Политика конфиденциальности для сайта: что требует закон в 2026 году

Если на сайте есть форма заявки, корзина, личный кабинет или счётчик посещаемости, вы собираете персональные данные — и становитесь оператором по закону № 152-ФЗ. Это касается и компании, и ИП, и самозанятого. Требования за последние полтора года заметно ужесточились: с 30 мая 2025 года выросли штрафы, с 1 июля 2025 года данные россиян нельзя собирать в зарубежные базы, а с 1 сентября 2025 года согласие на обработку оформляется только отдельно от других документов.

Разбираем, какие документы нужны сайту, что написать в политике конфиденциальности и в согласии, когда согласие вообще не требуется, что делать с cookie, Яндекс Метрикой и иностранными сервисами, кто должен уведомлять Роскомнадзор и какие штрафы грозят в 2026 году. Нормы — по текстам законов в редакциях, действующих в ноябре 2026 года.

Коротко: если сайт собирает данные, опубликуйте политику обработки персональных данных и поставьте ссылку на неё у каждой формы. Для заявок, рассылок и отзывов получайте согласие — отдельным текстом и отдельной пустой галочкой. Для оформления и доставки заказа согласие не нужно: основание — договор с покупателем. До начала работы подайте уведомление в Роскомнадзор: исключений для малого бизнеса почти не осталось, а штраф за неподачу — до 300 тысяч рублей. Заявки не должны сразу попадать в зарубежные сервисы. Роскомнадзор проверяет сайты с помощью своих информационных систем, поэтому шаблонная политика с чужими реквизитами — заметный риск.

Когда сайт обрабатывает персональные данные

Персональные данные — любая информация, по которой можно прямо или косвенно определить человека: имя, телефон, электронная почта, адрес доставки. Обработка — любое действие с ними, включая сбор и хранение. Поэтому оператором становится владелец сайта, как только посетитель отправляет форму:

• заявку или заказ обратного звонка;
• заказ в корзине;
• регистрацию в личном кабинете;
• подписку на рассылку;
• отзыв или комментарий с именем.

Закон не делает исключений для малого бизнеса. Оператором может быть и организация, и физическое лицо, а освобождена только обработка данных «для личных и семейных нужд» — к приёму заявок от клиентов это не относится.

Про cookie и IP-адреса в законе прямо ничего не сказано, официального разъяснения Роскомнадзора на этот счёт мы не нашли. Но на практике счётчики посещаемости считают обработкой персональных данных: например, в одном из дел 2026 года суд оштрафовал компанию, которая без правового основания собирала данные посетителей через формы, Яндекс Метрику и Google Analytics. Если на сайте нет ни форм, ни счётчиков, ни виджетов — только телефон и адрес, — через сайт данные не собираются. Но достаточно поставить счётчик или онлайн-чат, и ситуация меняется.

Какие документы и действия нужны

1. Политика обработки персональных данных — на страницах сайта, через которые собираются данные. Обязательна для всех операторов, включая ИП и самозанятых.
2. Согласие на обработку — там, где нет другого основания, например договора. С 1 сентября 2025 года — отдельно от других документов.
3. Уведомление Роскомнадзора — до начала обработки.
4. Хранение в России — при сборе данные россиян записываются в базы, которые находятся в России.

Компании дополнительно утверждают политику и локальные акты внутренним документом и назначают ответственного за обработку персональных данных. У ИП такой обязанности нет, но опубликовать политику на сайте они обязаны так же, как компании.

