Автор: Анатолий из Web-Crazy

Дата публикации: 19.05.2025 Дата последней редакции: 20.05.2025

Приводим сайт в соответствие к 152-ФЗ и направляем уведомление в Роскомнадзор

Федеральный закон № 152-ФЗ «О персональных данных», ставший неотъемлемой частью правового ландшафта для владельцев и пользователей интернет-ресурсов, продолжает развиваться и совершенствоваться. В рамках его эволюции увеличиваются размеры штрафных санкций за нарушение требований закона, а меры по контролю за соблюдением нормативных актов со стороны операторов сайтов усиливаются, что требует повышенного внимания и ответственности.

Команда Web-Crazy с целью помочь вам оставаться в полном соответствии с действующим законодательством подготовила сжатую, но информативную инструкцию по подготовке вашего сайта к новым требованиям и по правильной процедуре подачи уведомления в Роскомнадзор, обеспечивая безопасность и законность вашей деятельности в цифровом пространстве.

Мы расскажем:

1. Что должно быть на сайте для соответствия 152-ФЗ
2. Про особенности использования внешних сервисов совместно с сайтом
3. Как владельцу сайта подать уведомление в Роскомнадзор

Важное уточнение: у Роскомнадзора нет чёткого технического задания, но имеется ряд условий, которые сайт должен выполнять. Выполнить эти условия можно по-разному. В данной статье мы отразили универсальный вариант, который подойдёт для сайтов.

Что должно быть на сайте для соответствия 152-ФЗ

Советуем разместить на сайте:

1. Политику конфиденциальности персональных данных
2. Согласие на обработку персональных данных
3. Чек-бокс на формах обратной связи с согласием обработки персональных данных
4. «Всплывашку» с подтверждением согласия на использования cookie и обработку персональных данных
5. Информацию в подвале (footer) сайта

Политика конфиденциальности персональных данных для сайта

Политика конфиденциальности персональных данных для сайта — это официальный документ, в котором описываются правила и условия обработки, хранения и защиты личной информации пользователей, собираемой через сайт. Этот документ регулирует отношения между владельцем сайта и его посетителями, устанавливая порядок сбора, использования, передачи и хранения персональных данных.

Пример: https://web-crazy.ru/politika-konfidentsialnosti/

Согласие на обработку персональных данных для пользователей сайта

Кто-то объединяет данную страницу с «Политикой конфиденциальности персональных данных», но мы рекомендуем перестраховаться и сделать дополнительный информационный раздел. Согласие на обработку персональных данных для пользователей сайта — это добровольное и информированное разрешение, которое пользователь дает владельцу сайта на сбор, хранение и использование своих личных данных в соответствии с требованиями законодательства

Пример: https://web-crazy.ru/soglasie-na-obrabotku-personalnyh-dannyh/

Чек-бокс на формах обратной связи с согласием обработки персональных данных

Это нужно сделать для всех вариантов форм обратной связи на вашем сайте. Не забудьте добавить ссылки на «Политику конфиденциальности персональных данных» и «Согласие на обработку персональных данных».

Пример на картинке ниже:

«Всплывашка» с подтверждением согласия на использования cookie и обработку персональных данных

Данное уведомление должно появляться для всех посетителей сайта и иметь возможность подтверждения согласия для пользователя. Не забудьте добавить ссылку на «Согласие на обработку персональных данных».

Пример на картинке ниже:

Информация в подвале (footer) сайта

В подвале сайта мы рекомендуем разместить ссылку на страницу «Политику конфиденциальности персональных данных» и, если позволяет дизайн, на «Согласие на обработку персональных данных». Не лишним будет продублировать текст про cookie, добавить информацию про публичную оферту (437 ГК РФ) и указать условия копирования информации с сайта.

Примеры на картинках ниже:

Особенности использования внешних сервисов совместно с сайтом

Помимо того, что ваш сайт собирает персональные данные их также могут собирать внешние сервисы, интегрируемые с сайтом. Самый распространённый вариант – сервисы аналитики, например, Яндекс Метрика. Информация об этом должна быть отражена в «Политике конфиденциальности персональных данных».

Пример как прописать Яндекс Метрику можете посмотреть тут: https://web-crazy.ru/politika-konfidentsialnosti/

Яндекс Вебмастер и Google Search Console, на сколько нам удалось выяснить, прописывать нигде не нужно т.к. сервисы не обрабатывают персональные данные (собранные сведения поступают исключительно из поисковых систем, а не с сайта).

