Обработка персональных данных на сайте: образец и требования
Содержание
- Что такое персональные данные
- Что такое обработка персональных данных и кто их обрабатывает
- Как оформить сбор персональных данных на сайте
- Образец политики обработки персональных данных для сайта
- Чек-лист: как привести сайт в соответствие с 152-ФЗ
- Что изменилось в 2025 году: новые требования к обработке персональных данных
- Обработка персональных данных на сайте: частые вопросы
- Итог
Проверить, соответствует ли сайт 152-ФЗ проще, чем кажется! Любая форма на сайте — это уже работа с персональными данными. Чтобы избежать штрафов и утечек, важно оформить документы и защитить информацию правильно.
Команда WEB-AiM поможет подготовить политику обработки персональных данных, настроить согласия и сделать сайт полностью безопасным и законным.
Что такое персональные данные
Чтобы понимать, как именно оформлять документы на сайте, нужно разобраться, что вообще считается персональными данными.
Согласно Федеральному закону №152-ФЗ «О персональных данных», это любая информация, по которой можно прямо или косвенно определить личность человека.
Проще говоря, персональные данные — это не только фамилия и имя. К ним относятся электронный адрес, номер телефона, IP-адрес, геолокация, данные из форм обратной связи, cookie-файлы и даже история заказов, если по ней можно идентифицировать пользователя.
| Тип данных | Примеры на сайте | Нужно согласие? |
|---|---|---|
| Идентификационные | ФИО, дата рождения | Да |
| Контактные | Электронный адрес, телефон, мессенджеры | Да |
| Технические | IP-адрес, cookie, User-Agent, геолокация | Да (уведомление + согласие на cookie/метрику) |
| Коммерческие | История заказов, корзина, рекламации | Да |
| Биометрические* | Изображение лица, голос (если обрабатываются) | Да, по особым правилам |
* Биометрия регулируется отдельно; см. раздел про изменения 2025 года.
Нормативная база: 152-ФЗ «О персональных данных»,
КоАП РФ ст. 13.11, 420-ФЗ от 30.11.2024,
Приказ Роскомнадзора №128 от 05.08.2022.
Если такие сведения обрабатываются без согласия владельца или без надлежащей защиты, возникает угроза безопасности — утечка, несанкционированный доступ или использование данных третьими лицами. Поэтому компания, которая собирает любую информацию о пользователях через сайт, обязана действовать строго в рамках законодательства и обеспечить технические и организационные меры защиты.Что такое обработка персональных данных, и кто их обрабатывает
Обработка персональных данных — это любые действия с информацией о пользователе: сбор, запись, систематизация, хранение, уточнение, передача и даже удаление. Если человек оставил контакты в форме на сайте, подписался на рассылку или оформил заказ, — его данные уже попали в процесс обработки.
Оператор персональных данных (ОПД) — это компания или индивидуальный предприниматель, который организует этот процесс и несет за него ответственность. Даже если вы не храните информацию на своих серверах, а используете сторонние сервисы (например, CRM или форму обратной связи через облако), оператором всё равно являетесь вы, потому что именно ваша организация решает, зачем и как эти данные используются.
Данные могут собираться открыто: через формы регистрации, подписки, опросы, заказы. Но есть и скрытые методы сбора персональных данных: например, через системы аналитики, cookie-файлы, онлайн-чаты и CRM-трекинг звонков. В обоих случаях нужно уведомлять пользователей, что такие инструменты применяются.
Нарушения в этой сфере могут привести к серьезным последствиям. За неправильную обработку или отсутствие согласия предусмотрены штрафы по статье 13.11 КоАП РФ: для ИП — до 20 000 рублей, для юридических лиц — до 75 000 рублей. А при повторном нарушении штраф может быть выше, и дополнительно возможна блокировка сайта до устранения нарушений.
Чтобы избежать штрафа и защитить репутацию, важно не только разместить на сайте политику обработки персональных данных, но и реально соблюдать ее требования: запрашивать согласие, ограничивать доступ сотрудников, следить за безопасностью хранения и передачей информации.
