Политика конфиденциальности и 152-ФЗ: что должно быть на сайте с формой заявки

Сайту, который принимает заявки, по закону № 152-ФЗ нужны пять вещей: опубликованная политика обработки персональных данных, отдельное согласие с пустой галочкой в форме, уведомление в Роскомнадзор до начала обработки, хранение заявок в базах на территории России и описание cookie и Метрики. Самое свежее требование действует с 1 сентября 2025 года: согласие оформляют отдельно от других документов, и строчка «нажимая кнопку, вы соглашаетесь» внутри политики или оферты его больше не заменяет. За нарушения статья 13.11 КоАП назначает штрафы от 10 000 ₽ за отсутствие политики у ИП до 6 млн ₽ за сбор заявок в иностранную базу.

Ниже каждое требование со ссылкой на статью закона, таблица штрафов, как это устроено на нашем сайте и чек-лист на десять минут. Статья не заменяет консультацию юриста: мы делаем сайты и пишем, что закладываем в них при запуске.

Кто это ищет: 1 772 показа в месяц у «политики конфиденциальности для сайта»

Запрос «политика конфиденциальности для сайта» набирает 1 772 показа в месяц, фразы о 152-ФЗ для сайта ещё 451 (Вордстат, Россия, октябрь 2026) ¹. Почти все эти запросы о том, как написать политику, хотя политика закрывает только одно требование из пяти.

Персональные данные по статье 3 закона: любая информация, которая прямо или косвенно относится к определённому человеку. Имя и телефон из формы заявки сюда попадают без споров. Значит, владелец сайта с формой становится оператором персональных данных, даже если он ИП и сайт у него одностраничный.

Пять требований к сайту с формой заявки

Каждое требование проверяется отдельно, и одно не закрывает другое. Политика без уведомления и уведомление без галочки в форме дают разные составы нарушения с разными штрафами.

Политика: что в ней писать, чтобы она совпадала с сайтом

Часть 2 статьи 18.1 обязывает оператора, который собирает данные через интернет, опубликовать документ о политике обработки и сведения о мерах защиты на страницах сайта, через которые идёт сбор ³. На практике политику кладут отдельной страницей, ссылку ставят в подвал и рядом с каждой формой.

Главная ошибка в политиках по шаблону: в них описаны чужие данные и чужие цели. Сайт берёт имя и телефон, а в политике паспорт, адрес доставки и рассылки, которых нет. Или наоборот: сайт пишет ClientID Метрики и UTM-метки в заявку, а в политике о них ни слова. Документ, который расходится с формой, свою задачу не выполняет: человек соглашается на одно, а сайт собирает другое.

На нашей странице /politicy 11 разделов, и такой состав мы берём за основу для клиентов:

1. Оператор: ИП или компания, ИНН, ОГРН, адрес и почта для обращений по персональным данным.
2. Какие данные собираются: имя, телефон, текст обращения, технические данные, источник перехода и метки рекламы.
3. Цели: ответ на заявку, договор, аналитика сайта и рекламы.
4. Правовые основания: согласие, договор, требования закона.
5. Действия с данными: сбор, запись, хранение, передача обработчикам, удаление.
6. Кому передаются: хостинг, CRM, связь, аналитика.
7. Сроки хранения.
8. Права человека и как отозвать согласие.
9. Меры защиты.
10. Cookie и аналитика.
11. Дата редакции и постоянный адрес документа.

Дату редакции стоит менять при каждом изменении. Подключили новую CRM или Вебвизор, поменяли подрядчика по хостингу: раздел о получателях и cookie правится в тот же день.

Согласие отдельным документом с 1 сентября 2025 года

Часть 1 статьи 9 требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Законом № 156-ФЗ от 24.06.2025 туда добавлено, что согласие оформляется «отдельно от иных информации и (или) документов» ², норма действует с 1 сентября 2025 года ⁷. Согласие внутри политики, оферты или договора больше не годится.

У нас на странице согласия названы оператор с ИНН и адресом, состав данных, четыре цели (связаться, уточнить задачу, прислать предложение, исполнить договор), действия с данными, срок до достижения целей или отзыва и почта для отзыва. В окне заявки галочка не стоит заранее, а без неё форма показывает «Отметьте согласие на обработку данных, без него заявку отправить нельзя» и ничего не отправляет.

Часть 4 той же статьи с длинным списком реквизитов, от паспорта до подписи, касается случаев, когда закон требует письменного согласия. Для обычной заявки с сайта её не применяют, иначе форма просила бы паспортные данные. Медицина и сведения о здоровье устроены строже, их обсуждают с юристом отдельно.

Уведомление в Роскомнадзор: его подают почти все

Статья 22 обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки ⁴. До 1 сентября 2022 года исключений было много, и владельцы сайтов годами жили без уведомления на основании «данные получены в связи с договором». Теперь пункты 1‑6 части 2 утратили силу, остались три исключения: государственные системы для безопасности государства, транспортная безопасность и обработка исключительно без средств автоматизации. Сайт с формой, CRM и почтой обрабатывает данные автоматически.

