152-ФЗ для сайта: нужно ли подавать сведения в новом году? 33 аргумента

152-ФЗ для сайта грозит штрафом за каждую утечку персональных данных. Дело РЖД показало настоящую цену такой угрозы. В начале 2025 года данные 17 миллионов клиентов перевозчика ушли в открытый доступ. Арбитражный суд Москвы оценил слив в 150 000 рублей. Правда, девятый арбитражный апелляционный суд в январе 2026 года снял  эту сумму, признав виновной кибератаку на РЖД. Про это дело № А40‑263206/2025 сообщал Forbes.

Семнадцать миллионов человек получили за свои паспорта и маршруты поездок ноль рублей. РЖД спас юротдел. У владельца сайта-визитки такого отдела нет, и закон спросит с него без снисхождения.

Я разберу, кто попадает под закон, какие четыре документа держат сайт в правовом поле, во сколько обходится подача уведомления и приведение страницы в порядок, и почему история одной лаборатории объясняет масштаб перемены лучше любого комментария юриста.

Автор: Владимир Кривов, директор агентства РОСТСАЙТ (Москва, работа с 2011 года, более 700 выпущенных сайтов).

Изучайте тонкости 152-ФЗ, рекламные просчеты предпринимателей и финансовые рекорды брендов на Рутуб-канале Владимира Кривова. 

152-ФЗ для сайтов: 31 миллион карт и штраф 60 тысяч рублей

РЖД спасли юристы. А вот компания «Гемотест» заплатила штраф. В мае 2022 года на один теневой форум выложили 300 гигабайт с данными 31 миллиона клиентов лаборатории. В базе лежали телефоны, паспорта и результаты анализов. Хорошевский суд Москвы оценил слабую защиту базы «Гемотест» в 60 000 рублей.

Выходит две десятых копейки за медкарту с паспортом. Зато рынок прочитал сигнал буквально: беречь чужие данные выходит дороже, чем разово откупиться после слива.

Пугающая часть обеих историй общая:

• У гиганта есть юристы для апелляции и бюджет, которому 60 тысяч рублей незаметны.

• У владельца сайта-визитки нет ни того ни другого.

С 30 мая 2025 года 152-ФЗ для сайта спрашивает с малого бизнеса по полной шкале. Отсутствие уведомления стоит от 100 тысяч рублей. Утечка базы заявок обойдется от 3 миллионов. Повторный слив включает оборотный штраф до 500 миллионов.

Масштаб утечек в цифрах, а следом человеческий язык

Начну с боли, о которой говорят ежедневно. Аналитический центр InfoWatch подсчитал:

• За три года в России в открытый доступ ушло 4,5 миллиарда записей персональных данных – по тридцать записей на каждого жителя страны от младенца до пенсионера.

• Финансовая сфера за 2025 год нарастила число утечек в полтора раза, торговые площадки отдали за год 165 миллионов строк покупательских профилей.

Государство прочитало арифметику символических штрафов из историй выше и ответило деньгами: суммы за нарушение обработки персональных данных подняли до уровня, где санкция бьет по годовому обороту компании.

Источник сумм: федеральный закон от 30.11.2024 № 420-ФЗ, вступил в силу 30 мая 2025 года. Скидка 50% за быструю оплату по этим составам отменена, платить приходится полную величину. Цифры подаю с оговоркой о методике: диапазон санкции суд определяет по числу пострадавших и по повторности, точную сумму выносит судья.

Перевожу нормы закона на человеческий язык

Нижняя граница за утечку базы в тысячу человек – 3 миллиона рублей, и такую базу набирает магазин средней руки за пару лет работы. Штраф за отсутствие уведомления в 200 тысяч рублей приходит без всякой утечки, по одному факту сбора данных мимо реестра.

Для оборота небольшой компании обе суммы означают вычет из годовой прибыли, а повторное нарушение с оборотным штрафом ставит вопрос о самом существовании бизнеса.

Изнанка ситуации

Пока часть владельцев сайтов откладывает подачу сведений до первой проверки, Роскомнадзор ведет плановый обход реестра доменов и сверяет формы сбора данных с реестром операторов. Страница, приведенная в соответствие заранее, снимает с собственника и штраф за неуведомление, и повод для внеплановой проверки. Проверка приходит тремя путями, и владелец сайта влияет лишь на один:

• Первый путь – жалоба посетителя: человек оставил заявку, получил рекламный звонок и написал в Роскомнадзор, что согласия на звонки не давал.

