Разбираем, что действительно нужно разместить на сайте, когда требуется отдельное согласие, как оформить формы и cookie и почему готовый шаблон не заменяет проверку сервисов и маршрутов данных.
Если через сайт собираются персональные данные, оператор обязан опубликовать документ, определяющий его политику в отношении обработки персональных данных, и обеспечить доступ к нему на страницах сбора. Это прямое требование части 2 статьи 18.1 Закона № 152-ФЗ.
Но политика — только один элемент. Для конкретного сайта могут понадобиться отдельные согласия для форм, согласие на рекламу, правила использования cookie, механизм управления необязательными cookie, тексты для регистрации и личного кабинета. Состав определяется не названием сайта, а фактическими процессами.
Наличие формы с именем и телефоном — очевидный случай сбора. Но персональные данные могут обрабатываться и без ручного заполнения полей: при работе аналитики, чата, обратного звонка, личного кабинета, платёжной интеграции или журнала запросов сервера.
Обратная связь, консультация, расчёт стоимости, заказ, подписка, регистрация и загрузка файлов.
Учётная запись, история заказов, профили, обращения, документы и идентификаторы пользователей.
IP-адрес, идентификаторы, параметры устройства и сведения о поведении могут требовать правовой оценки.
CRM, мессенджеры, чаты, карты, видео, captcha, рассылки и рекламные пиксели участвуют в маршруте данных.
Сайт без видимых форм также нельзя автоматически считать не обрабатывающим персональные данные. Сначала проверяют код, сетевые запросы, логи, cookie и подключённые интеграции.
Закон не содержит универсального списка страниц с фиксированными названиями. Поэтому полезно разделять прямо установленную обязанность и документы, необходимость которых зависит от конкретной функции сайта.
| Документ или элемент | Когда нужен | Что проверить |
|---|---|---|
| Политика обработки персональных данных | При сборе персональных данных через сайт | Доступность на страницах сбора и соответствие реальным процессам |
| Согласие на обработку персональных данных | Когда обработка опирается на согласие либо закон требует согласия | Отдельное оформление, конкретность, доказуемость получения |
| Согласие на рекламные сообщения | Перед рекламными email, SMS, звонками и иными рассылками | Отдельный выбор пользователя и возможность отказа |
| Информация о cookie | Если сайт сохраняет или получает cookie и связанные идентификаторы | Категории, цели, сроки, получатели и способ управления |
| Cookie-баннер или панель настроек | Когда для необязательных cookie выбран механизм согласия | Реальная блокировка до выбора и сопоставимые варианты принять/отклонить |
| Тексты возле форм | Для каждой формы, через которую передаются данные | Понятная цель, ссылка на документы и однозначное действие |
| Пользовательские правила | Для личного кабинета, сервиса или платформы | Не смешивать условия сервиса и согласие на ПДн в одном подтверждении |
Например, Закон № 152-ФЗ прямо не называет отдельную «политику cookie» универсальным документом. Она используется, когда помогает прозрачно описать фактическую обработку и выбранный механизм управления cookie.
Политика должна помогать человеку понять, кто и зачем получает его сведения, что с ними происходит и как реализовать свои права. Документ нельзя составлять как энциклопедию из всех возможных процессов — он должен описывать именно данного оператора.
Ссылку на политику размещают так, чтобы она была доступна на страницах, где происходит сбор. Практически это означает не только ссылку в подвале, но и понятный доступ из формы до отправки данных.
Согласие — не единственное основание обработки. В некоторых ситуациях данные можно обрабатывать для заключения или исполнения договора по инициативе самого человека, для выполнения обязанности по закону или на другом основании статьи 6 Закона № 152-ФЗ. Поэтому автоматически ставить один чекбокс под каждой кнопкой — не всегда правильное решение.
Если оператор использует согласие, оно должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года статья 9 прямо требует оформлять согласие отдельно от иной информации и документов, которые подтверждает или подписывает субъект.
Оператор должен уметь доказать получение согласия. Поэтому важно сохранять не только отметку «да», но и версию текста, дату, время, действие пользователя и технические сведения, позволяющие связать подтверждение с конкретной формой.
Cookie — это технология, а не самостоятельная категория персональных данных во всех случаях. Правовая оценка зависит от содержимого идентификатора, возможности связать его с человеком, целей использования, получателей и других сведений, которые сервис получает одновременно.
Если необязательная аналитика уже загрузилась и передала данные до нажатия кнопки, надпись «Продолжая пользоваться сайтом…» не меняет произошедшую обработку.
Каждую форму проверяют отдельно. У заявки на консультацию, подписки на новости, оформления заказа и отклика на вакансию разные цели, состав данных, сроки и основания.
Не запрашивайте дату рождения, адрес или должность, если для ответа достаточно имени и контакта.