Уведомление подают через портал персональных данных Роскомнадзора, формы утверждены приказом ведомства. Если сведения меняются, например новая цель или новый адрес, оператор сообщает об этом не позднее 15-го числа следующего месяца (часть 7 статьи 22).

Cookie и Яндекс Метрика: что писать, если отдельной статьи нет

В законе № 152-ФЗ нет слова cookie и нет требования о баннере. При этом Метрика ставит свои идентификаторы, видит IP-адрес и действия на сайте, а форма часто передаёт ClientID вместе с именем и телефоном, чтобы было видно, с какой рекламы пришла заявка. В такой связке это уже сведения о конкретном человеке, и их описывают в политике как любые другие данные.

На nevsky.agency это сделано так. Внизу страницы уведомление о Метрике. На странице cookie перечислено, что хранится в браузере и зачем: технические cookie, localStorage для первого источника визита, sessionStorage для последнего, идентификаторы Метрики. Рекламных пикселей на сайте нет, и это написано прямо. Вебвизор включён, но поля имени, телефона и описания задачи помечены классом ym-disable-keys: по справке Метрики их содержимое в записи заменяется звёздочками ⁹. Без этой метки Вебвизор записал бы телефон, который человек набрал и стёр, так и не отправив заявку.

Решать, нужна ли отдельная галочка для аналитики, мы оставляем юристу клиента. Позиции по этому вопросу у специалистов расходятся, и единого ответа в законе нет.

Где лежат заявки: базы в России с 1 июля 2025 года

Часть 5 статьи 18 в редакции закона № 23-ФЗ запрещает при сборе данных граждан России, в том числе через интернет, записывать и хранить их в базах за пределами страны. По разъяснению Минцифры, требование касается именно первоначального сбора ⁸. Нарушение оценивается по части 8 статьи 13.11, это самый дорогой штраф для сайта: компании и ИП от 1 до 6 млн ₽, повторно до 18 млн ₽ ⁵.

Проверить просто: отправьте тестовую заявку и посмотрите, куда она попала первой. Форма, которая пишет напрямую в иностранную таблицу, конструктор форм или CRM с серверами за рубежом, под требование не подходит. Российская CRM, своя база или почта на российском сервисе подходят. Уведомление в Telegram у нас не содержит телефона клиента: в мессенджер приходит только сообщение о новой заявке и ссылка в нашу систему, это записано и в политике.

Штрафы по статье 13.11 КоАП в редакции 2026 года

Суммы взяты из статьи 13.11 в редакции от 04.08.2026 ⁵. ИП по частям 1.1 и 8‑18 платит как компания (примечание 1 к статье), по остальным частям как должностное лицо, если в части не названа своя сумма для ИП (примечание к статье 2.4 КоАП) ⁶.

За утечки баз с 30 мая 2025 года в статье есть отдельные части, где штраф растёт с числом утёкших записей. Для небольшого сайта главный риск лежит выше в таблице: документов нет или они не совпадают с тем, что собирает форма.

Что мы делаем при запуске сайта и чего не делаем

В каждый сайт, который мы сдаём, входят страница политики, страница согласия, страница cookie, ссылки на них в подвале и отдельная пустая галочка в каждой форме. Если на сайте есть Метрика с Вебвизором, поля формы закрываем от записи. Тексты собираем под конкретный сайт: какие поля в форме, куда уходит заявка, какие сервисы подключены. Реквизиты оператора и адрес даёт клиент. Подробнее о том, что ещё входит в работу, на странице разработки сайтов.

Честная оговорка: уведомление в Роскомнадзор за клиентов мы не подаём, политику для кадров, бухгалтерии и офлайн-процессов не пишем, юридическую проверку не проводим. Наши тексты закрывают то, что видно на сайте. Если компания работает с медицинскими сведениями, детьми или биометрией, документы должен смотреть юрист, и мы говорим об этом до начала работ. И ещё: закон с 2022 года меняли несколько раз, поэтому сверяйте суммы и нормы по дате редакции на consultant.ru или garant.ru.

Чек-лист: 10 минут на свой сайт

1. В подвале есть ссылка на политику обработки персональных данных, у политики стоит дата редакции.
2. В политике названы те же поля, что есть в форме, и сервисы, которые реально подключены: Метрика, CRM, хостинг.
3. Согласие лежит на своей странице, отдельно от политики и оферты.
4. В каждой форме своя галочка согласия, она пустая по умолчанию, без неё заявка не уходит.
5. Компания или ИП есть в реестре операторов Роскомнадзора, сведения в уведомлении актуальны.
6. Тестовая заявка первой попадает в российскую CRM, базу или почту.
7. На сайте есть уведомление о Метрике и страница cookie, рекламные пиксели описаны, если они стоят.
8. Если включён Вебвизор, поля формы помечены ym-disable-keys.
9. В уведомлениях в мессенджеры нет телефона и имени клиента.

Если хотя бы три пункта не выполнены, начните с пунктов 3, 4 и 5: на них приходятся штрафы из середины таблицы. Если хотите, чтобы мы проверили форму и документы вашего сайта, пришлите адрес: посмотрим форму, подвал и куда уходит заявка и напишем, что поправить.