Соответствие 152-ФЗ: cookie-баннер, политика конфиденциальности для сайта и согласия

Большинство проектов обращаются к нам, когда замечают явные расхождения между кодом веб-ресурса и текстами, которые на нём размещены. Вот пять типичных ситуаций, с которыми мы сталкиваемся при аудите площадок:

• Форма есть, политики нет. Сайт принимает имя и телефон через форму обратной связи, а ссылки на политику рядом с кнопкой отправки нет — это первое, что бросается в глаза со стороны при аудите. Мы встраиваем прямую ссылку на документ под каждым полем отправки, чтобы посетитель видел правила до передачи контактов.
• Чужой шаблон или генератор. Действующая политика конфиденциальности сайта скопирована с чужого ресурса или взята из генератора и рассказывает то, чего сайт не делает: упоминает трансграничную передачу, десятки сторонних платформ и сложные процедуры хранения. Мы убираем чужие формулировки и готовим документ, который содержит только факты о вашей площадке.
• Галочка согласия стоит заранее. Чекбокс согласия возле кнопки отправки уже отмечен в исходном коде верстки либо форма уходит на сервер без отметки пользователя. Мы настраиваем скрипт так, чтобы чекбокс был пустым по умолчанию, а отправка блокировалась до явного клика посетителя.
• Избыточные кнопки в баннере. На страницах всплывает громоздкое уведомление о cookie с кнопками «Принять» и «Отклонить» либо длинными фразами о том, что продолжение просмотра означает безоговорочное согласие со всеми условиями. Мы заменяем тяжелый виджет на спокойное текстовое уведомление с кнопкой закрытия и ссылкой на правила.
• Сайт поменялся, документ остался. На сайт добавили новый опрос, калькулятор стоимости или чужой код аналитики, а текст условий не менялся с момента запуска проекта. Мы заново проверяем исходные файлы и синхронизируем все формулировки с реальным набором скриптов.

Обработка персональных данных на сайте начинается с первой формы, где человек оставил имя, телефон или почту для связи. Как только посетитель нажимает кнопку отправки, площадка начинает принимать сведения, и этот процесс требует ясного отражения в коде и документах. Любое несоответствие между тем, что написано на странице, и тем, куда уходят контакты, превращается в прямой повод для претензии к владельцу ресурса.

Проверка сайта на 152 ФЗ у нас — не юридическое заключение, а сверка того, что сайт делает, с тем, что о нём написано. Мы подходим к аудиту как технические специалисты и оцениваем площадку по шести направлениям:

• Формы и запрашиваемые поля. Мы находим все формы захвата контактов на сайте: заявки на звонок, окна быстрой консультации, квизы, подписки на новости и поля оформления заказа. Мы проверяем, какие именно сведения они запрашивают, и помогаем убрать лишние графы, которые не нужны для прямого ответа клиенту.
• Куда уходят заявки и кто их читает. Мы отслеживаем технический путь сведений после клика по кнопке отправки: уходят ли данные на корпоративную почту, падают ли в базу движка или пересылаются внешним системам. Наша задача — зафиксировать, что заявки читает и обрабатывает человек, если на сайте нет автоматизированных конвейеров.
• Файлы cookie, которые ставит сайт. Мы очищаем кэш, открываем ресурс в браузере в режиме инкогнито и фиксируем все файлы cookie, которые площадка записывает на устройство посетителя. Мы отделяем необходимые сессионные записи от меток, которые генерируют внешние сервисы.
• Чужие счётчики и виджеты в коде. Мы просматриваем исходный код страниц на наличие скриптов веб-аналитики, рекламных пикселей, онлайн-консультантов и систем обратного звонка. Все обнаруженные скрипты сторонних разработчиков мы фиксируем и передаем владельцу сайта список того, что реально работает в коде.
• Действующая политика и её содержание. Мы внимательно читаем опубликованный текст политики конфиденциальности, если он уже размещен на ресурсе, и сопоставляем каждый абзац с поведением скриптов. Если документ описывает функционал, которого нет в коде, мы отмечаем такие нестыковки.
• Рабочие файлы и живой сайт. Мы анализируем код не только в браузере, но и в исходных шаблонах на сервере или в панели управления. Часто бывает так, что в файлах движка остаются забытые скрипты прежних разработчиков, которые продолжают отправлять запросы без ведома текущего владельца.