• Второй путь – плановая проверка по графику ведомства, куда попадают операторы из реестра по категории риска.

• Третий путь – автоматический мониторинг: система ведомства обходит домены, находит форму сбора данных и сверяет владельца с реестром операторов, отсутствие записи дает повод для внеплановой проверки.

Первый и третий путь закрываются подачей сведений и корректным согласием под формой, поэтому порядок на странице снимает большую часть поводов для визита инспектора.

Отрезвляющая деталь

Запись в реестре операторов и четыре документа закрывают штраф за неуведомление и за отсутствие согласия, риск проверки по жалобе конкретного посетителя они снижают, оставляя полное обнуление в стороне.

Гражданин вправе пожаловаться на любой звонок и на любое письмо, и оператор доказывает законность обработки журналом согласий. Держите журнал обращений в порядке: с ним жалоба закрывается за день ответом инспектору, штрафное дело из нее уже не вырастает.

Жалобы владельцев сайтов из отраслевых чатов

Дальше говорю открыто, привожу обобщенные формулировки без имен. В чатах предпринимателей и веб-мастеров одни и те же вопросы крутятся месяцами, и за каждым стоит непонимание границы закона.

• Форум предпринимателей. «У меня сайт-визитка на три страницы, форма одна – заявка на звонок. Неужели и мне подавать бумаги в Роскомнадзор наравне с банком?»

• Чат веб-студий. «Клиент требует убрать Яндекс.Метрику, юрист напугал, что счетчик собирает персональные данные. Метрику убрал – аналитика ослепла. Правда ли, что счетчик подводит под 152-ФЗ?»

• Сообщество интернет-магазинов. «Подал уведомление сам через Госуслуги, получил отказ по формулировке цели обработки. Переделываю третий раз, сроки горят, а без записи в реестре форму заказа держать боязно».

• Канал маркетологов. «Поставили галочку согласия под формой, текст согласия скачали у конкурента. Пришла проверка, сказали, что согласие не привязано к политике конфиденциальности. За чужой шаблон получили предписание».

Формулировки приведены в обобщенном виде, авторство и детали изменены. За каждой – реальная развилка: считать себя оператором либо ждать штрафа, держать аналитику либо ослепнуть, писать документы под свой процесс либо копировать чужой и получать предписание.

Наблюдайте за взлетами невероятных коммерческих проектов, триумфом маркетологов, многомиллиардными оборотами на Рутуб-канале РОСТСАЙТ. 

Хроника ужесточения требования к сайтам

Теперь самое неприятное для тех, кто ждал послаблений. Требование к владельцам сайтов затягивалось двадцать лет, и каждый шаг закрывал лазейку, которой пользовался бизнес.

• Отсчет идет с 27 июля 2006 года, когда закон о персональных данных приняли в первой редакции и ввели само понятие оператора. Сайты того времени собирали заявки свободно, обязанность подать сведения обходили ссылкой на исключения, которых в законе стояло больше десятка.

• 1 сентября 2015 года заработало требование о локализации данных по 242-ФЗ: базы граждан России переехали на серверы внутри страны, а Роскомнадзор получил инструмент блокировки нарушителей. Владельцы сайтов на зарубежном хостинге впервые почувствовали цену размещения базы за границей.

• 1 сентября 2022 года стал переломной датой: закон 266-ФЗ вычеркнул большинство исключений, по которым сайты не подавали уведомление. С этого дня форма обратной связи перестала считаться поводом молчать, и обязанность встать в реестр операторов накрыла микробизнес наравне с корпорациями.

• 11 декабря 2024 года ввели уголовную статью 272.1 УК за незаконный оборот персональных данных, а 30 мая 2025 года по 420-ФЗ вступили штрафы, поднявшие цену слива до 15 миллионов за инцидент и до 500 миллионов при повторе. Вывод складывается прямой: к 2027 году поле зачищено от лазеек, и подача сведений в Роскомнадзор перешла из разряда формальности в обязанность с прямой денежной ценой за молчание.