Как оформить сбор персональных данных на сайте
Сбор данных на сайте должен быть прозрачным и соответствовать закону. Если вы принимаете заказы, формы обратной связи или заявки, значит, уже работаете с персональными данными. Чтобы все было корректно и без рисков, нужно оформить несколько ключевых документов и процедур.
Политика конфиденциальности
Это основной документ, который описывает, какие данные вы собираете, зачем и как их защищаете. Здесь указываются цели обработки, способы хранения, сроки и порядок удаления информации. Также в политике должны быть обозначены правила трансграничной передачи персональных данных, если данные пользователей могут оказаться на серверах за пределами России.
О том, какие документы должны быть на сайте, мы писали здесь
Правила работы с персональными данными
Этот документ регулирует внутренние процессы: кто из сотрудников имеет доступ, как контролируется хранение и кто отвечает за безопасность. Он помогает поддерживать соблюдение требований 152-ФЗ и минимизировать человеческий фактор.
Согласие на обработку персональных данных
Каждая форма на сайте — от подписки до онлайн-заявки — должна сопровождаться чекбоксом или кнопкой, означающей, что пользователь дает согласие на обработку данных. Лучше сделать текст коротким и понятным, со ссылкой на полную политику конфиденциальности.
Обязательство о неразглашении персональных данных
Если к обработке допускаются сотрудники или подрядчики (например, техподдержка, маркетологи), они подписывают обязательство о неразглашении. Это особенно важно, если данные содержат личные телефоны, адреса, историю заказов или платежные сведения.
Оценка возможного вреда при утечке персональных данных
Компании рекомендуется заранее провести оценку рисков: какие последствия возможны при потере или утечке данных, как быстро можно будет их устранить. Это не только элемент внутренней безопасности, но и аргумент в пользу доверия при проверках Роскомнадзора.
Как выбрать место хранения данных
Хранить персональные данные нужно на серверах, физически расположенных на территории России. Если используется облачный хостинг, важно уточнить у провайдера, где именно находятся серверы. Для особо чувствительной информации можно применять обезличивание данных — замену идентификаторов (имени, телефона) на условные значения, чтобы снизить риск компрометации.
- Попросите у провайдера документ с адресами дата-центров и классом защиты.
- Проверьте, где физически расположен сервер аккаунта (dashboard/кабинет провайдера).
- Если используется зарубежное облако — опишите это в политике, получите согласие на трансграничную передачу, подключите DPA (юридическое приложение к основному договору, где прописано, как именно подрядчик будет защищать, хранить и использовать персональные данные ваших пользователей)
Образец политики обработки персональных данных для сайта
Политика обработки персональных данных — это документ, который подтверждает, что компания собирает и хранит информацию пользователей в соответствии с требованием закона. Он должен быть на каждом сайте, где происходит заполнение формы, оформление заказа или регистрация.
Из чего состоит политика
Обычно документ содержит следующие разделы:
- Общие положения. Указывается оператор персональных данных (название компании, адрес, контактные данные).
- Цели обработки. Например: прием заявок, выполнение договорных обязательств, обратная связь с пользователем.
- Состав персональных данных. Какие именно сведения собираются: ФИО, электронный адрес, телефон, IP-адрес, cookie-файлы и др.
- Порядок и условия обработки. Здесь описываются методы хранения, сроки, передача третьим лицам, включая трансграничную передачу.
- Права субъектов персональных данных. Пользователь имеет право узнать, какие данные о нем хранятся, запросить уточнение или удаление.
- Меры защиты данных. Технические и организационные меры для предотвращения утечек и несанкционированного доступа.
- Ответственность оператора. Кто отвечает за соблюдение правил и какие санкции возможны при нарушении.
Как правильно составить
Политику можно оформить как отдельный документ в формате PDF или разместить её прямо на сайте в виде отдельной страницы. Важно, чтобы текст был написан понятным языком, без избыточных юридизмов. Документ должен быть доступен всем пользователям — без регистрации и дополнительных переходов.
При необходимости стоит добавить пункт о согласии на обработку персональных данных физического лица, если пользователи — частные клиенты, а не компании.