Аудит сайта 152 ФЗ в нашем понимании заканчивается не отчётом, а исправленными текстами и формами — это и есть услуга за от 8 000 ₽. Мы не выгружаем заказчику длинные файлы с сухими рекомендациями, которые некому внедрять. Мы берем выявленные недочеты, составляем правдивый текст документа, встраиваем корректные галочки согласия и запускаем аккуратное уведомление.

Проверить сайт на соответствие 152 ФЗ и понять, какие тексты ему нужны, мы можем только по тому, что на нём стоит, поэтому смотрим живой сайт, а не описание. Брифы и слова владельца часто расходятся с тем, что реально установлено на хостинге: забытые плагины продолжают генерировать куки, а формы отправляют дубликаты писем по устаревшим адресам. Только прямое исследование живых страниц и кода позволяет подготовить честный документ.

Главное правило нашего стандарта: каждая фраза политики должна быть правдой о вашем сайте сегодня, и у каждой фразы мы спрашиваем, какое нарушение она закрывает. Если мы не можем назвать конкретный повод для претензии, который устраняет предложение, этой фразы в документе не будет. Лишняя строчка в тексте — готовый повод для претензии, поскольку проверяющий читает именно то, что владелец сайта написал о себе сам. Если в документе заявлено использование сложных баз данных, а на деле сайт отправляет простое письмо на почту, такое расхождение сразу вызывает вопросы.

Когда это правда о сайте — чужих счётчиков в коде нет, а заявки читает и обрабатывает вручную ответственный сотрудник, — в политике прямо сказано:

• автоматизированный сбор персональных данных не осуществляется;
• персональные данные третьим лицам не передаются;
• трансграничная передача персональных данных не осуществляется.

Эти три строчки включаются в текст только тогда, когда сайт действительно не подключен к внешним системам сбора информации и не транслирует трафик за пределы площадки. Если на сайте работают внешние скрипты, формулировки корректируются под реальное положение дел.

Если страница с политикой уже существует на ресурсе и её постоянный адрес проиндексирован поисковиками, мы сохраняем старый URL. Это позволяет не создавать битых ссылок, сохранять позиции в поиске и не перенастраивать меню. Если владельцем ресурса выступает физическое лицо, мы не вносим в документ его паспортные данные, домашний адрес или личный ИНН. Публикация персональных сведений администратора в открытом доступе не требуется для разъяснения правил работы сайта и создает лишние риски для самого владельца.

Разработка политики конфиденциальности у нас начинается не с шаблона, а со сверки сайта с кодом и формами. Мы принципиально не используем универсальные болванки из интернета, где перемешаны условия для интернет-магазинов, банков и социальных сетей. Каждый текст пишется под конкретную структуру страниц и реальный набор элементов взаимодействия с посетителями.

Политика персональных данных для сайта без форм у нас тоже есть — страница политики входит в каждый сайт, который мы делаем, и в ней сказано, что сайт делает с посещениями и cookie. Даже если на ресурсе нет ни одной кнопки обратной связи, сервер фиксирует сетевые обращения, а браузер сохраняет служебные маркеры сессии, поэтому посетителю важно знать, как устроена работа площадки.

Для тех, кто хочет изучить тему обязательных документов глубже, в нашем блоге есть отдельная статья какие документы нужны сайту по закону.

Перед составлением текста мы строго определяем, чего не должно быть в содержании:

• Списки собираемых полей. Мы не перечисляем в тексте десятки абстрактных параметров вроде паспортных данных, семейного положения или профессии, если форма запрашивает лишь имя и номер телефона для обратного звонка.
• Сроки хранения сведений. Мы не указываем надуманные сроки хранения в пять или десять лет, если заявка удаляется из почтового ящика сразу после звонка менеджеру и не хранится в специализированных базах.
• Названия сторонних сервисов. Мы не вписываем в документ конкретные наименования внешних рекламных сетей, виджетов и систем веб-аналитики, чтобы текст не устаревал при смене провайдера скрипта.
• Успокаивающие обещания. Мы убираем из текста расплывчатые клятвы о безупречной надежности, безопасности и защищенности, заменяя их строгим перечнем того, что ресурс делает технически.
• Реквизиты владельца-физлица. Мы не выкладываем на всеобщее обозрение паспортные данные, домашний адрес и ИНН гражданина, оставляя только понятный электронный адрес для официальных запросов.
• Что такое политика конфиденциальности. Это страница сайта, где владелец пишет, что сайт делает со сведениями посетителей; у нас в ней только то, что правда о сайте.

