152-ФЗ и форма на сайте: чек-лист на 2026 год

С сентября 2025 года правила сбора персональных данных заметно ужесточились, а штрафы выросли до 3 млн ₽ для юридических лиц. При этом почти на каждом втором сайте малого бизнеса форма заявки оформлена по привычке: одна галочка «согласен со всем» и ссылка на политику. Разбираем, что должно быть на сайте в 2026 году, и даём чек-лист, по которому можно проверить свой за полчаса.

Что изменилось за последний год

• Согласие на обработку данных стало отдельным документом: его нельзя прятать внутрь договора или пользовательского соглашения
• Согласие на рекламную рассылку отделено от согласия на обработку: одна галочка на всё больше не подходит
• Максимальный штраф для юрлиц вырос до 3 млн ₽, для должностных лиц — до 300 тысяч
• Регистрация в реестре операторов персональных данных проверяется: уведомление подаётся до начала обработки

Минимум, который должен быть на сайте

1. 01

   Политика обработки персональных данных

   Отдельная страница, доступная с каждой формы и из подвала. В ней — кто оператор, какие данные собираются, зачем, сколько хранятся и как их удалить.

2. 02

   Отдельное согласие у формы

   Галочка без предустановленной отметки, рядом — короткий текст и ссылка на политику. Формулировка должна называть цель: «чтобы ответить на заявку».

3. 03

   Отдельная галочка на рассылку

   Если планируете писать письма и сообщения с предложениями, нужно самостоятельное согласие. Без него рассылка — это нарушение.

4. 04

   Фиксация факта согласия

   Сохраняйте дату, время и текст, который человек видел. Это единственный способ доказать, что согласие было получено.

5. 05

   Уведомление в Роскомнадзор

   Подаётся до начала обработки данных. Для сайта с формой заявки это обязательная формальность.

Как формулировать текст у формы

Короткая формулировка работает лучше юридической простыни: её читают, а значит, согласие осознанное. Ниже — рабочий вариант, который закрывает требования и не отпугивает.

Что считается персональными данными в форме

Что должно быть в политике

Политику обычно копируют у соседа по отрасли, и в этом главная ошибка: документ описывает вашу обработку данных, а не чужую. Минимальная структура, которую потом заполняют под себя.

1. 01Кто оператор: название, ИНН, адрес, контакт для обращений
2. 02Какие данные собираются: перечислить по каждой форме и по боту отдельно
3. 03Зачем: ответ на заявку, выполнение договора, рассылка — по каждой цели своё основание
4. 04Кому передаются: CRM, сервис рассылок, аналитика, платёжный сервис — со ссылками на их политики
5. 05Сколько хранятся и что происходит после истечения срока
6. 06Как человек может получить, исправить или удалить свои данные и за какой срок вы ответите
7. 07Что происходит с cookie и данными аналитики

Согласие в боте и в мессенджере

Бот собирает те же данные, что и форма, поэтому правила те же. Технически это делается одним экраном в начале диалога.

1. 01

   Первое сообщение

   Короткий текст: какие данные собираем и зачем, ссылка на политику, кнопка «Согласен, продолжить».

2. 02

   Отказ тоже работает

   Вторая кнопка — «Не согласен». Бот отвечает, как связаться иначе: телефон или почта.

3. 03

   Фиксация

   Сохраняем идентификатор пользователя, дату, время и версию текста, который он видел.

4. 04

   Рассылка отдельно

   Если планируете писать о новинках, спрашивайте отдельно и позже, а не в том же экране.

Если данные всё-таки утекли

Сценарий неприятный, но иметь его написанным лучше, чем импровизировать. Срок на уведомление регулятора короткий, и отсчёт идёт с момента, когда об утечке стало известно.

• Зафиксировать факт: что произошло, какие данные, сколько человек затронуто
• Закрыть источник утечки: сменить ключи и пароли, отозвать доступы
• Уведомить регулятора в установленный срок
• Сообщить людям, чьи данные затронуты, если риск для них существенный
• Разобрать причину и внести правки в процессы, а не только в код

Техническая сторона: что проверить у подрядчика

• Галочка согласия не отмечена по умолчанию и не даёт отправить форму без неё
• Текст согласия и дата сохраняются вместе с заявкой
• Политика открывается с каждой формы и из подвала сайта
• Данные передаются по HTTPS, сертификат не просрочен
• Заявки не уходят в сервисы, которые хранят данные за пределами России, без отдельного основания
• Есть процедура удаления данных по запросу человека и ответственный за это
• В аналитику не уходят телефон и почта в открытом виде

Аналитика и сторонние сервисы

Про форму помнят, про счётчики забывают. Между тем аналитика, чат на сайте, сервис рассылок и коллтрекинг тоже получают данные посетителей, и это нужно отразить в документах.

Отдельный вопрос — где физически хранятся данные. Базы с персональными данными россиян должны находиться на серверах в России, и это влияет на выбор CRM, хостинга и сервиса рассылок сильнее, чем цена подписки.

Частый случай: форма в боте и в мессенджере

Про сайт помнят, про бота забывают. Если Telegram-бот собирает телефон и имя, это та же обработка персональных данных: нужен текст согласия и ссылка на политику в самом боте, а не только на сайте. Практичный приём — первое сообщение бота с коротким пояснением и кнопкой «Согласен, продолжить».