Разбор сути: что закон о персональных данных требует от страницы

Теперь по слоям, чтобы разговор шел предметно. 152-ФЗ для сайта держится на ясной логике: стоит посетителю оставить сведения, по которым его опознают, и владелец страницы стал оператором и принял обязанности. Разберу по поведению посетителя, оставляя букву статьи в стороне.

• Первый слой – сбор. Посетитель вводит телефон в форму заявки, имя в окно обратного звонка, адрес в поле доставки. С первого символа страница обрабатывает персональные данные, и закон о персональных данных включается целиком, размер бизнеса роли не играет.

• Второй слой – скрытый сбор. Яндекс.Метрика и счетчики аналитики пишут идентификаторы устройства, cookie хранят историю визитов. Роскомнадзор трактует такие идентификаторы как персональные данные, поэтому сайт с одним счетчиком уже ведет обработку и попадает под обязанность подать сведения об этом.

• Третий слой – согласие. Посетитель ставит галочку под формой и соглашается на обработку персональных данных. Галочка работает при двух условиях: рядом лежит текст согласия с перечнем целей и стоит ссылка на политику конфиденциальности, раскрывающую состав данных и срок хранения. Цену пропущенного согласия показала Тамбовская городская юридическая компания: за форму обратной связи с единственным полем «Имя» без согласия суд летом 2016 года оштрафовал фирму, историю разобрала «Версия», а следом в Астрахани застройщиков наказывали за форму из двух полей – «Имя» и «Телефон».

• Четвертый слой – хранение и передача. База заявок лежит на сервере, форма отправляет письма через почтовый сервис, CRM принимает лиды. Каждый получатель данных отражается в политике, а сами базы граждан России размещаются на серверах внутри страны по требованию о локализации.

• Четыре слоя связывает один принцип: 152-ФЗ для сайта идет за данными по всему пути от поля ввода до строки в базе, и разрыв на любом слое дает нарушение. Форма без согласия рвет третий слой, счетчик без упоминания в политике рвет второй, база на зарубежном сервере рвет четвертый. Аудит сайта проверяет каждый слой отдельно, поэтому пакет из одной политики закрывает нарушение лишь частично, а сквозной порядок держит всю цепочку сбора данных.

Анализируйте ошибки владельцев крупных капиталов, победоносные рекламные кампании, финансовые взлеты на Рутуб-канале РОСТСАЙТ.

Проверочный список соответствия сайта закону о персональных данных

Читайте внимательно, тут вся суть. Я собрал 33 аргумента, по которым сам провожу аудит сайта перед сдачей клиенту. Каждый пункт – выгодное действие с проверяемым результатом.

Статус оператора и подача сведений

1. Определите статус оператора. Форма обратной связи, окно заказа звонка, корзина, подписка на рассылку, счетчик аналитики – каждый инструмент делает владельца сайта оператором персональных данных.

2. Подайте уведомление в Роскомнадзор до сбора первой заявки. Сведения об обработке подаются заранее, ведомство вносит оператора в реестр за 30 дней с даты приема.

3. Опишите цели обработки точными формулировками. «Обработка заявок на услугу», «доставка заказа», «ответ на обращение» проходят проверку, размытая цель ведет к отказу.

4. Перечислите категории данных без лишнего. Имя, телефон, почта, адрес доставки – ровно то, что собирает форма, избыточный список вызывает вопрос инспектора.

5. Укажите срок хранения данных по каждой цели. Заявка живет до отработки обращения, бухгалтерские данные – по срокам налогового учета.

6. Назначьте ответственного за организацию обработки данных. Приказ по компании закрепляет сотрудника, к нему приходят запросы субъектов и проверки.

7. Проверьте себя в реестре операторов на сайте Роскомнадзора. Запись подтверждает подачу сведений, отсутствие записи – повод для штрафа 100–300 тысяч рублей.

8. Обновляйте сведения при смене процессов. Новая форма, новый счетчик, новый подрядчик хранения – основание подать уточнение в реестр.

Четыре документа на странице

9. Разместите политику конфиденциальности отдельной страницей. Документ раскрывает состав данных, цели, сроки, права субъекта и получателей информации.

10. Поставьте ссылку на политику в подвале каждой страницы. Сквозная ссылка держит документ на виду и закрывает требование о доступности.