Политика конфиденциальности: что в ней написать

Закон требует опубликовать «документ, определяющий политику оператора в отношении обработки персональных данных», и сведения о мерах защиты — на страницах сайта, с помощью которых собираются данные. Называть его можно «политикой конфиденциальности» или «политикой обработки персональных данных»: для закона это один документ, держать два разных не нужно. Обязательной формы нет, а за основу удобно взять структуру из рекомендаций Роскомнадзора 2017 года, дополнив её изменениями последних лет:

1. Оператор: наименование или ФИО ИП, ИНН, ОГРН или ОГРНИП, адрес, электронная почта для запросов, адрес сайта, дата редакции политики.
2. Чьи данные: посетители, покупатели, подписчики, авторы отзывов.
3. Цели, данные и основания: для каждой цели — какие данные собираются и на каком основании. Например, заказ — имя, телефон и адрес по договору с покупателем; рассылка — почта по согласию; чек — по закону о кассах.
4. Что делаете с данными: сбор, хранение, передача, удаление; автоматизированно или вручную.
5. Кому передаёте: хостинг, платёжный сервис, служба доставки, CRM, сервис рассылок, Яндекс Метрика — с названиями и адресами, как советует Роскомнадзор.
6. Где хранятся данные: в базах на территории России; есть ли передача за рубеж и куда.
7. Cookie и счётчики: какие используются, зачем и как их отключить.
8. Сроки хранения и порядок уничтожения: по закону — 30 дней после достижения цели или отзыва согласия, если нет другого основания.
9. Права человека: узнать, какие данные о нём хранятся, исправить их, отозвать согласие. На запрос нужно ответить за 10 рабочих дней, срок можно продлить ещё на 5 с объяснением причин.
10. Меры защиты: доступ по паролям, HTTPS, резервные копии, хостинг в России.
11. Порядок действий при утечке и как вносятся изменения в политику.

Частая ошибка шаблонов — писать, что основание обработки — «Федеральный закон № 152-ФЗ». Роскомнадзор прямо указывает, что сам закон о персональных данных правовым основанием быть не может: основание — договор, согласие или конкретная обязанность по другому закону.

Шаблон и генератор: можно ли пользоваться

Можно — как черновиком. Но шаблон описывает чужой бизнес: цели, данные и сервисы в нём не совпадают с тем, что на самом деле собирает ваш сайт. После генерации проверьте:

• реквизиты ваши, а не из образца;
• перечень данных совпадает с полями ваших форм;
• названы все сервисы, куда уходят данные, включая счётчики;
• есть пункт о хранении данных в России;
• нет фраз «используя сайт, вы соглашаетесь с политикой» и «основание — 152-ФЗ».

Где разместить

Ссылка на политику должна стоять рядом с каждой формой, где собираются данные, — в корзине, в форме заявки, при регистрации. Удобно продублировать её в подвале сайта. Публикуйте политику обычной страницей, которая открывается без регистрации, а не файлом для скачивания.

Согласие на обработку персональных данных

Когда согласие не нужно

Согласие — лишь одно из оснований. Если данные нужны, чтобы заключить и исполнить договор с человеком, согласие не требуется: так сказано в пункте 5 части 1 статьи 6 закона. Для интернет-магазина это значит, что для оформления, оплаты и доставки заказа отдельное согласие не нужно. Роскомнадзор писал то же ещё в 2017 году: магазину согласие нужно, если отношения с покупателем не оформлены акцептом публичной оферты.

Нельзя и требовать лишнего. Закон о защите прав потребителей запрещает отказывать в заказе, если покупатель не хочет дать данные, которые не нужны для исполнения договора. Обязательная галочка «согласен на рассылку» или обязательное поле «дата рождения» в форме заказа — риск нарушить закон. Какие условия должны быть в самой оферте, мы разобрали в статье «Публичная оферта для интернет-магазина».

Согласие нужно для рассылок, отзывов с именем и фото, а также для аналитики, которая отслеживает поведение посетителей. Для заявок на обратный звонок и консультацию его тоже надёжнее получать: договора ещё нет, и доказывать, что заявка относится к его заключению, в споре придётся вам.

С 1 сентября 2025 года — только отдельно

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. А с 1 сентября 2025 года закон добавил: оно оформляется отдельно от иной информации и документов, которые человек подтверждает или подписывает. Это правило внесли в закон о персональных данных не отдельной поправкой, а Федеральным законом от 24.06.2025 № 156-ФЗ — о многофункциональном сервисе обмена информацией.

