На лендинге для соблюдения 152-ФЗ нужны 5 вещей: политика конфиденциальности отдельной страницей, явное согласие на обработку данных у формы или кнопки, уведомление о cookies, реквизиты оператора в футере и подача уведомления в Роскомнадзор. Штрафы начинаются от 6000 рублей для ИП и от 60 000 для юрлица, при повторном нарушении - до 500 000.
Зачем разбираться с ФЗ-152
Федеральный закон 152-ФЗ "О персональных данных" регулирует, как бизнес обрабатывает контакты клиентов. На лендинге персональные данные появляются в момент, когда посетитель оставляет заявку: имя, телефон, email. С этого момента вы обязаны соблюдать ряд требований, иначе можете получить штраф от Роскомнадзора.
В 2025 году штрафы выросли. Минимальный штраф для юрлица за отсутствие согласия на обработку персональных данных составляет 60 000 рублей, максимальный за повторное нарушение 500 000. Для ИП и самозанятых цифры ниже, но начинаются от 6 000 и могут дойти до 200 000. Это не теория. Проверки идут, штрафы выписываются, единичные случаи попадают в СМИ.
В этой статье разбираю, что именно должно быть на лендинге, чтобы закон был соблюдён, и как это сделать за 40-60 минут своими силами.
Что считается персональными данными на лендинге?
Закон определяет персональные данные широко: любая информация, относящаяся прямо или косвенно к определённому физическому лицу. На лендинге это:
- Имя и фамилия.
- Номер телефона.
- Email.
- IP-адрес посетителя, если он сохраняется в базе вместе с другими данными.
- Cookies-идентификаторы, если они используются для профилирования.
- Файлы, которые человек загружает (фото, документы).
Даже если вы собираете только номер телефона без имени, это всё ещё персональные данные. Роскомнадзор в своих разъяснениях не различает "минимальный" и "полный" набор данных.
5 обязательных элементов на лендинге
Чтобы закрыть базовые требования закона, на лендинге нужны 5 элементов. Ниже каждый по порядку.
1. Политика конфиденциальности
Отдельная страница, доступная с любого раздела сайта (обычно ссылка в футере). В ней описано:
- Кто оператор персональных данных (ФИО или наименование, ИНН, контакты).
- Какие данные собираются.
- Для каких целей.
- Сколько хранятся.
- Кому передаются (если передаются).
- Как пользователь может запросить удаление или исправление своих данных.
Шаблонов в сети много, большинство подходит для базовых случаев. Главное: подставить свои реквизиты и актуальные цели обработки. Подробный шаблон у меня есть в материале Политика конфиденциальности для лендинга.
2. Согласие на обработку персональных данных
Человек должен явно согласиться на обработку. Обычно это чекбокс рядом с формой заявки или фраза под кнопкой CTA.
Формулировка должна быть конкретной. Не "согласен со всеми правилами", а "согласен на обработку персональных данных в целях рассмотрения заявки, указанных в Политике конфиденциальности". Ссылка на документ обязательна.
Если на лендинге нет формы, а CTA ведут в Telegram или на звонок, согласие всё равно нужно. Оно оформляется в виде текста под кнопкой: "Нажимая кнопку, вы соглашаетесь с обработкой персональных данных".
3. Уведомление об использовании cookies
Закон о персональных данных плюс практика ГДПР-подобного регулирования привели к тому, что уведомление о cookies стало де-факто обязательным. Это небольшая плашка, которая появляется при первом визите.
Минимальное содержание плашки:
- Что сайт использует cookies.
- Для каких целей (аналитика, реклама).
- Кнопка "Согласен" или "Принять".
- Ссылка на политику конфиденциальности.
Чаще всего cookies-баннер оформляют как sticky-плашку в нижней части экрана. Она не должна перекрывать основной контент.
4. Данные оператора в доступной форме
Посетитель должен иметь возможность узнать, кому он отправляет данные. Минимально: ФИО или наименование организации, ИНН, способ связи.
Оптимальное место для этих данных: футер сайта и политика конфиденциальности. Без них любая заявка формально является отправкой данных "неизвестному оператору", что противоречит закону.
5. Уведомление Роскомнадзора
С 1 января 2025 года оператор обязан уведомить Роскомнадзор о начале обработки персональных данных до фактического начала обработки. Это делается онлайн через Госуслуги для бизнеса или на сайте Роскомнадзора. Форма занимает 15-25 минут, уведомление принимают обычно в день подачи.
Уведомление нужно даже самозанятому, если он собирает заявки с сайта. Это часто пропускают, но теоретически именно за это и начисляется основная часть штрафов.
