С некоторых пор Роскомнадзор активнее мониторит сайты (в том числе с ИИ), растут штрафы, а использование CRM автоматически подпадает под обработку персональных данных. Чтобы не получить штраф и снизить риски утечек, бизнесу нужно комплексно привести сайт и CRM в соответствие с ФЗ-152

Обязательные документы для сайта и бизнеса

Для сайта, работающего с персональными данными, нужны Политика конфиденциальности и отдельное Согласие на обработку. Для бизнеса в целом дополнительно потребуется Положение (внутренний регламент). А согласие на рекламу — только если вы реально рассылаете промо-сообщения.

То есть, не все из перечисленных документов обязательны для любого сайта и бизнеса. Их нужно рассматривать в связке, и у каждого из них своя роль:

  1. Политика конфиденциальности (или Политика обработки персональных данных) — обязательна, если сайт собирает данные посетителей (через формы, cookie, аналитику). Это публичный документ: он разъясняет, какие именно данные собираются, зачем, и как защищаются.
  2. Согласие на обработку персональных данных — нужно, чтобы получить разрешение пользователя на обработку его личных данных. Важное обновление: с 1 сентября 2025 г. такое согласие обязательно оформляется отдельным документом, его нельзя «вшивать» в пользовательское соглашение или оферту.
  3. Положение об обработке Пдн — это внутренний документ для сотрудников. Он детально прописывает, как в компании на практике работают с данными: кто за что отвечает, как хранится информация, как передаются данные третьим лицам.
  4. Согласие на рекламную рассылку — тоже отдельный акт. По закону о рекламе (ФЗ-38) для рассылки рекламы требуется явное согласие конечного пользователя (получателя). При этом согласие на обработку данных для заказа не заменяет отдельное согласие на рекламу.

Типичные ошибки на формах захвата

На практике довольно часто встречаются однотипные промахи при проектировании форм захвата данных. Разберем каждую ошибку подробнее:

  • Чекбоксы по умолчанию (предустановленные). Если галочка стоит автоматически при загрузке страницы — это нарушение. Закон требует, чтобы пользователь сам осознанно поставил отметку: пассивное «молчаливое» согласие не считается.
  • Отсутствие ссылок на документы. Рядом с чекбоксом (особенно согласия) должна быть кликабельная ссылка на политику обработки данных. Иначе пользователь не сможет понять, с чем именно он соглашается. Частая ошибка — ссылка есть только в футере сайта, а рядом с формой ее нет.
  • Сбор избыточных данных. Форма не должна запрашивать больше информации, чем нужно для конкретной цели. Например, просить паспортные данные только для подписки на рассылку — это избыточно. Принцип минимизации данных здесь оптимален.

Таким образом, правильная форма сочетает осознанное согласие (чекбокс пустой по умолчанию), четкую юридическую связку (ссылка рядом) и строго целевое поле (не больше, чем нужно). Это не только снижает риски претензий регуляторов, но и повышает доверие пользователей.

Уведомление Роскомнадзора о начале обработки персональных данных

Это обязательный документ для операторов (организаций, ИП, самозанятых), собирающих и использующих личные сведения граждан. Подать его нужно до начала обработки.

Кто обязан подавать

Уведомление должны направлять все, кто обрабатывает персональные данные: организации, ИП, самозанятые. Проще говоря, если вы хотя бы раз собираете и используете личные сведения (ФИО, телефон, email, паспортные данные клиентов, сотрудников) — вы становитесь оператором и должны уведомить Роскомнадзор.

Но есть исключения. Уведомление не требуется, если:

  1. Данные включены в государственные информационные системы (для защиты безопасности государства и общественного порядка).
  2. Обработка ведется исключительно вручную, без средств автоматизации (на бумаге).
  3. Данные обрабатываются в сфере транспортной безопасности.

Как правильно заполнить реестр

Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. В ней нужно заполнить несколько блоков:

  • сведения об операторе (наименование, ИНН, ОГРН, адрес);
  • цели обработки персональных данных;
  • категории данных и субъектов;
  • меры защиты (организационные и технические);
  • сведения о месте хранения баз данных;
  • данные ответственного за организацию обработки.

Порядок действий компании при утечке персональных данных

Порядок взаимодействия с Роскомнадзором утвержден Приказом Роскомнадзора № 187, с НКЦКИ и ГосСОПКА — Приказом ФСБ № 77.

