повод обращения, продумано отдельное письменное согласие на данные о здоровье.
- Для салонов красоты: на фото «до/после» в портфолио есть согласие клиента.
Честности ради: закон оставляет лазейку для первой ошибки. Ст. 4.1.1 КоАП разрешает заменить штраф предупреждением при первом нарушении, выявленном в ходе официальной госпроверки, для МСП и ИП — ст. 13.11 КоАП из этой льготы не исключена. Но это не гарантия: решение остаётся за проверяющим органом и судом, а не за вами.
Ещё один честный факт: за 2025 год Роскомнадзор выписал всего 6 штрафов за утечки данных на 570 тысяч рублей совокупно — при 118 случаях компрометации баз. Штрафуют пока чаще не за громкие утечки, а за «базовые» нарушения: нет политики, нет согласия, не подано уведомление. Это касается любого сайта услуг — включая самый маленький, с одной формой записи.
Если ни разу не сверяли сайт юрфирмы, клиники или салона с этим списком — это нормально: у малого сервисного бизнеса редко есть юрист в штате, который держит в голове все изменения 152-ФЗ. Закрыть пробелы можно без найма отдельного специалиста — это и есть защита от РКН на практике, а не абстрактное «мы всё знаем».