На сайте есть форма заявки, онлайн-запись или подписка — значит, вы собираете персональные данные и отвечаете за них по закону № 152-ФЗ. Ниже — из чего состоит политика обработки персональных данных, куда её поставить, какие ещё документы нужны кроме неё и сколько стоит их отсутствие после 30 мая 2025 года.
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому человеку (п. 1 ст. 3 закона № 152-ФЗ). Имя и телефон из формы заявки — это они и есть.
Оператор — тот, кто организует обработку и сам решает, какие данные собирать и зачем (п. 2 ст. 3). Это не только крупные компании: закон называет и юридических, и физических лиц, так что ИП с одностраничным сайтом — тоже оператор. А обработка — любое действие с данными: сбор, запись, хранение, использование, передача (п. 3 ст. 3). Заявка упала в почту или CRM — обработка уже идёт.
Отсюда четыре обязанности, о которых дальше: политика на сайте, согласие, уведомление Роскомнадзора и порядок на случай утечки.
Готового шаблона закон не даёт. Он перечисляет, что должны определять политика и локальные акты оператора (п. 2 ч. 1 ст. 18.1 152-ФЗ), — отсюда и разделы.
Наименование, адрес, кто отвечает за организацию обработки персональных данных и как с ним связаться. Назначить такого человека организация обязана (п. 1 ч. 1 ст. 18.1).
Обработать заявку, заключить и исполнить договор, прислать рассылку, оформить сотрудника. Не «для любых целей», а списком. За обработку, несовместимую с целями сбора, есть отдельный штраф (ч. 1 ст. 13.11 КоАП).
Перечень данных (имя, телефон, почта, адрес доставки…) и категории людей: клиенты, посетители сайта, сотрудники, соискатели.
Действия (сбор, хранение, передача службе доставки…), способы — с компьютером или без — и правовое основание: согласие человека или, например, исполнение договора с ним (п. 1 и 5 ч. 1 ст. 6). Те же сведения попросит уведомление Роскомнадзора (ч. 3.1 ст. 22) — удобно, когда политика и уведомление совпадают.
Сколько храните и что делаете, когда цель достигнута. По общему правилу данные после этого нужно уничтожить (ч. 4 ст. 21).
Сведения о реализуемых требованиях к защите данных закон велит публиковать вместе с политикой (ч. 2 ст. 18.1). Без паролей и схем, но по существу: кто имеет доступ, где хранятся данные, какие меры приняты.
Как отозвать согласие (ч. 2 ст. 9) и куда написать с вопросом о своих данных. Положения, ограничивающие права людей, в политику вписывать нельзя — это прямо сказано в законе (п. 2 ч. 1 ст. 18.1).
Подвох «образцов из интернета» в том, что чужая политика описывает чужие цели, чужие данные и чужие сроки. Документ должен совпадать с тем, что вы делаете на самом деле.
Кто собирает данные через интернет, обязан опубликовать политику и сведения о защите данных на тех страницах сайта, с которых идёт сбор (ч. 2 ст. 18.1). Ссылка только в подвале главной — слабое место, если форма заявки живёт на другой странице. Надёжнее ставить ссылку рядом с каждой формой.
Нет политики на сайте — штраф по ч. 3 ст. 13.11 КоАП: для организации от 30 до 60 тысяч рублей, для ИП — от 10 до 20 тысяч.
С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иной информации и документов, которые человек подтверждает или подписывает (ч. 1 ст. 9 152-ФЗ в редакции закона № 156-ФЗ). Строка «нажимая кнопку, вы соглашаетесь с офертой, политикой и обработкой данных» — ровно то, что стало нельзя: согласию нужна своя галочка или свой документ.
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (там же). Доказывать, что оно было, придётся вам (ч. 3 ст. 9), — сохраняйте, кто и когда поставил галочку.
Согласие нужно не всегда. Если данные нужны, чтобы исполнить договор с этим человеком или заключить его по его же просьбе, основание даёт сам закон (п. 5 ч. 1 ст. 6). Для остальных целей смотрите по каждой отдельно.
Штраф за обработку без письменного согласия там, где закон требует именно письменное, — для организации от 300 до 700 тысяч рублей (ч. 2 ст. 13.11 КоАП).
Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки (ч. 1 ст. 22 152-ФЗ). Исключений осталось мало: без уведомления можно, в частности, если данные обрабатываются исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Заявки приходят в почту, таблицу или CRM — значит, автоматизация есть.
Что в уведомлении (ч. 3 и 3.1 ст. 22): кто вы, цели и для каждой цели — категории данных и людей, правовое основание, действия и способы обработки; меры защиты; ответственный и его контакты; дата начала и условие прекращения обработки; есть ли передача за границу и где находится база данных. Подаётся на бумаге или электронным документом за подписью уполномоченного лица (ч. 3 ст. 22), форму утверждает Роскомнадзор (ч. 8 ст. 22). Рассмотрение и внесение в реестр — бесплатно (ч. 5 ст. 22).
Поменялись сведения — сообщить нужно не позднее 15-го числа следующего месяца; прекратили обработку — в течение десяти рабочих дней (ч. 7 ст. 22).
Не уведомили или уведомили с опозданием — от 100 до 300 тысяч рублей для организации (ч. 10 ст. 13.11 КоАП, действует с 30 мая 2025 года). ИП по этой части отвечает как юридическое лицо (примечание 1 к статье).
Если данные утекли и это нарушило права людей, Роскомнадзору сообщают дважды (ч. 3.1 ст. 21 152-ФЗ):
Срок идёт с момента, когда инцидент выявлен, — вами, Роскомнадзором или кем-то ещё. Не сообщили — от 1 до 3 миллионов рублей для организации (ч. 11 ст. 13.11 КоАП). Поэтому шаблон такого уведомления лучше иметь заранее, а не писать в панике.
Суммы — по КоАП в редакции на 21 сентября 2026 года. За повторные нарушения штрафы выше.
ЮристБот готовит черновики всего комплекта по 152-ФЗ под вашу компанию:
Расскажите боту, что вы собираете и зачем: какие формы на сайте, куда уходят заявки, кто из сотрудников их видит. Черновики всего пакета — за минуты. Проверяете, правите и подписываете вы.
Попробовать можно бесплатно: десять обращений, карта не нужна. Составление документов тратит обращения. Дальше — 4 900 ₽ в месяц за 300 обращений.
Взять 10 обращений бесплатноРаздел, который обычно не пишут. Без него всё, что выше, ничего не стоит.
Опишите в политике свои настоящие цели, данные и сроки. Поставьте ссылку на неё у каждой формы, согласие берите отдельной галочкой, уведомите Роскомнадзор до начала обработки и держите наготове порядок на случай утечки. Черновики всех шести документов бот соберёт по вашему описанию.
Попробовать на своей компании можно без оплаты: десять обращений, карта не нужна.