11. Привяжите согласие на обработку персональных данных к каждой форме. Текст согласия называет оператора, цели и перечень данных, ставится рядом с полями ввода.

12. Уберите заранее отмеченную галочку согласия. Посетитель ставит отметку сам, готовая отметка лишает согласие силы.

13. Заведите согласие на рекламную рассылку отдельным пунктом. Отправка писем и звонки маркетинга требуют отдельного разрешения помимо обработки заявки.

14. Оформите пользовательское соглашение при продаже через сайт. Документ фиксирует условия оказания услуги и порядок оплаты для интернет-магазина.

15. Опубликуйте политику в отношении cookie. Уведомление о cookie раскрывает сбор идентификаторов счетчиками и рекламными системами.

Формы и сбор данных

16. Соберите в форме минимум полей. Каждое поле оправдывается целью, лишний паспорт в заявке на звонок нарушает принцип минимизации.

17. Свяжите текст согласия с конкретной формой. Согласие под формой заказа отличается по целям от согласия под подпиской, общий шаблон под все формы дает предписание.

18. Пропишите обработчиков форм в политике. Сервис приема заявок, чат-виджет, квиз передают данные третьим лицам, каждый указывается поименно.

19. Закройте доступ к базе заявок паролем и ролями. Открытая на чтение база – прямой путь к утечке и к штрафу 3–15 миллионов рублей.

20. Настройте удаление данных по запросу субъекта. Гражданин вправе отозвать согласие, оператор удаляет данные в срок и подтверждает удаление.

21. Ведите журнал обращений субъектов данных. Запись фиксирует запрос, дату и ответ, журнал предъявляется при проверке.

Хранение, серверы, защита

22. Разместите базу граждан России на серверах внутри страны. Требование о локализации данных обязывает держать первичную базу на российском хостинге.

23. Проверьте юрисдикцию хостинга и почтового сервиса. Зарубежный сервер под базой заявок нарушает локализацию даже при российском домене.

24. Подключите шифрование канала сертификатом. Протокол HTTPS закрывает передачу данных от формы к серверу от перехвата.

25. Разграничьте доступ сотрудников к CRM по ролям. Менеджер видит свои заявки, полный доступ к базе остается у ответственного лица.

26. Настройте резервное копирование базы заявок. Копия защищает данные от потери, хранится с тем же уровнем доступа, что и оригинал.

27. Опишите меры защиты данных внутренним документом. Положение о защите персональных данных фиксирует организационные и технические меры компании.

Аналитика, реклама, интеграции

28. Отразите Яндекс.Метрику и счетчики в политике. Счетчик пишет идентификаторы посетителя, обработка этих данных декларируется наравне с формами.

29. Настройте анонимизацию IP в аналитике. Обезличивание адреса снижает состав собираемых данных и упрощает соответствие закону.

30. Проверьте рекламные пиксели и ретаргетинг. Пиксель рекламной системы передает данные визита, получатель указывается в документах.

31. Согласуйте передачу данных в сторонние сервисы. Выгрузка лидов в коллтрекинг, чат-бот, сервис рассылок оформляется как передача обработчику.

Проверка и поддержание

32. Проведите аудит соответствия сайта раз в год. Формы, счетчики и подрядчики меняются, ежегодная сверка держит документы в актуальном виде.

33. Обновляйте политику при запуске новой услуги. Новая цель обработки вносится в документ и в реестр операторов.

Арифметика чужой сметы: за что берут деньги подрядчики

Теперь посмотрим с другой стороны стола. Приведение сайта в соответствие закону о персональных данных продают под разными вывесками, от «пакета документов за 3 тысячи» до «комплаенса под ключ за 200 тысяч». Разложу реальные затраты исполнителя против счета заказчику.

Разброс объясняется прямо: шаблон за 3 тысячи закрывает форму отчетности, реальную защиту от штрафа дает документ под процессы конкретного сайта. Оговорюсь честно: политика с чужого сайта работает ровно до первой проверки, инспектор сверяет документ с фактическим сбором данных и ловит расхождение за минуту.