Типовой набор документов в связке
Чтобы не возвращаться к теме каждый месяц, сделайте один пакет из 4 документов.
| Документ | Где размещается | Объём |
|---|---|---|
| Политика конфиденциальности | Отдельная страница, ссылка в футере | 2-4 страницы A4 |
| Согласие на обработку ПД | Текст под формой или чекбокс | 2-3 предложения |
| Уведомление о cookies | Плашка при первом визите | 2-3 строки плюс кнопка |
| Реквизиты оператора | Футер сайта | 3-5 строк |
Этот пакет закрывает 90% требований для типового лендинга. Оставшиеся 10% это нюансы для отдельных отраслей (медицина, финансы, работа с детскими данными), там правила жёстче.
Штрафы по статьям
В качестве ориентира, какие санкции грозят за разные нарушения.
| Нарушение | Штраф для ИП | Штраф для юрлица |
|---|---|---|
| Отсутствие согласия | 40 000-100 000 | 60 000-100 000 |
| Отсутствие политики конфиденциальности | 15 000-30 000 | 60 000-150 000 |
| Обработка без уведомления РКН | 30 000-50 000 | 100 000-300 000 |
| Повторное нарушение | до 200 000 | до 500 000 |
| Утечка данных | индивидуально | до 18 млн в отдельных случаях |
Большинство реально выписанных штрафов приходится на первые три пункта. Утечки и серьёзные нарушения это редкость, но в них суммы становятся болезненными.
Быстрый план действий
Если вы сейчас открыли свой лендинг и поняли, что ни одного из 5 элементов нет, вот план на 40-60 минут.
- Скачайте шаблон политики конфиденциальности, подставьте свои реквизиты. Разместите на
/privacy/. - Добавьте ссылку на политику в футер.
- Под кнопку CTA на первом экране и в форме добавьте фразу: "Нажимая кнопку, вы соглашаетесь с обработкой персональных данных".
- Установите cookies-плашку. Для HTML-лендинга это 20-30 строк JavaScript.
- Заполните уведомление в Роскомнадзор на сайте РКН. Займёт 15-20 минут.
- Проверьте, что реквизиты оператора видны в футере.
Этот список закрывает требования на 95%. Дальше нюансы для конкретной ниши.
Что чаще всего пропускают при соблюдении ФЗ-152?
По опыту работы с клиентскими лендингами, вот наиболее частые ошибки.
- Согласие в виде предустановленного чекбокса. Чекбокс должен быть неактивным по умолчанию, человек должен сам его поставить. Иначе это не согласие по закону.
- Политика на стороннем домене. Ссылка в футере ведёт на какой-то шаблон с чужого сайта. Это формально не политика вашей компании, закон считается не соблюдённым.
- Нет связи между cookies и политикой. Cookies-плашка ссылается на страницу, где про cookies вообще не сказано. Это регулярная претензия при проверках.
- Устаревшие данные оператора. ИНН и наименование не совпадают с актуальными. Это даёт основание для штрафа.
- Нет процедуры удаления данных. Закон требует, чтобы пользователь мог запросить удаление своих данных. На лендинге должен быть способ связаться для этой цели, хотя бы email.
Частые вопросы
Как часто нужно обновлять уведомление в Роскомнадзоре?
Отдельного уведомления при каждой заявке не требуется, но если меняются цели обработки или категории собираемых данных, нужно подать уточнение. Для типового лендинга, на котором ничего принципиально не меняется, достаточно одной первичной подачи.
Что делать, если посетитель попросил удалить свои данные?
Удалите его данные из базы заявок и подтвердите это тем же способом, которым пришёл запрос: письмом или сообщением. Жёсткий срок для лендинга малого бизнеса законом не установлен, но затягивать дольше нескольких дней рискованно при проверке.
Распространяются ли требования ФЗ-152 на самозанятого без сайта, только с формой в рекламном кабинете?
Да. Лид-форма собирает те же персональные данные, что и форма на сайте, и требования те же: согласие, доступная политика конфиденциальности, уведомление Роскомнадзора. Формат площадки на это не влияет.
Нужно ли хранить согласие, если клиент в итоге отказался от услуги?
Да, сам факт согласия стоит хранить отдельно от заявки, даже если сделка не состоялась. Это единственное доказательство, что данные обрабатывались законно, если проверка придёт через полгода после несостоявшейся сделки.
Вывод
Соблюдение ФЗ-152 на лендинге это 5 обязательных элементов: политика конфиденциальности, согласие на обработку, уведомление о cookies, реквизиты оператора, уведомление в Роскомнадзор. На всё уходит 40-60 минут, но сэкономленная сумма на штрафах может составлять от 60 000 до 500 000 рублей. Это один из тех технических пунктов, которые экономить нельзя.
По теме: Политика конфиденциальности для лендинга: шаблон, Что входит в разработку лендинга под ключ и Чек-лист приёмки готового лендинга.
