Многие предприниматели уверены, что закон о персональных данных касается только банков и крупных корпораций. Это не так: он распространяется практически на любой сайт с формой обратной связи. Разбираем, что нужно знать до начала разработки, чтобы потом не платить штрафы и не переделывать проект.
Что такое персональные данные и почему они есть у вас
Федеральный закон № 152-ФЗ «О персональных данных» определяет их широко: это любая информация, которая прямо или косвенно относится к конкретному человеку. Это не только паспорт и адрес.
- имя, телефон, e-mail, которые клиент оставил в форме заявки;
- данные личного кабинета: логин, история заказов, адреса доставки;
- IP-адрес, cookie-файлы, идентификаторы устройства, геолокация;
- биометрия (лицо, голос, отпечаток), для которой действуют особые правила.
Если на сайте есть кнопка «Перезвоните мне», регистрация, подписка на рассылку, онлайн-оплата или метрика посещений, вы уже обрабатываете персональные данные. А значит, вы — оператор персональных данных и отвечаете перед законом.
Главное: ответственность на вас, а не на разработчике
Это самое частое заблуждение. Закон возлагает обязанности на владельца сайта или приложения, то есть на заказчика. Подрядчик может и должен сделать продукт «правильным» технически, но оператором остаётесь вы. Поэтому требования закона лучше обсуждать на старте проекта, когда изменения обходятся дёшево, а не после запуска.
Что требует закон: пять вещей, которые нужны почти каждому проекту
1. Данные россиян хранить в России
Первичный сбор, запись, систематизация, накопление, хранение и уточнение персональных данных граждан РФ должны происходить в базах данных на территории России. Хостинг и облако за рубежом для таких данных — прямой риск. На практике это решается выбором российского хостинга или дата-центра ещё на этапе проектирования архитектуры.
2. Согласие на обработку — отдельным документом
С 1 сентября 2025 года согласие на обработку данных нужно оформлять отдельно, а не прятать в пользовательском соглашении или оферте. В форме должен быть чекбокс (не отмеченный по умолчанию) со ссылкой на текст согласия. В согласии указывают, кто оператор, какие данные собираются, для чего и на какой срок, как отозвать согласие.
3. Политика обработки персональных данных на сайте
Документ с описанием того, какие данные вы собираете, зачем, как храните и кому передаёте, должен быть опубликован и доступен с каждой страницы, где собираются данные. Для мобильного приложения ссылка на политику нужна на экране регистрации и в карточке в магазине приложений.
4. Cookie и аналитика
Cookie, IP и данные счётчиков аналитики рассматриваются как персональные данные. Нужны уведомление о cookie, возможность принять или отказаться и описание этой обработки в политике. Подключённые сторонние сервисы (карты, виджеты, чаты, метрики) тоже нужно учитывать: часть из них передаёт данные за рубеж.
5. Уведомление Роскомнадзора
Оператор обязан уведомить Роскомнадзор о начале обработки персональных данных. Отдельное уведомление нужно, если планируется трансграничная передача, например при использовании иностранных сервисов. Перед запуском проекта проверьте, нужно ли оно вам, и подайте до начала сбора данных.
- назначить ответственного за организацию обработки персональных данных;
- ответить на запрос человека о его данных в срок, установленный законом (сейчас это 10 рабочих дней);
- защищать данные: разграничение доступа, шифрование, резервные копии, журналирование;
- при утечке уведомить Роскомнадзор в сжатые сроки (в первые сутки, затем с результатами внутреннего расследования).
Чем рискуете: штрафы и не только
Размеры наказаний за последние годы выросли многократно. Ниже ориентиры по статье 13.11 КоАП РФ. Точные суммы зависят от состава нарушения, объёма данных, повторности и меняются, поэтому перед принятием решений сверяйтесь с действующей редакцией.
| Ситуация | Чем грозит |
|---|---|
| Обработка данных без корректного согласия, отсутствие политики на сайте | Штрафы для организаций исчисляются сотнями тысяч рублей, при повторном нарушении — больше |
| Данные россиян хранятся не в России | Штрафы до миллионов рублей, при повторе — до десятков миллионов; возможна блокировка ресурса |
| Утечка персональных данных | Штрафы начинаются с миллионов рублей и растут с числом пострадавших; при повторных утечках предусмотрены оборотные штрафы (процент от выручки) |
| Незаконная обработка и утечки в особо серьёзных случаях | Уголовная ответственность |
Добавьте к этому репутационные потери: утечка клиентской базы или блокировка сайта обходятся бизнесу дороже самого штрафа. А Роскомнадзор активно использует автоматизированный мониторинг сайтов, так что нарушение могут заметить без жалоб и без плановой проверки.
Как это влияет на разработку и бюджет
Требования закона — это не «бумажки после запуска», а часть технического задания.
- Архитектура. Где физически находятся сервер и база данных, какие внешние сервисы подключены.
- Интерфейс. Чекбоксы согласия, баннер cookie, страницы политики и согласий, возможность удалить аккаунт и данные.
- Безопасность. Роли и права доступа, защита каналов передачи, хранение паролей в виде хеша, резервное копирование.
- Процессы. Кто и как отвечает на запросы пользователей, что делать при инциденте.
Закладывая это с самого начала, вы добавляете к проекту небольшую долю работ. Если делать то же самое «по требованию проверки» на готовом продукте, придётся переделывать архитектуру, переносить данные и менять формы, а это заметно дороже.
Чек-лист заказчика перед стартом проекта
- Составьте список данных, которые вы будете собирать, и объясните себе, зачем нужен каждый пункт. Лишнее не собирайте.
- Решите, где будут храниться данные (российский хостинг или дата-центр).
- Перечислите сторонние сервисы: аналитика, рассылки, платёжные системы, чаты, карты. Выясните, куда они передают данные.
- Подготовьте или закажите у юриста политику обработки и текст согласия.
- Проверьте, нужно ли подавать уведомление в Роскомнадзор.
- Назначьте ответственного внутри компании.
- Убедитесь, что подрядчик учёл всё это в техническом задании и смете.
Поможем сделать всё правильно с первого раза
В ООО «Эваз» мы разрабатываем сайты и приложения и сразу закладываем в проект требования законодательства о персональных данных: от выбора инфраструктуры до форм согласия и защиты данных. Расскажите о задаче, и мы подскажем, как построить продукт, чтобы он был удобным для клиентов и безопасным для вас.