Полное соответствие сайта закону не отменяет риск утечки при взломе. Документы и уведомление снимают штраф за неуведомление и за отсутствие согласия, а защита от слива базы держится на технической стороне: сервер, шифрование, разграничение доступа. Продавать «стопроцентную защиту от штрафов» после пакета документов – обманывать клиента, часть рисков закрывает работа программиста и администратора, а не бумага.

Погружайтесь в атмосферу рискованных рыночных стратегий, колоссальных прибылей, громких банкротств брендов на Рутуб-канале РОСТСАЙТ. 

Цены на приведение сайта в соответствие и расчет окупаемости

Дальше начинается часть, ради которой я и сел писать. Привожу тарифы агентства РОСТСАЙТ на разработку и сопровождение сайтов с колонкой рыночного сравнения. Соответствие закону о персональных данных мы закладываем в разработку и в поддержку сайта, отдельной наценкой за документы не торгуем.

Цены зависят от состава работ и от числа форм на сайте, данные собраны на дату выхода статьи, актуальные тарифы – в разделе «О нас – Цены» на rostsayt.ru. Дальше считаю окупаемость порядка против штрафа на модели, вводные беру усредненные.

Таблица вводных параметров модели

Расчет по месяцам, модель

Числа между таблицами сходятся: разовая настройка 40 000 плюс поддержка 120 000 дают 160 000 рублей вложений за год против 3,2 миллиона открытого риска по нижней границе утечки. Расчет подаю как модель с вводными параметрами, гарантию отсутствия штрафа не обещаю: сумма санкции зависит от числа пострадавших и от решения суда.

Задача – услуга – цена – срок

Владелец сайта с формами и аналитикой обязан подать сведения в Роскомнадзор и закрыть страницу четырьмя документами.

Агентство РОСТСАЙТ проводит аудит сайта на соответствие 152-ФЗ, готовит политику и согласия под ваши процессы, подает уведомление и переносит базу на российский сервер. Стоимость работ по готовому сайту – от 40 000 рублей, срок – 5–10 рабочих дней.

Вердикт: обвинения закону и признание в его пользу

Пришло время назвать спорную часть прямо. Владельцы малых сайтов держат 152-ФЗ для сайта за избыточное давление на бизнес: сайту-визитке с одной формой звонка ставят те же обязанности, что банку с миллионной базой. Часть претензии я отклоняю, часть признаю.

Отклоняю упрек в бессмысленности требования. Утечка на 4,5 миллиарда записей за три года – прямое следствие эпохи, когда 300 гигабайт медкарт стоили нарушителю 60 тысяч рублей. Подача сведений в реестр и четыре документа на странице поднимают цену небрежности и заставляют владельца сайта видеть, какие данные он собрал и где их держит.

Признаю перегиб в отношении микросайтов. Сайт-визитка с единственной формой обратной связи проходит тот же путь подачи уведомления, что и торговая площадка, и порог входа для малого предпринимателя вышел заметным. Логика законодателя строится на масштабе утечек: место в реестре занимает каждый, кто собирает данные, потому что слив у мелкого оператора бьет по человеку так же, как слив у крупного.

FAQ: ответы на волнующие вопросы о 152-ФЗ для сайта

1. Нужно ли подавать уведомление, если на сайте одна форма обратной связи? Да, форма обратной связи собирает имя и телефон, с первой заявки владелец сайта стал оператором и подает сведения в Роскомнадзор. Размер сайта и число форм на обязанность не влияют, отличается лишь состав целей обработки в уведомлении.

2. Подводит ли Яндекс.Метрика сайт под закон о персональных данных? Да, счетчик пишет идентификаторы устройства и cookie, Роскомнадзор относит их к персональным данным. Убирать счетчик смысла нет, обработку декларируют в политике и в уведомлении, а IP-адрес анонимизируют в настройках Метрики.

3. Хватит ли скачать шаблон политики конфиденциальности с чужого сайта? Шаблон закрывает наличие документа, проверку он проходит редко: инспектор сверяет текст с фактическим сбором данных и ловит расхождение по целям, формам и получателям. Документ под конкретные процессы сайта готовится за 3–4 часа и держит защиту от предписания.

4. Где хранить базу заявок по требованию о локализации? Первичная база граждан России размещается на сервере внутри страны, зарубежный хостинг под базой нарушает требование даже при домене в зоне .ru. Перенос базы на российский сервер занимает 3–6 часов работ и стоит от 10 000 рублей.

