У нас просто форма. Для штрафа по 152-ФЗ этого хватает

Когда клиент говорит «мы персональные данные не обрабатываем», а на главной три формы и Метрика.

Федеральный закон № 152-ФЗ «О персональных данных» написан не для корпораций с отделом безопасности. Он про любого, кто собирает, хранит или передаёт сведения, по которым можно понять, что это живой человек. Имя. Телефон. Почта. Город. Даже cookie, если по ним вас можно отличить от соседа.

Сайт с формой заявки — уже обработка. Лендинг записи на замер — уже. Магазин с оформлением заказа — тем более. Комментарии, личный кабинет, рассылка, обратный звонок. Не надо быть банком. Достаточно кнопки «отправить».

Это важно не потому, что «так надо по закону» звучит красиво на совещании. А потому что штраф по 152-ФЗ редко приходит после долгой воспитательной беседы. Чаще как внезапный подарок: нашли форму без нормального согласия, не нашли вас в реестре операторов, увидели счётчик, который уносит данные неизвестно куда. Дальше почта, протокол, сумма. С 2025 года за неуведомление Роскомнадзора для компании это уже до 300 тысяч. За кривое согласие, чужой хостинг и утечку — заметно больше. Повторно — ещё больше. Подарок, который лучше не распаковывать.

Сразу честно: я не юрист и не продаю «пакет из сорока журналов под проверку». Ниже — то, что реально ломается на сайтах, которые мы делаем и сопровождаем. Документы внутри компании пусть смотрит человек с правовой головой. Сайт при этом можно привести в порядок и без ожидания, пока «когда-нибудь наймём аудитора».

Вы уже оператор. Даже если не хотели

Оператор — не статус, который выдают в МФЦ. Это факт: вы обрабатываете персональные данные. Форма уехала на почту менеджера. Заявка упала в CRM. Таблица на Google Диске, куда «так удобнее». Звонок с сайта в коллтрекинг. Всё это обработка. Значит, на вас распространяется 152-ФЗ.

«Мы маленькие» — не исключение. «Это же ИП» — тоже нет. «Данные сразу удаляем» — если они хотя бы секунду побыли у вас, обработка уже была. Исключения в законе узкие: почти никому из владельцев сайтов они не помогают. После 2022 «мы только заявки собираем, нам можно не уведомлять РКН» — опасная сказка. Для большинства сайтов с формами уведомлять как раз нужно.

Ещё одна сказка: политика в подвале, скопированная с генератора, и галочка, которая уже стоит. Это не защита. Это декорация. Роскомнадзор смотрит, совпадает ли текст с тем, что сайт делает на самом деле. Если в политике «данные не передаём», а заявка улетает в amoCRM, Mail, Telegram-бота и таблицу подрядчика — декорация только ускорит претензию.

Какие работы закрыть. По делу, не «папка для галочки»

Полный юридический комплект у каждой компании свой. На сайте набор повторяется почти всегда. Если этого нет — штраф искать не надо, он сам найдёт форму.

• 
  Инвентаризация. Выписать все точки сбора: формы, заказ, подписка, чат, коллбэк, личный кабинет, отклик на вакансию. Куда уходит каждая заявка: почта, CRM, мессенджер, подрядчик, Excel. Пока этого списка нет, политика будет врать по определению.
• 
  Политика обработки персональных данных. Своя, под ваши формы и сервисы. Не «как у соседа». Ссылка в подвале с любой страницы и рядом с каждой формой. В тексте — кто оператор, какие данные, зачем, сколько храните, кому передаёте, как человек может отозвать согласие. Если чего-то из этого на сайте нет, политика — фальшивка.
• 
  Согласия в формах. Отдельный чекбокс, пустой по умолчанию. Текст с ссылкой на согласие и на политику. Галочка «я согласен», которую поставили за человека, — классика штрафа. Рассылка, маркетинг, передача партнёру — отдельные согласия, не одна каша «отправляя форму, вы на всё согласны».
• 
  Не собирать лишнее. Для заявки на звонок паспорт, дата рождения и «прикрепите снилс» не нужны. Закон прямо не любит избыточность. Чем короче форма по делу, тем проще её защитить.
• 
  Cookie-баннер, который умеет отказывать. Не плашка «ок, закрыть». Пока человек не согласился, аналитика и рекламные пиксели не должны грузиться. Особенно зарубежные. Иначе это уже не «счётчик», а передача данных, часто трансграничная, со своими уведомлениями и рисками.
• 
  Хранение в России. Базы с персональными данными россиян — на серверах в РФ. Зарубежный хостинг «потому что дешевле» для форм с ФИО и телефоном — плохая экономия. Локализация в 152-ФЗ стоит отдельно, и штрафы там уже не «ну тысяч тридцать».
• 
  Доступы и техника. HTTPS, закрытая админка, разные пароли, бэкапы, заявки не в общем чате на двадцать человек. Подрядчику — свой пользователь, потом удалить. Таблица с клиентами в открытой ссылке — это не «удобно менеджерам», это дыра.
• 
  Подрядчики. Хостинг, почта, CRM, рассылка, студия, которая видит заявки. С теми, кому уходят данные, должны быть понятные условия обработки. Иначе в политике написано одно, а по факту персональные данные гуляют без договора.
• 
  Запрос человека. «Удалите мои данные» — не повод игнорировать. Нужен понятный канал и срок ответа. На сайте достаточно указать, куда писать. Внутри — кто отвечает и что делает. Иначе к штрафу за форму добавится штраф за молчание.
• 
  Ответственный внутри компании. Приказ, кто отвечает за персональные данные. Не «ну директор как бы». Для РКН и для себя: когда придёт запрос, должно быть ясно, кто не в отпуске.