На практике это значит: текст согласия — отдельный документ, не пункт внутри политики, оферты или пользовательского соглашения, и галочка под него — тоже отдельная. Одна галочка «согласен с политикой, офертой и обработкой данных» больше не годится. Не годятся и формулы «отправляя форму, вы соглашаетесь» без галочки и «продолжая пользоваться сайтом, вы даёте согласие».

Что написать в согласии

Закон подробно перечисляет состав письменного согласия — его требуют, например, для данных о здоровье. Для обычной формы на сайте паспортные данные и подпись не нужны, но остальные пункты стоит взять за основу:

• кто оператор — наименование или ФИО и адрес;
• цель — одна конкретная цель на одну галочку: «перезвонить по заявке», «присылать новости и скидки на почту»;
• какие данные из этой формы обрабатываются;
• кому поручена обработка: CRM, сервис рассылок, счётчик — с названиями и адресами;
• что делается с данными;
• срок действия согласия и как его отозвать — например, письмом на почту.

Галочка: пустая и с подтверждением

Доказывать, что согласие получено, обязан оператор. Поэтому галочку ставит сам посетитель, по умолчанию она пустая, а кнопка отправки без неё не работает. Прямого запрета на заранее поставленную галочку в законе нет, но согласие должно быть сознательным и однозначным, а для отдельных случаев закон прямо говорит, что молчание или бездействие человека согласием не считается. Сохраняйте подтверждение: дату и время заявки, версию текста согласия, отметку галочки.

Рассылки и отзывы — отдельные согласия

• Реклама по почте, в СМС и мессенджерах допускается только с предварительного согласия получателя, и доказывать его должен отправитель. Галочка на рассылку — отдельная и необязательная. Штраф за рекламу без согласия для компаний — от 100 до 500 тысяч рублей. Подробнее о правилах рекламы — в статье «Как сделать рекламу сайта».
• Отзывы и фото клиентов с именем — это распространение персональных данных. Для него нужно ещё одно согласие, отдельно от остальных, и молчание человека согласием не считается. Состав такого согласия утверждён приказом Роскомнадзора № 18, который действует до 1 сентября 2027 года.

Cookie и Яндекс Метрика

Отдельной обязанности показывать cookie-баннер в российском законе нет. Но для аналитических и рекламных cookie, которые позволяют выделить конкретного посетителя, нужно законное основание — как правило, согласие, а доказать его должен владелец сайта. Баннер — удобный способ это сделать. Формула «продолжая пользоваться сайтом, вы соглашаетесь с использованием cookie» плохо сочетается с требованием сознательного и однозначного согласия: надёжнее дать посетителю выбор.

Опишите в политике счётчики, которые стоят на сайте, — например, Яндекс Метрику, — какие данные они собирают и как их отключить. Если Метрика записывает действия посетителей, проверьте в её настройках, что в записи не сохраняется содержимое полей форм.

Иностранные сервисы: что изменилось с 1 июля 2025 года

С 1 июля 2025 года действует новая редакция части 5 статьи 18 закона: при сборе данных россиян, в том числе через интернет, их запись, хранение и обновление в базах за пределами России не допускаются. Исключения — для судов, госуслуг, СМИ и случаев по международному договору — обычному бизнесу не подходят. Минцифры в письме от 12.05.2025 № П25-44929 уточнило, что в России хранятся и копии данных, а использование Google Analytics назвало трансграничной передачей.

Если данные всё же передаются за рубеж, об этом подают отдельное уведомление в Роскомнадзор — до начала передачи. В страны из перечня с адекватной защитой передавать можно сразу после уведомления, в остальные — только через 10 рабочих дней. Закон от 26.07.2026 № 265-ФЗ изменил критерии, по которым страну включают в перечень. За сбор данных в иностранные базы компаниям и ИП грозит штраф от 1 до 6 млн рублей, за повторное нарушение — от 6 до 18 млн.

