Что владельцу сайта нужно знать о персональных данных посетителей

152-ФЗ о персональных данных касается сайта, где есть форма заявки или счетчик Яндекс Метрики: имя, телефон и email посетителя относятся к персональным данным. Требования разбросаны по закону, КоАП и Уголовному кодексу, и владельцу приходится собирать картину самому. Разбираем, кто здесь оператор, что разместить рядом с формой, где хранить данные и какие штрафы грозят.

Марина СоколоваРедактор журнала QIO

Опубликовано 24 октября 2026

Что владельцу сайта нужно знать о персональных данных посетителей

Кто считается оператором и какие данные на сайте персональные

Посетитель заполняет форму на сайте, а владелец просматривает полученные сведения.

Оператор — тот, кто собирает и использует информацию посетителей сайта. Если сайт сделан на конструкторе, он остается лишь инструментом, а оператором признается владелец сайта.

Базовый акт здесь Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Персональные данные — информация о конкретном человеке, по которой его можно идентифицировать: фамилия, имя, отчество, фотография и другие сведения.

Поля «Имя» и «Телефон» или «Email» — классический случай. Email сам по себе относится к персональным данным, потому что позволяет идентифицировать человека.

Обработка — любое действие с данными: сбор, запись, хранение, передача, удаление. Если форма приняла имя и email и переслала их на вашу почту, обработка уже случилась. Возражение «мы сразу удаляем» не работает: кратковременное хранение тоже считается обработкой.

Какие документы и галочки нужны на странице с формой

Хромовые карточка формы с галочкой, лист документа и полоса баннера с двумя кнопками

Политика обработки персональных данных должна быть открыта для всех, каким бы способом вы ни собирали данные. Если данные приходят через страницы сайта, разместите политику там, чтобы посетители могли ее открыть. Так сказано в части 2 статьи 18.1 закона о персональных данных и в письме Роскомнадзора от 19.10.2021 № 08-71063. Оформлять документ удобнее по рекомендациям Роскомнадзора (Приказ № 996 от 17.07.2020), а его содержание должно совпадать с уведомлением в Роскомнадзор.

Отдельное согласие на обработку персональных данных дает человеку выбор: при его заполнении он сам решает, какие данные могут использоваться публично, а какие остаются приватными. Он может указать срок действия согласия или потребовать прекратить передачу и распространение данных у обрабатывающего лица либо через суд. По статье 14 закона блокировки или удаления данных можно требовать без доказательств их неполноты или незаконного получения.

Для форм при покупках есть ограничение: телефон, почту и другие данные у потребителей без явной необходимости собирать нельзя. Отказать в договоре тому, кто не дал данные, тоже нельзя, если их предоставление не предусмотрено законодательством и не связано с исполнением договора.

С cookie практика неоднозначна. В 2016 году Арбитражный суд счел персональными данными случайный идентификатор Cookie «UID» в HTTP-запросе. В образцах политик сбор обезличенных данных через cookie и веб-аналитику выносят в отдельный раздел и пишут, что пользователь может отказаться от cookie в настройках браузера.

Баннер, галочки и ссылку на политику проще заложить в макет сразу, пока создание сайта под ваши формы и сценарии заявок только обсуждается.

Локализация, уведомления в Роскомнадзор и штрафы

Горизонтальная столбчатая диаграмма с тремя значениями штрафов в рублях для граждан, должностных и юридических лиц

При сборе данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение в базах за пределами страны не допускаются. Исключения — случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6 закона.

Уведомления появились двумя этапами. С 1 сентября 2022 года операторы сообщают Роскомнадзору об утечках и о трансграничной передаче. На сообщение об утечке отведено 24 часа, на результаты внутреннего расследования с причиной и виновными — 72 часа. С 1 марта 2023 года действует порядок, по которому оператор подает уведомление о намерении передавать данные за рубеж, а Роскомнадзор вправе запретить или ограничить передачу в другие страны. Уведомлять нужно один раз для каждой страны, а не о каждой транзакции. Формы подачи об утечке и о трансграничной передаче доступны на сайте Роскомнадзора.

Роскомнадзор вправе анализировать сайт без вашего участия. Если сведения в реестре операторов расходятся с политикой на сайте, возможно внеплановое контрольное мероприятие. Место хранения данных и сторонние скрипты проще продумать на этапе разработки сайта.

За нарушение порядка сбора, хранения, использования и распространения персональных данных статья 13.11 КоАП РФ предусматривает административный штраф. Для граждан он составляет от 500 до 100 000 рублей, для должностных лиц от 2 000 до 800 000 рублей, для юридических лиц от 60 000 рублей до 18 млн рублей. Это общие вилки за нарушения закона, а не конкретные суммы за отдельную ошибку на сайте.

Нарушитель	Размер штрафа
Граждане	от 500 до 100 000 рублей
Должностные лица	штраф от 2 000 до 800 000 рублей; вместе с ним предусмотрены конфискация средств защиты информации либо дисквалификация на срок до 3 лет
Юридические лица	штраф от 60 000 рублей до 18 млн рублей; вместе с ним предусмотрены конфискация средств защиты информации и административное приостановление деятельности

Есть и уголовные статьи. По статье 137 УК РФ наказывают за незаконный сбор сведений о частной жизни без согласия. Статья 272.1 УК РФ предусматривает до 10 лет лишения свободы и штраф до 3 млн рублей за незаконное использование, передачу, сбор и хранение компьютерной информации с персональными данными.

Сайт приводят в порядок документы, галочки и путь заявки

Вы оператор, даже если сайт собран на конструкторе, а форма принимает только email.
Доступная политика, отдельная галочка согласия и понятный выбор по cookie относятся к документам и интерфейсу.
Место хранения данных, сторонние сервисы и ответственный за общение с регулятором относятся к технике и отчетности.

Пройдитесь по своему сайту по этим трем пунктам и выпишите, что правится текстом, а что кодом. Если часть правок окажется на стороне разработки, их можно обсудить со студией QIO, которая делает сайты.

Источники

Вопросы и ответы

Можно ли распространять данные, если человек разрешил это?

С 1 марта вступили в силу поправки: оператор не вправе размещать и распространять данные, разрешенные человеком для распространения, без его согласия.

Что нужно доказать для ответственности по статье 137 УК РФ?

Нужно доказать, что нарушитель имел прямой или косвенный умысел причинить вред человеку.

Могут ли органы власти разглашать полученные персональные данные?

Органы власти и другие лица, получившие доступ к персональным данным, не вправе разглашать их без согласия правообладателя.

С какого момента применяется новый порядок трансграничной передачи данных?

Новый порядок применяется с 1 марта 2023 года.

Какие сведения относятся к персональным данным?

Это информация о конкретном человеке, которая позволяет его идентифицировать. К таким сведениям относятся, например, фамилия, имя, отчество и фотография.