Галочка согласия у формы обратной связи — это не формальный декоративный элемент, а рабочий механизм подтверждения действий посетителя. По нашему стандарту чекбокс согласия никогда не стоит в верстке заранее: отметка не должна быть предзаполненной при загрузке страницы. Посетитель или пользователь сайта обязан поставить ее самостоятельно, осознанным движением мыши или касанием экрана телефона.

Если галочка не поставлена, форма не должна отправляться. Мы настраиваем скрипт проверки так, чтобы при попытке нажать кнопку отправки без чекбокса система останавливала передачу данных и наглядно показывала, что требуется подтверждение. Рядом с чекбоксом мы размещаем четкий текст со ссылкой на страницу с условиями: «Я согласен(на) на обработку сообщённых мною сведений для ответа на обращение и ознакомлен(а) с Политикой конфиденциальности». Такая формулировка прямо связывает действие человека с конкретной задачей — получить ответ на свой вопрос.

В самих формах мы рекомендуем не просить ничего лишнего. Дата рождения, пол, домашний адрес, паспортные данные или ссылки на социальные сети в форме простого звонка — готовый повод для претензии, что сайт собирает сведений больше, чем реально нужно для телефонного разговора. Чем меньше полей видит пользователь, тем выше конверсия формы и тем меньше поводов усомниться в обоснованности сбора данных.

Галочка «Согласие на обработку персональных данных» не отмечена заранее — человек ставит её сам при заполнении формы, что исключает автоматическую фиксацию согласия без участия посетителя. Мы следим за тем, чтобы код верстки не содержал скрытых параметров, имитирующих клик.

Подробнее о том, как грамотно проектировать блоки захвата контактов, рассказано в материале нашего блога формы и квизы на сайте.

По тому же стандарту разработки мы ставим в подвал каждой страницы сайта строку о том, что опубликованная информация не является публичной офертой. Это наше постоянное инженерное правило, которое позволяет отделить ознакомительные материалы, примеры расценок и описания решений от юридически обязывающих предложений заключить сделку.

Рядом со строкой об оферте мы всегда выводим открытый адрес электронной почты для официальных обращений. Почта размещается прямо в тексте футера, на виду, не за кликом по всплывающему окну и не внутри скрытого аккордеона. Любой посетитель сайта должен иметь возможность быстро скопировать этот контакт, чтобы отправить запрос — например, потребовать удалить сведения о себе или уточнить порядок обработки заявки.

О том, как правильно компоновать нижнюю часть страниц и какие блоки там размещать, читайте в нашей статье футер сайта.

Ниже приведён текст закона без пересказа. Как он применяется к вашему сайту, решает не студия; за юридической оценкой следует обращаться к юристу.

Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (ред. от 26.07.2026), статья 18.1, часть 2:

«Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.»

Тот же закон, статья 9, часть 1 (в ред. Федерального закона от 24.06.2025 N 156-ФЗ):

«Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.» и «Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.»

Кто ищет 152 фз о персональных данных штрафы, найдет в самом законе отсылку к ответственности, а суммы — в КоАП РФ, статья 13.11. В профильном законе зафиксирован общий принцип ответственности, тогда как конкретные размеры денежных взысканий установлены статьями административного кодекса.

Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных» (ред. от 26.07.2026), статья 24, часть 1:

«Лица, виновные в нарушении требований настоящего Федерального закона, несут предусмотренную законодательством Российской Федерации ответственность.»

Кодекс Российской Федерации об административных правонарушениях (ред. от 04.08.2026), статья 13.11, часть 3:

«Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных — влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц — от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей — от десяти тысяч до двадцати тысяч рублей; на юридических лиц — от тридцати тысяч до шестидесяти тысяч рублей.»

