Требования 152-ФЗ к сайту
По каждому: статья закона, как проверить самому и как исправить.
| Требование | Коротко |
|---|---|
| Политика обработки персональных данных на сайте | Сайт, который собирает данные, публикует политику их обработки так, чтобы её мог открыть любой посетитель.152-ФЗ, ст. 18.1, ч. 2 |
| Согласие на обработку персональных данных отдельным документом | С 1 сентября 2025 года согласие нельзя прятать внутри политики, оферты или пользовательского соглашения.152-ФЗ, ст. 9, ч. 1 (четвёртое предложение введено Федеральным законом от 24.06.2025 № 156-ФЗ, действует с 01.09.2025) |
| Чекбокс согласия в форме заявки: как оформить | Галочка не отмечена заранее, без неё форма не отправляется, рядом — ссылки на согласие и политику.152-ФЗ, ст. 9, ч. 1 |
| «Нажимая кнопку, вы соглашаетесь…»: почему так больше нельзя | Подпись под кнопкой не заменяет отдельной отметки согласия.152-ФЗ, ст. 9, ч. 1 |
| Как доказать, что посетитель сайта дал согласие | Доказывать согласие должен оператор, поэтому сервер записывает время, версию документа и IP вместе с заявкой.152-ФЗ, ст. 9, ч. 3 |
| Отзыв согласия на обработку персональных данных | Человек вправе отозвать согласие, и у оператора есть 30 дней, чтобы прекратить обработку и удалить данные.152-ФЗ, ст. 9, ч. 2 |
| Cookie-баннер: какие cookie можно ставить до согласия | Аналитические и рекламные cookie ставятся только после «Принять», технические — сразу.152-ФЗ, ст. 3, п. 1 |
| Политика cookie: что в ней написать | Отдельная страница о том, какие cookie ставит сайт, зачем и как от них отказаться.152-ФЗ, ст. 9, ч. 1 |
| Яндекс Метрика и согласие на cookie: как подключить правильно | Счётчик и Вебвизор запускаются только после того, как посетитель нажал «Принять».152-ФЗ, ст. 3, п. 1 |
| Пиксель Метрики в noscript: зачем его убирать | Картинка-пиксель внутри noscript грузится без всякого баннера, отложить её нельзя.152-ФЗ, ст. 9, ч. 1 |
| setUserID в Метрике: передача телефона и email в аналитику | Если в счётчик уходит телефон или почта посетителя, это уже передача персональных данных стороннему сервису.152-ФЗ, ст. 3, п. 1 |
| Трансграничная передача: Google Analytics, Google Fonts, reCAPTCHA на сайте | Подключённые зарубежные сервисы получают IP посетителя; о такой передаче уведомляют Роскомнадзор до её начала.152-ФЗ, ст. 12, ч. 3 |
| Локализация персональных данных: где хранить заявки с сайта | Данные граждан России при сборе записываются и хранятся в базах на территории России.152-ФЗ, ст. 18, ч. 5 (в ред. Федерального закона от 28.02.2025 № 23-ФЗ, действует с 01.07.2025) |
| Уведомление Роскомнадзора об обработке персональных данных: кто должен подать | Оператор до начала обработки подаёт уведомление в Роскомнадзор; сайт с формами почти всегда под это подпадает.152-ФЗ, ст. 22, ч. 1 |
| Реквизиты владельца сайта: что обязательно указать | Посетитель должен видеть, кто владеет сайтом и кто оператор его данных: наименование, адрес, почта.149-ФЗ «Об информации, информационных технологиях и о защите информации», ст. 10, ч. 2 |
| Запрос человека о его персональных данных: срок ответа | На запрос субъекта оператор отвечает в течение 10 рабочих дней, продлить можно ещё на 5.152-ФЗ, ст. 14 |
| Ответственный за организацию обработки персональных данных | Компания назначает человека, который следит за соблюдением закона и принимает обращения.152-ФЗ, ст. 18.1, ч. 1, п. 1 |
| Утечка персональных данных с сайта: что сообщить в Роскомнадзор и когда | Первое уведомление — в течение 24 часов, результаты расследования — в течение 72 часов.152-ФЗ, ст. 21, ч. 3.1 |