Согласие на обработку персональных данных на сайте: что нужно по 152-ФЗ

Коротко: как только на сайте есть форма, куда вводят имя и телефон, вы обрабатываете персональные данные. Значит нужны политика конфиденциальности, отдельное согласие и чекбокс, который человек ставит сам. Разбираю без юридического языка: что должно быть на сайте, как это выглядит на практике и какие ошибки превращают согласие в бумажку, не имеющую силы.

Опубликовано 04.08.2026 · Андрей Савельев, маркетолог

Коротко по разделам: Кого касается · Что должно быть · Как оформить чекбокс · Куда уходят данные · Хранение заявок · Что делать сейчас · Частые вопросы

Кого это касается — и да, вас тоже

Персональные данные — это любая информация, по которой можно определить человека. Имя и телефон — уже персональные данные. Один только номер телефона — тоже.

Поэтому под требования попадает практически любой коммерческий сайт: с формой заявки, с обратным звонком, с квизом, с подпиской на рассылку, с формой записи. Даже если форма одна и в ней одно поле.

Обрабатывающий данные называется оператором — в случае небольшого бизнеса это ИП или ООО, которому принадлежит сайт. Не подрядчик, который делал сайт, и не хостинг. Отвечает владелец бизнеса.

Частое заблуждение. «У меня же просто лендинг, там ничего не хранится» — не работает. Данные считаются обработанными уже в момент, когда они приняты формой и отправлены вам в мессенджер или на почту.

Что должно быть на сайте: три документа и чекбокс

Практический минимум, который я ставлю на каждый сайт.

Политика конфиденциальности. Отдельная страница: кто оператор, какие данные собираются, зачем, как долго хранятся, кому передаются, как связаться с оператором. Ссылка — в подвале и рядом с формой.
Согласие на обработку персональных данных. Отдельный документ с тем, на что именно человек соглашается. Ссылка — рядом с чекбоксом.
Уведомление об использовании cookie. Если на сайте стоит счётчик аналитики, он ставит куки, и человека надо об этом уведомить.
Чекбокс у формы, не отмеченный заранее, с текстом-ссылкой на оба документа.

Иногда добавляют пользовательское соглашение — оно про правила пользования сайтом и обязательным не является, но на сайте услуг лишним не будет.

Проверю ваш случай бесплатно

Пришлите адрес сайта — посмотрю аналитику, рекламу и сами страницы и скажу, где именно теряются заявки. Без созвонов на час и презентаций на двадцать слайдов.

Получить разбор

Как правильно оформить чекбокс согласия

Здесь всё решают детали, и почти все ошибки — из одной серии: согласие оформлено так, что человек его фактически не давал.

Галочка стоит по умолчанию. Самая частая ошибка. Согласие должно быть действием человека, а не настройкой сайта. Предзаполненный чекбокс юридически ничтожен.
Согласие проставляется кодом. Разновидность той же ошибки, только незаметная: галочки на странице нет вообще, а в отправляемых данных согласие уже подставлено.
Нет ссылок на документы. Человек соглашается непонятно с чем.
Текст согласия спрятан мелким серым шрифтом. Формально есть, фактически нечитаем.
Одна галочка на всё сразу, включая рекламные рассылки. Согласие на обработку данных для ответа на заявку и согласие на рекламу — разные вещи.

Как это выглядит на нормальном сайте: квадратик слева, справа строка «Я даю согласие на обработку персональных данных и принимаю политику конфиденциальности», где оба документа — ссылки. Галочка не стоит. Пока её не поставили, кнопка отправки сообщает об этом понятным сообщением, а не молчит.

Куда уходят данные и почему это тоже часть закона

Отдельный вопрос, о котором почти не думают: через какие сервисы проходят данные посетителя.

Если на странице подключены зарубежные шрифты, аналитика, защита от ботов или карты, то в момент открытия страницы браузер посетителя обращается к зарубежным серверам и передаёт им как минимум свой адрес. Для сайта, который собирает персональные данные, это лишний риск — и по закону, и по надёжности: заблокируют сервис, и часть сайта перестанет работать.