Тот же кодекс, статья 13.11, часть 1:

«Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 — 18 настоящей статьи и статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от пятидесяти тысяч до ста тысяч рублей; на юридических лиц — от ста пятидесяти тысяч до трехсот тысяч рублей.»

Политика, галочки и уведомление — это то, что посетитель и проверяющий видят на сайте первым; что из закона касается именно вашего сайта, текст не решает. Наша задача как веб-мастеров — навести технический порядок в формах, коде и ссылках, чтобы на страницах не было очевидных расхождений с действительностью, а оценку правовых рисков конкретного бизнеса всегда выполняет профильный юрист.

Мы студия веб-разработки, а не юристы. Мы не даем юридических заключений, не оказываем правовых консультаций и не обещаем соответствие закону. Мы не заявляем, что после выполнения наших работ сайт защищен от любых претензий, проверок или предписаний. Наша зона ответственности — техническая и текстовая часть проекта: найти формы, проверить подключенные скрипты, написать честную политику на основе фактической работы ресурса, настроить корректные чекбоксы и вывести информационное уведомление.

Подавать ли уведомление об обработке персональных данных и что делать с чужими счётчиками, решает владелец сайта: в услугу за 8 000 ₽ это решение не входит. Мы проводим проверку, находим в коде внешние скрипты, виджеты и пиксели и открыто показываем заказчику список обнаруженных компонентов. Принимать решение о подаче сведений в государственные реестры или об отключении сторонней аналитики должен сам владелец бизнеса вместе со своим юрисконсультом.

Мы выстроили прозрачную последовательность действий, которая позволяет быстро привести формы и документы в порядок:

1. 1

   Шаг 1. Заявка с адресом сайта.

   Вы присылаете заявку и указываете адрес вашего ресурса. Мы уточняем особенности проекта и определяем первичный состав задач.
2. 2

   Шаг 2. Смотрим сайт.

   Мы изучаем, на чём сделан сайт, какие формы на нём размещены и какие сведения они просят, какие файлы cookie создаются в браузере, какие чужие счётчики стоят в коде и какие доступы к сайту имеются.
3. 3

   Шаг 3. Называем сумму.

   Мы рассчитываем точную смету, которая фиксируется в договоре до начала работ. Мы работаем с индивидуальными предпринимателями и организациями, предоставляя договор, акт и закрывающие документы.
4. 4

   Шаг 4. Пишем политику и настраиваем сайт.

   Мы пишем понятный текст политики конфиденциальности, где каждое слово является правдой о вашем проекте. Мы внедряем уведомление о cookie без лишних кнопок, настраиваем ненажатые галочки согласия у каждой формы, добавляем в подвал открытую почту для обращений и строку о том, что информация не является публичной офертой.
5. 5

   Шаг 5. Вы смотрите результат.

   Мы показываем готовый текст и обновленные элементы управления на тестовой площадке или рабочем сайте. Вы проверяете формулировки и сообщаете, если требуются правки.
6. 6

   Шаг 6. Выкладываем и проверяем живой сайт.

   После выкладки мы повторно тестируем работающий ресурс и проверяем, что cookie, которые он ставит на самом деле, в точности совпадают с тем, что написано в уведомлении и политике.

Базовая стоимость приведения форм, политики и уведомления о cookie в порядок составляет от 8 000 ₽. Цена не разбивается на скрытые тарифы, вилки и ступени. На итоговую сумму влияет исключительно технический объём задач: сколько на сайте форм, что он реально ставит и подключает в браузере, на каком движке собран проект и какие доступы предоставлены нашим разработчикам.

Если вы только планируете запускать проект, заказывать отдельную доработку не потребуется: страница политики конфиденциальности уже входит в готовый сайт под ключ за от 45 000 ₽ со сроком разработки 3-5 дней и в конверсионный лендинг за от 45 000 ₽ со сроком 3 дня. Для проектов, которым требуется устранить технические сбои или ошибки верстки, доступна срочная помощь сайту за от 10 000 ₽, а для регулярного ведения площадок работает комплексная поддержка сайта за от 15 000 ₽ в месяц.