Персональные данные на сайте в 2026 году: чек-лист и штрафы
Если сайт собирает имя, телефон или почту через формы, компания — оператор персональных данных. Ей нужны политика обработки, отдельное согласие пользователя, уведомление в Роскомнадзор и хранение баз с данными россиян в России.
- С 1 сентября 2025 года согласие оформляют отдельно от других документов.
- Политику обработки публикуют на сайте.
- Штраф за обработку без согласия для юрлица — до 700 тыс. ₽.
Что нужно сайту с формами
Опубликована на сайте и доступна из каждой формы (ч. 2 ст. 18.1 152-ФЗ).
С 1 сентября 2025 года — отдельным документом, а не пунктом в оферте или пользовательском соглашении (ч. 1 ст. 9 152-ФЗ).
Подаётся до начала обработки, если нет исключений (ст. 22 152-ФЗ).
Базы с данными граждан РФ записывают и хранят на серверах в России (ч. 5 ст. 18 152-ФЗ).
Если работают счётчики, сообщите об этом в политике и в уведомлении о cookie.
Доступ к заявкам — только у тех, кому он нужен; формы работают по HTTPS.
Штрафы для юрлиц
| Нарушение | Штраф |
|---|---|
| Обработка без согласия | до 700 тыс. ₽ |
| Не подано уведомление в РКН | 100–300 тыс. ₽ |
| Не сообщили об утечке | 1–3 млн ₽ |
| Повторная утечка | 1–3% выручки, но не менее 20 млн ₽ и не более 500 млн ₽ |
Статья 13.11 КоАП в редакции, действующей с 30 мая 2025 года
Частые ошибки
- Галочка согласия стоит по умолчанию.
- Согласие «зашито» в текст политики или оферты.
- Заявки с сайта уходят в почту или сервис с серверами за рубежом.
- Политика скопирована с чужого сайта и не описывает ваши процессы.
Это обзор требований, а не юридическое заключение. Тексты документов лучше проверить с юристом.
Частые вопросы
Нужно ли согласие, если клиент сам оставил телефон для звонка?
Если данные нужны для ответа на запрос и заключения договора, основанием может быть сам договор. Но для рассылок и маркетинга нужно отдельное согласие.
Можно ли хранить заявки в иностранном сервисе?
Первичная запись и хранение баз с данными граждан РФ должны происходить в России. Иностранные сервисы для этого не подходят.