Персональные данные на сайте: что обязан сделать ИП и малый бизнес, чтобы не получить штраф

Если на сайте есть форма «Оставьте телефон — перезвоним», вы уже обрабатываете персональные данные и на вас распространяется 152-ФЗ. Роскомнадзор проверяет сайты дистанционно, штрафы за «мелочи» растут каждый год. Ниже — минимальный обязательный набор без юридического тумана. Важно: суммы штрафов и детали меняются, перед публикацией проверьте актуальные редакции закона или уточните у юриста.

Кто такой «оператор» и почему это вы

Оператор — любой, кто собирает и использует данные людей: имя, телефон, e-mail, IP-адрес, cookies, данные заявок. Собираете заявки с сайта, ведёте базу клиентов в Excel, записываете на приём — вы оператор. Это не зависит от формы бизнеса: ИП, самозанятый, ООО — все.

Что обязательно должно быть на сайте

1. Политика обработки персональных данных

Отдельная страница, ссылка на неё — в подвале каждой страницы и рядом с формами. В ней: кто оператор (название, ИНН, контакты), какие данные собираете, зачем, на каком основании, как долго храните, кому передаёте (хостинг, платёжка, CRM), как удалить свои данные. Шаблоны есть, но адаптируйте под себя: перечень данных и целей должен совпадать с реальностью.

2. Согласие на обработку у каждой формы

Галочка (не проставленная заранее!) с текстом вроде «Нажимая кнопку, даю согласие на обработку персональных данных в соответствии с Политикой» — со ссылкой на политику. Допустим вариант без галочки с явной надписью под кнопкой, но галочка надёжнее. Для рассылок — отдельное согласие на получение рекламы.

3. Уведомление о cookies

Если стоят Метрика, пиксели, чаты — вы собираете cookies и IP. Плашка «Мы используем cookies…» со ссылкой на политику и кнопкой «Понятно». Практика РКН: лучше, чтобы она была.

4. Реквизиты оператора

В подвале и в политике: наименование, ИНН, контакт для обращений по ПДн (e-mail). Анонимный сайт с формой — первое, на что обращают внимание.

5. Хранение данных в России

Базы с данными россиян должны физически храниться на серверах в РФ. Если сайт на зарубежном хостинге или формы улетают в зарубежный сервис — это нарушение. Переезд в РФ решает проблему.

Нужно ли уведомлять Роскомнадзор

С 2022 года обязанность подать уведомление об обработке персональных данных распространяется почти на всех операторов, включая ИП с простым сайтом с формой; исключений осталось очень мало. Подаётся бесплатно через сайт РКН (электронно, с Госуслугами) — 20–30 минут. С 2025 года за неподачу уведомления ввели отдельные штрафы. Если сомневаетесь, относитесь ли к исключениям — подайте: это проще и дешевле, чем спорить.

Штрафы: порядок цифр

Статья 13.11 КоАП: за обработку без согласия, за отсутствие политики/её неопубликование, за неподачу уведомления — от нескольких тысяч для физлиц до десятков тысяч для ИП/должностных лиц и до сотен тысяч для юрлиц за каждое нарушение; за утечки — ещё больше (вплоть до оборотных штрафов). Суммы регулярно повышают, точные значения смотрите в актуальной редакции КоАП. Практический вывод: набор из четырёх пунктов выше стоит один вечер, штраф — в разы дороже.

Как сделать самому за вечер

1. Напишите политику по структуре выше (возьмите за основу любой нормальный шаблон и честно опишите свой сайт). Разместите на отдельной странице /privacy.
2. Добавьте ссылку на неё в подвал и рядом со всеми формами; в формы — галочку согласия.
3. Поставьте cookie-плашку (во многих CMS есть готовые плагины; на своём сайте — 20 строк JS).
4. Проверьте, где хранятся данные: хостинг в РФ, формы не уходят в зарубежные сервисы без необходимости.
5. Подайте уведомление в РКН через сайт ведомства.
6. Заведите файл: приказ о назначении ответственного, перечень данных, модель угроз — для ИП это короткие документы «на всякий случай».

Когда проще доверить нам

«Пакет ПДн» — политика под ваш сайт, согласия во всех формах, cookie-плашка, реквизиты в подвале, при необходимости перенос форм/хостинга в РФ и помощь с уведомлением — обычно 1–2 часа работ. Входит в сопровождение; отдельно — по почасовой ставке из прайса.