Практическое решение простое: обходиться российскими сервисами и своими файлами. Шрифты держать на своём сервере, аналитику брать российскую, определение города делать своим серверным скриптом. На сайтах, которые делаю я, зарубежных сервисов нет вообще — это проверяется автоматически при каждой правке.

Хотите сначала проверить сайт сами?

Пошаговая диагностика: семь вопросов о вашем сайте, на каждый — ответ «в порядке» или «проблема». В конце покажет, что чинить первым.

Пройти диагностику

Где хранятся заявки и кто их видит

Закон требует хранить персональные данные россиян на серверах в России — это касается и базы заявок, и CRM.

Практические вещи, которые стоит проверить у себя:

Где физически лежат заявки. Российский хостинг, российская CRM.
Кто имеет доступ. Если заявки падают в общий чат, куда может зайти кто угодно по ссылке-приглашению, это дыра.
Закрыт ли доступ к файлам заявок снаружи. Журнал заявок не должен открываться по прямой ссылке в браузере — это проверяется за минуту.
Нет ли ключей доступа в коде страницы. Если форма отправляет данные напрямую в мессенджер, ключ виден любому — а через него читается вся переписка бота.

Это уже не про штрафы, а про репутацию: утёкшая база телефонов клиентов бьёт по бизнесу сильнее любой проверки.

Что сделать прямо сейчас, если ничего этого нет

Проверьте форму. Есть ли чекбокс, не стоит ли он заранее, ведут ли ссылки на реальные документы.
Проверьте документы. Открываются ли, указаны ли ваши настоящие реквизиты — название ИП или ООО, ИНН, адрес электронной почты для обращений.
Проверьте куки-уведомление. Оно должно быть на всех страницах, а не только на главной: человек из поиска попадает сразу на статью.
Проверьте, куда уходят данные и нет ли на страницах зарубежных сервисов.
Проверьте доступ к заявкам — снаружи журнал заявок открываться не должен.

Это разовая работа на несколько часов, которая закрывает риск полностью. Если делаете сайт с нуля, всё перечисленное должно входить в работу по умолчанию — а не «за дополнительную плату потом».

Частые вопросы про 152-ФЗ и формы

Нужны ли документы о персональных данных, если у меня простой лендинг?

Да. Как только на странице есть форма, куда вводят имя или телефон, вы обрабатываете персональные данные. Количество страниц значения не имеет: нужны политика конфиденциальности, согласие и непредзаполненный чекбокс.

Можно ли поставить галочку согласия заранее, чтобы не мешать людям?

Нет. Согласие должно быть активным действием человека. Предзаполненный чекбокс, как и подстановка согласия кодом при отправке, делает согласие юридически ничтожным — то есть формально его нет вообще.

Кто отвечает за персональные данные — я или тот, кто делал сайт?

Оператором персональных данных является владелец бизнеса, которому принадлежит сайт: ИП или ООО. Подрядчик отвечает за то, чтобы технически всё было сделано правильно, но перед законом и клиентами отвечаете вы.

Нужен ли баннер про cookie?

Если на сайте стоит счётчик аналитики — да, он ставит cookie, и человека нужно уведомить. Важно, чтобы баннер был на всех страницах, а не только на главной: посетитель из поиска попадает сразу на внутреннюю страницу.

Можно ли использовать Google Analytics и зарубежные шрифты?

На сайте, который собирает персональные данные, это лишний риск: при открытии страницы данные посетителя уходят на зарубежные серверы. Практичнее держать шрифты у себя и использовать российскую аналитику — заодно сайт не сломается при блокировках.

Где должны храниться заявки?

На серверах в России — это относится и к базе заявок, и к CRM. Отдельно стоит проверить, что журнал заявок не открывается по прямой ссылке снаружи и что ключи доступа к мессенджеру не лежат в коде страницы.

Проверю юридическую часть вашего сайта бесплатно

Посмотрю, есть ли документы и куки-уведомление, как оформлен чекбокс, не уходят ли данные посетителей за рубеж и закрыт ли доступ к заявкам. Пришлю списком, что поправить.

Проверить мой сайт