Когда в политике «данные хранятся на территории РФ», а заявка улетает в зарубежную таблицу, потому что «так менеджеру привычно».

Это не разовая акция к проверке. Появилась новая форма, подключили CRM, сменили хостинг — политику и согласия надо поправить. Документ 2021 года на сайте 2026 года читается сразу. И не в вашу пользу.

Уведомление в Роскомнадзор. Коротко, потому что без него остальное слабее

Статья 22 закона простая: оператор уведомляет Роскомнадзор до начала обработки персональных данных. На практике сайт уже год собирает заявки, а в реестре операторов компании нет. РКН это видит. С 30 мая 2025 за такое есть отдельный штраф — та самая история про подарок на сотни тысяч, который «мы не ждали, у нас же только форма».

Подать можно бесплатно. Портал уведомлений — pd.rkn.gov.ru, часто через Госуслуги под учёткой организации или ИП. Есть вариант с УКЭП и бумажный в территориальный орган. Для нормальной компании разумный путь — электронный, из кабинета, который и так нужен для других историй с государством.

В уведомлении не «мы обрабатываем данные, спасибо». Там цели, категории людей, категории сведений, правовые основания, меры защиты, кому передаёте, есть ли трансграничная передача, где стоят базы. Если на сайте одно, а в реестре другое — это не защита, а подсказка проверяющему. Поэтому сначала инвентаризация и политика, потом форма в РКН. Не наоборот.

• 
  Срок внесения в реестр — до 30 дней с подачи. Проверить себя можно в открытом реестре операторов, обычно по ИНН.
• 
  Уже обрабатываете, а уведомления нет. Всё равно подавайте. Лучше появиться в реестре сейчас, чем объяснять через полгода, почему вас там не было. Это не индульгенция задним числом, но сидеть дальше без уведомления — решение ещё хуже.
• 
  Что-то изменилось. Новая цель, новый подрядчик, другая CRM, трансграничная передача. В РКН надо актуализировать сведения. Срок короткий, ориентир — рабочие дни, не «когда бухгалтер освободится».
• 
  Уведомление ≠ можно ничего не делать на сайте. Реестр фиксирует, что вы оператор. Политика, согласия и cookie сами не появятся. Это разные обязанности, их любят путать.

Иностранные счётчики, облака и формы «через сервис из другой страны» в уведомлении всплывают отдельно. Если не уверены, уходит ли что-то за рубеж — сначала разберите скрипты и почтовые шлюзы. Потом уже ставьте галочки в анкете РКН. Врать в уведомлении ради скорости — способ получить два претензии вместо одной.

С чего начать на этой неделе

Не надо сразу собирать сорок журналов. Надо закрыть то, за что сайт штрафуют чаще всего — и то, что видно без визита инспектора. Роскомнадзор давно смотрит витрину: политику, галочки, cookie, реестр.

• 
  Открыть свой сайт как чужой человек и пройти каждую форму.
• 
  Проверить: политика живая, ссылка есть, текст про вас, а не про ООО из генератора.
• 
  Снять предустановленные галочки. Добавить нормальный текст согласия.
• 
  Посмотреть, что грузится до клика в cookie-баннере. Если Метрика и реклама уже стучат — баннер бесполезен.
• 
  Найти себя в реестре операторов. Нет — готовить уведомление.
• 
  Сверить, куда физически уходят заявки и где лежит база.

Если после этого списка стало неловко — это хороший знак. Неловко сейчас дешевле, чем «подарок» в заказном письме.

Что можем сделать мы, а что нет

Мы делаем сайты и сопровождаем их. По 152-ФЗ это конкретная работа: политика как страница, а не файл 2018 года; формы с нормальными согласиями; cookie, которые умеют ждать; заявки, которые не размазаны по пяти сервисам без вашего ведома; хостинг, который не уносит базу за границу «потому что тариф красивый».

Уведомление в РКН подписывает и подаёт оператор — то есть вы. Мы можем помочь собрать, что писать: какие формы, какие данные, куда передаёте. Не можем поставить штамп «теперь вам ничего не будет». Закон так не работает. Зато работает другое: закрытый сайт плюс поданное уведомление почти всегда дешевле внезапного штрафа.

Если на сайте «просто форма», а про 152-ФЗ в последний раз вспоминали, когда копировали политику у конкурента — напишите. Посмотрим без театра. Лучше час сверки, чем подарок, который придётся оплатить.