Уведомление Роскомнадзора

Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. С 1 сентября 2022 года исключений осталось три: государственные информационные системы для безопасности государства, транспортная безопасность и обработка исключительно без средств автоматизации. Сайт, CRM, почта и таблица с клиентами — это автоматизированная обработка, поэтому владелец сайта с формами под исключения не попадает. Старые статьи, где написано, что интернет-магазину уведомление не нужно, устарели.

• Как подать: онлайн на портале персональных данных Роскомнадзора или на бумаге. В уведомлении указывают цели, категории данных, меры защиты, ответственного, где находится база данных и есть ли передача за рубеж.
• Сроки: Роскомнадзор вносит оператора в реестр в течение 30 дней. Ждать этого, чтобы начать работу, закон не требует — обязанность выполнена подачей уведомления до начала обработки.
• Изменения: подключили новый сервис, сменили хостинг, добавили рассылку — сообщите до 15-го числа следующего месяца.
• Штраф: за неподачу или опоздание — от 100 до 300 тысяч рублей и для компаний, и для ИП.

Утечка: что сделать за 24 и 72 часа

Если данные утекли, оператор направляет в Роскомнадзор два уведомления: в течение 24 часов — об инциденте, его вероятных причинах, вреде и принятых мерах, а в течение 72 часов — о результатах внутреннего расследования. Срок считается с момента, когда об утечке узнал сам оператор, Роскомнадзор или любое другое заинтересованное лицо. За неподачу уведомления компаниям и ИП грозит штраф от 1 до 3 млн рублей, за саму утечку — от 3 до 15 млн в зависимости от числа пострадавших, за повторную — от 1 до 3% годовой выручки, но не меньше 20 и не больше 500 млн рублей.

Штрафы в 2026 году

Суммы — по статье 13.11 КоАП после изменений, которые вступили в силу 30 мая 2025 года.

По ряду нарушений — повторной обработке без основания, локализации, уведомлениям и утечкам — ИП отвечают как компании, поэтому суммы в таблице совпадают. Малым предприятиям из реестра МСП по некоторым частям статьи штраф снижают. Если нарушение выявлено при госконтроле впервые и никому не причинило вреда, штраф могут заменить предупреждением.

Как сейчас проверяют сайты

Плановых проверок бизнеса почти нет, зато Роскомнадзор может наблюдать за сайтами без взаимодействия с владельцем, в том числе с помощью своих информационных систем. Такой порядок закреплён в положении о контроле за обработкой персональных данных — постановлении Правительства № 1046 в редакции от 27.08.2025. По итогам владелец сайта получает письмо с требованием устранить нарушение, на некоторые требования отводится 10 рабочих дней, или предостережение. В августе 2026 года замруководителя Роскомнадзора рассказал «Коммерсанту», что за полтора года ведомство проверило 159,1 тыс. сайтов и нашло нарушения на 135,95 тыс. из них.

Штрафы складываются. Юристы описывают дело 2026 года, где одна компания из реестра МСП получила за один сайт три штрафа на 155 тысяч рублей: за неподанное уведомление, за отсутствие политики на страницах с формой и за обработку данных без основания через формы и счётчики.

Как это устроено на BITCAT

• Две отдельные галочки в формах. В формах заявок и в корзине — согласие с политикой конфиденциальности и согласие на обработку персональных данных, каждая со ссылкой на свой документ. Заранее они не отмечены, а кнопка отправки остаётся неактивной, пока посетитель не поставит обе.
• Страницы документов. Политика открывается по адресу /system/politika/, текст согласия — по адресу /system/soglasie/. Если в разделе нет своего текста, показывается шаблон платформы.
• Реквизиты оператора. В разделе «Настройки → Реквизиты для ОПД» укажите наименование, юридический адрес, ИНН, КПП, ОГРН и почту — они подставятся в шаблоны политики и согласия. Пока поля пустые, на месте оператора в документах стоят прочерки.
• Проверьте текст. Если на вашей странице политики старый общий текст без названия компании, замените его своим. Шаблон — только основа: цели, состав данных и сервисы у каждого бизнеса свои.