5. Какой штраф грозит сайту за отсутствие уведомления в 2027 году? Обработка данных без подачи сведений обходится юрлицу в 100–300 тысяч рублей по нормам, действующим с 30 мая 2025 года. Отмена скидки 50% за быструю оплату означает выплату полной суммы, а параллельная утечка добавляет от 3 миллионов рублей.

6. Нужно ли отдельное согласие на рекламную рассылку? Да, обработка заявки и отправка маркетинговых писем – разные цели, каждая закрывается своим согласием. Общая галочка под формой на рассылку не распространяется, звонки и письма без отдельного разрешения подводят под закон о рекламе.

7. Кто отвечает за утечку – владелец сайта или подрядчик? Ответственность несет оператор, то есть владелец сайта, даже когда базу ведет подрядчик. Договор с исполнителем распределяет обязанности по защите данных, а перед Роскомнадзором и субъектом отвечает лицо, указанное в реестре операторов.

8. Появилась ли уголовная статья за утечку данных? Да, статья 272.1 УК РФ действует с 11 декабря 2024 года и наказывает незаконные сбор, передачу и использование персональных данных вплоть до лишения свободы. Норма применяется к случаям умышленного слива и оборота баз, штрафами по КоАП дело ограничивается при неосторожном нарушении.

Итог ясен

152-ФЗ для сайта делает оператором каждого, у кого работает форма сбора данных либо счетчик аналитики, и в 2027 году подача сведений в Роскомнадзор остается обязанностью, свободный выбор закон здесь снял.

Четыре документа на странице, запись в реестре операторов и база на российском сервере закрывают штраф за неуведомление и снимают повод для внеплановой проверки. Цена порядка – от 40 тысяч рублей против санкции от 200 тысяч за молчание и от 3 миллионов за утечку.

Что сделает опытное агентство после обращения владельца сайта

Соответствие 152-ФЗ для сайта мы доводим до записи в реестре операторов. Папка с шаблонами на диске проверку Роскомнадзора не проходит. Проведем аудит сайта на соответствие 152-ФЗ: проверим формы, счетчики, документы и хостинг, выдадим список расхождений с законом.

Подготовим политику и согласия под ваши процессы, подадим уведомление в Роскомнадзор и перенесем базу на сервер внутри страны. Разбор задачи специалистом – бесплатно, ответ на обращение в течение рабочего дня.

Агентство РОСТСАЙТ, Москва, пр-т Вернадского, д. 8А. Телефон: +7 (964) 967-79-70. Почта: info@rostsayt.ru. Портфолио: rostsayt.ru/portfolio. Разбор выпусков по теме – на Рутуб-канале агентства. Режим работы: Пн–Пт 9:00–18:00.

Об авторе

Владимир Кривов – бизнес-тренер федерального уровня, основатель Школы Бизнеса и руководитель сообщества «Лидеры знаний» с представительствами более чем в 90 городах России. Лауреат премии «Предприниматель года» и победитель в номинации «Маркетолог года» по версии делового журнала PERSONO. Автор книги «Красная кнопка», изданной ведущим отечественным издательством «Эксмо», крупнейшим в Европе.

Владимир Кривов специализируется на внедрении адаптивных воронок продаж, управлении юнит-экономикой и выстраивании автономных систем без постоянного контроля со стороны собственника. Регулярно выступает экспертом и комментатором на федеральных телеканалах и в ведущих деловых изданиях («Коммерсантъ», РБК/Радио, «Известия»). Владимира приглашают разбирать вопросы маркетинговых стратегий, регулирования рынка рекламы и кибербезопасности.

Кривов – разработчик авторских управленческих методик: «Позиционная борьба» – занятие выгодной ниши без ценовых войн; «Закон пустого стула» – принятие решений с учетом интересов клиента или партнера; «Выравнивание поля» – синхронизация KPI отделов продаж и маркетинга. Владимир – основатель маркетингового интернет-агентства РостСайт, создающего и продвигающего сайты. В помощь предпринимателям Владимир Кривов ведет флагманские тренинги «Мозговой штурм» в Москва-Сити и в онлайн-режиме.

Иллюстрации: © РОСТСАЙТ, 2026