Сроки и регламент уведомления Роскомнадзора

При утечке персональных данных компания действительно должна действовать по четкому алгоритму. Я собрала главное: какие шаги предпринимать, какие сроки соблюдать и как взаимодействовать с регуляторами.

Общий порядок действий:

  1. Сразу зафиксировать факт инцидента: дату, время, способ обнаружения.
  2. Уведомить Роскомнадзор —в течение 24 часов с момента, когда вы обнаружили утечку. В первичном уведомлении укажите детали: что произошло, предполагаемые причины, возможный вред, принятые меры и контактное лицо.
  3. Инициировать внутреннее расследование — чтобы установить масштаб, причины и виновных.
  4. Уведомить Роскомнадзор повторно — в течение 72 часов с момента выявления инцидента. Отправьте итоговый отчет с результатами расследования.
  5. При необходимости уведомить субъектов персональных данных (если утечка может им навредить).
  6. Принять меры, чтобы устранить причины и не допустить повторений.

Уведомление ГосСОПКА

Это отдельная обязанность. Если инцидент квалифицируется как компьютерный (например, кибератака), нужно сообщить в НКЦКИ (Национальный координационный центр по компьютерным инцидентам, часть ГосСОПКА) — тоже в течение 24 часов с момента обнаружения. При этом технически передать сведения можно через форму на сайте Роскомнадзора.

Важно: это не заменяет уведомление Роскомнадзора — это параллельная обязанность.

Отсчет обоих сроков начинается с момента, когда вы выявили инцидент, а не с самого момента утечки. Поэтому в компании полезно заранее прописать, как фиксируется момент обнаружения.

За нарушение сроков уведомления предусмотрены административные штрафы.

Размеры штрафов по ст. 13.11 КоАП РФ за повторные нарушения и отсутствие согласия

По состоянию на 2026 г., размеры штрафов по статье 13.11 КоАП за нарушения в сфере персональных данных:

1.Обработка без правового основания (часть 1):

  • для граждан — 10–15 тыс. рублей;
  • для должностных лиц — 50–100 тыс. рублей;
  • для юрлиц — 150–300 тыс. рублей.

2.Повторное нарушение по части 1 (часть 1.1):

  • для физлиц — 15–30 тыс. рублей;
  • для сотрудников, занимающих определенную должность — 100–200 тыс. рублей;
  • для предприятий — 300–500 тыс. рублей.

3.Обработка без согласия (часть 2):

  • для граждан — 10–15 тыс. рублей;
  • для должностных лиц — 100–300 тыс. рублей;
  • для юрлиц — 300–700 тыс. рублей.

4.Отсутствие политики обработки персональных данных (часть 3):

  • для граждан — 1,5–3 тыс. рублей;
  • для должностных лиц — 6–12 тыс. рублей;
  • для компаний — 30–60 тыс. рублей (для ИП — 10–20 тыс. рублей).

Практический чек-лист аудита

Владельцам интернет-ресурсов не помешает провести ревизию для выявления недочетов работы своих сайтов.

Для проверки формы сбора данных

Выясняются следующие моменты:

  • Есть ли чек-бокс для согласия пользователя? (Без предустановленной галочки).
  • Указана ли цель обработки персональных данных?
  • Есть ли ссылка на Политику конфиденциальности? (И доступна ли она из формы).
  • Разделены ли согласия? (Например, отдельно для заявки и для маркетинговых рассылок, а не один общий чек-бокс «со всем согласен»).
  • Используются ли сторонние сервисы (аналитика, чат, виджеты) — проверьте, нет ли передачи данных на зарубежные домены без уведомления.
  • Обеспечена ли передача данных по HTTPS?.

Для подвала (футера) сайта

Проверяют:

  • Указаны ли обязательные реквизиты (наименование владельца, адрес, email).
  • Все ли ссылки рабочие (не ведут на 404).
  • Нет ли скрытого текста или нерелевантных сквозных ссылок.
  • Актуальны ли документы (политика конфиденциальности, пользовательское соглашение).
  • Удобно ли читать (нет мелкого текста, слабого контраста, все элементы кликабельны).
  • Есть ли карта сайта (для крупных структур).
  • Обновляются ли соцсети и настроены ли события аналитики.

 

Чтобы минимизировать риски можно также обратиться к помощи юриста, специализирующегося на соответствующем профиле.