Уведомление в Роскомнадзор, выбор сервисов, куда уходят заявки, и сведения о счётчиках в политике — задача владельца сайта: платформа сделать это за вас не может. Заодно проверьте защищённое соединение: как включить HTTPS, мы разбирали в статье «Как сделать HTTPS для сайта».

Проверьте свой сайт за 30 минут

1. Обойдите все места, где сайт собирает данные: формы, корзину, личный кабинет, подписку, отзывы, чат, обратный звонок.
2. Отправьте тестовую заявку и посмотрите, куда она пришла: на почту, в CRM, в мессенджер. Где эти сервисы хранят данные?
3. Откройте в браузере инструменты разработчика, вкладку «Сеть», и обновите страницу: видно, на какие сторонние сервисы уходят запросы — счётчики, капча, шрифты.
4. Проверьте политику: ваши реквизиты, совпадение с формами и сервисами, пункт о хранении в России, cookie, права и сроки.
5. Проверьте согласие: отдельный текст, пустая галочка у каждой формы, отдельная необязательная галочка на рассылку.
6. Найдите себя в реестре операторов на портале Роскомнадзора по ИНН. Если записи нет или сведения устарели — подайте уведомление или изменения.
7. Запишите, кто и как сообщит в Роскомнадзор об утечке за 24 и 72 часа.

Частые вопросы

Нужна ли политика, если на сайте только телефон и адрес?

Если на сайте нет форм, счётчиков и виджетов, данные через сайт не собираются, и публиковать политику закон не требует. Но любой счётчик посещаемости, онлайн-чат или кнопка «перезвоните мне» это меняют.

«Политика конфиденциальности» и «политика обработки персональных данных» — разные документы?

Нет. Закон говорит об одном документе, который определяет политику оператора. Название может быть любым, важно содержание.

Нужно ли согласие, если клиент оформляет заказ?

Для оформления, оплаты и доставки — нет: основание — договор с покупателем. Согласие нужно для того, что выходит за рамки заказа: рассылок, отзывов с именем, аналитики.

Можно ли поставить галочку согласия заранее?

Лучше не надо. Прямого запрета нет, но согласие должно быть сознательным и однозначным, а доказывать его — вам. Заранее поставленную галочку трудно выдать за сознательный выбор посетителя.

Нужно ли самозанятому уведомлять Роскомнадзор?

Да, если он собирает данные клиентов через сайт, CRM или почту. Самозанятый — такой же оператор, а исключения из обязанности уведомлять к нему не подходят.

Можно ли пользоваться Google Analytics и Google Forms?

Google Forms — нет: заявки сразу записываются в зарубежную базу, а с 1 июля 2025 года это запрещено. Google Analytics, по позиции Минцифры, — трансграничная передача: нужны основание и отдельное уведомление в Роскомнадзор. Проще перейти на российские сервисы.

Нужен ли cookie-баннер, если на сайте только Яндекс Метрика?

Прямой обязанности нет, но для аналитики нужно основание, и доказать его должны вы. Баннер с выбором — самый простой способ получить и подтвердить согласие.

Итог

Минимум для любого сайта с формами: политика с вашими реквизитами и ссылка на неё у каждой формы, отдельное согласие с пустой галочкой там, где нет договора, уведомление в Роскомнадзор до начала работы и сервисы, которые хранят данные в России. Проверьте сайт по чек-листу сейчас: Роскомнадзор проверяет сайты автоматически, а штрафы за разные нарушения складываются.

Статья актуальна на ноябрь 2026 года. Если вы обрабатываете данные о здоровье, биометрию или передаёте данные за рубеж, покажите документы юристу.