Google Analytics собирает персональные данные и, более того, попадёт под «требования о трансграничной передаче персональных данных». Проще просто удалить данный сервис с сайта.

Прочие сервисы сквозных аналитик и т.п. по логике тоже нужно прописывать в «Политике конфиденциальности персональных данных» если таковые используются. В зависимости от особенностей сервиса, требуется подготовить уникальную формулировку под него.

Как владельцу сайта подать уведомление в Роскомнадзор

Ниже мы рассмотрим самый простой на наш взгляд способ – подача уведомления онлайн. Сделать это можно по ссылке https://pd.rkn.gov.ru/operators-registry/notification/form/ выбрав «Сформировать уведомление и направить в электронном виде с использованием усиленной квалифицированной электронной подписи».

Там вас будет ждать местами мудрёная анкета. Мы подготовили «тезисную шпаргалку» по каждому пункту. Однако, если у вас есть возможность проконсультироваться с юристом, то можете дополнительно подстраховаться.

Что и как заполнить для коммерческого сайта:

• Регион регистрации: выбрать регион вашего ООО, ИП и т.д
• Тип оператора: указать ИП, юрлицо, физлицо и т.п.
• Сокращенное наименование оператора: необязательное поле, заполняется в зависимости от типа оператора.
• Адрес оператора: ваш юридический адрес ИП, ООО, физлица или т.п.
• Телефон, факс, почта: ваши данные.
• Регионы обработки: тут логичнее выбрать все субъекты Российской Федерации.
• ИНН, ОГРН и прочее: ваши данные.
• Цель обработки ПД: для коммерческих сайтов рекомендуем указать «Продвижение товаров, работ, услуг на рынке».
• Категории персональных данных: для коммерческих сайтов рекомендуем выбрать поля «фамилия, имя отчество»; «адрес электронной почты»; «номер телефона».
• Категории субъектов, персональные данные которых обрабатываются: для коммерческих сайтов рекомендуем выбрать поля «Контрагенты»; «Представители контрагентов»; «Клиенты»; «Посетители сайта».
• Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
• Перечень действий: сбор; систематизация; хранение; извлечение; передача (предоставление, доступ); уничтожение; запись; накопление; уточнение (обновление, изменения); использование; обезличивание; удаление.
• Способы обработки: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети интернет.
• Описание мер, предусмотренных статьями 18.1. и 19 Федерального закона «О персональных данных»: 1) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных; 2) применение технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных; 3) применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; 4) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных; 5) обнаружение фактов несанкционированного доступа к персональным данным и принятием мер; 6) контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.
• Cредства обеспечения безопасности: использование антивирусных средств защиты информации (Kaspersky Small Office Security).
• Использование шифровальных (криптографических) средств: не используются
• Ответственный за организацию обработки персональных данных: данные физлица ИП, гендиректора ООО или т.п.
• Дата начала обработки персональных данных: многие рекомендуют ставить дату подачи уведомления.
• Срок или условие прекращения обработки персональных данных: ликвидация ИП; ликвидация ООО и т.п.
• Осуществление трансграничной передачи персональных данных: не осуществляется.
• Сведения о местонахождении базы данных информации, содержащей персональные данные граждан РФ: тут нужно указать данные хост-провайдера. Например, для Рег.ру будет страна – Россия; адрес ЦОДа г. Москва, Академика Курчатова Площадь, дом 1.
• Собственный ЦОД: нет.
• Сведения о лицах, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах: для коммерческих сайтов пропускается.
• Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ: 1) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных; 2) применение технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных; 3) применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; 4) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных; 5) обнаружение фактов несанкционированного доступа к персональным данным и принятием мер; 6) контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.
• ФИО исполнителя / Должность / Контактная информация исполнителя: данные физлица ИП, гендиректора ООО или т.п.

Далее, при личном подписании, выбирается пункт «уведомление будет подписано лицом, имеющим право действовать без доверенности от имени оператора». Ставятся галочки и подписываются электронное уведомление.

P.S. Данная инструкция по Федеральному закону № 152-ФЗ «О персональных данных» подготовлена на основе обобщенных данных и не претендует на абсолютную точность, поскольку в настоящее время у Роскомнадзора отсутствуют строго регламентированные требования к сайтам. В этой статье мы привели пример заполнения документов для типового коммерческого проекта, чтобы помочь вам ориентироваться в процессе. Однако, если у вас есть возможность проконсультироваться с юристом или иным специалистом, обладающим необходимой компетенцией, настоятельно рекомендуем сделать это для обеспечения полной соответствия требованиям законодательства и защиты ваших интересов.