Пользователь должен понимать, что произойдёт после отправки: звонок, расчёт, создание аккаунта или рассылка.
Ссылки должны открываться, вести на актуальные тексты и не быть скрыты за уже выполненным действием.
Рекламная подписка не должна становиться условием получения ответа или исполнения заказа без основания.
Установите, куда данные уходят из браузера: на почту, в CRM, мессенджер, таблицу, облако и системы подрядчиков.
Документ нельзя проверять отдельно от формы. Если текст обещает одну цель и одного получателя, а код отправляет данные ещё в три сервиса, проблема находится не в формулировке — нужно исправлять всю связку.
Татьяна Цыхманова Генеральный директор ООО «Онлайн услуги 24»Проверьте, согласованы ли между собой сайт, реестр Роскомнадзора, документы и реальные процессы.
Текст политики часто перечисляет только владельца сайта, хотя фактически данные получают конструктор форм, CRM, сервис рассылок, хостинг, облако, техническая поддержка и другие лица. Для каждого участника нужно определить роль и основание доступа.
Простая фраза «мы можем передавать данные партнёрам» не заменяет определение получателей, целей и правовой модели. А название сервиса в политике не исправляет отсутствие необходимых условий в договоре с ним.
При сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных, находящихся на территории РФ, кроме установленных законом случаев.
Проверять нужно не только хостинг страницы. Форма может быть размещена на российском сайте, но передавать введённые сведения напрямую в иностранный облачный сервис. В таком случае местонахождение статических файлов ничего не говорит о первой базе данных.
Подробнее: аудит и исправление сайта по 152-ФЗ и уведомление о трансграничной передаче.
По общему правилу оператор до начала обработки персональных данных уведомляет Роскомнадзор. Исключения перечислены в части 2 статьи 22 Закона № 152-ФЗ и после 2022 года являются узкими. Само наличие или отсутствие сайта не определяет обязанность: учитывается вся обработка оператора.
Уведомление не размещают публично на сайте. Его направляют в Роскомнадзор, после чего сведения вносятся в реестр операторов. При этом содержание записи должно совпадать с политикой, формами, системами и фактическими процессами.
Практический порядок раскрыт в статье о регистрации в Роскомнадзоре в 2026 году и на странице услуги регистрации оператора.
У оператора могут быть десятки внутренних документов, но публичное размещение каждого из них не требуется и иногда создаёт риск раскрытия лишней информации.
Эти материалы разрабатывают, утверждают, используют и предоставляют в предусмотренных случаях, но не выкладывают вместо публичной политики. Для полного комплекта организации используется отдельная услуга разработки документов по персональным данным.
При сборе персональных данных через сайт обязателен доступ к политике оператора. Для конкретных функций могут понадобиться отдельные согласия, тексты для форм, рекламное согласие и документы о cookie. Универсального одинакового комплекта для всех сайтов нет.
Не всегда. Политика информирует о модели обработки, но не заменяет согласие там, где оно является основанием, договоры с подрядчиками, уведомление Роскомнадзора и технические настройки сайта.
Сначала определяется правовое основание конкретной обработки. Если используется согласие или оно прямо требуется законом, его нужно оформить и получить надлежащим образом. Для части операций основанием может быть договор, действие до заключения договора по инициативе человека или закон.
С 1 сентября 2025 года статья 9 требует оформлять согласие отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Поэтому общее подтверждение пользовательских условий не следует использовать как замену отдельному согласию.
Закон № 152-ФЗ не устанавливает документ с таким обязательным названием для любого сайта. Но оператор должен прозрачно описывать обработку, а при использовании согласия обеспечить реальный выбор. Отдельная политика cookie часто делает эту информацию понятнее.
Нет, если баннер используется как механизм согласия. Нужно проверить, какие скрипты загружаются до выбора, работает ли отказ, можно ли изменить решение и фиксируется ли сделанный выбор.
Как правило, нет. Приказы, журналы, перечни доступов, модели угроз и внутренние инструкции не публикуют. Их используют внутри организации и предоставляют в предусмотренных законом случаях.
Обязанность зависит от всей обработки оператора и применимости узких исключений статьи 22. Для большинства коммерческих сайтов с электронными формами вопрос уведомления необходимо проверить отдельно.
Можно использовать его только как основу для анализа. До публикации необходимо заменить не только реквизиты, но и цели, данные, основания, сервисы, получателей, сроки и фактические маршруты обработки.
После подключения новой формы, аналитики, CRM, чата, платёжного сервиса, подрядчика или изменения целей. Полезно также проводить периодическую сверку сайта, документов, реестра и фактических процессов.
Нормативная информация проверена 5 сентября 2026 года. Конкретный комплект определяется функциями сайта, категориями данных, целями, основаниями и используемыми сервисами.
Определим необходимый состав документов, учтём цели, сервисы и подрядчиков и подготовим тексты для размещения на сайте.
