Персональные данные на сайте: что требуют 152-ФЗ и GDPR

Сайт, который собирает имя, телефон или email, обрабатывает персональные данные и должен соблюдать закон: в России — 152-ФЗ, для пользователей из Евросоюза — GDPR. На практике это значит получить корректное согласие, хранить данные там, где требует закон, защитить их и уметь ответить на запрос пользователя. С 2025 года требования в России заметно ужесточились.

Ниже — что изменилось, чем отличаются 152-ФЗ и GDPR и что сделать на сайте. Это обзор для бизнеса, а не юридическая консультация: документы стоит проверить с юристом.

Какие данные на сайте считаются персональными?

Персональные данные — это любая информация, которая прямо или косвенно относится к конкретному человеку. На сайте это не только поля формы заявки, но и многое из того, что собирается автоматически.

Что обычно попадает под закон:

• имя, телефон, email, адрес из форм заявки, регистрации и заказа;
• данные личного кабинета, история заказов, платёжная информация;
• файлы, которые загружает пользователь, — резюме, документы, фото;
• cookie и идентификаторы устройств, если по ним можно отследить конкретного человека;
• записи звонков и переписка в чатах поддержки.

Если на сайте есть хоть одна форма с контактами, компания — оператор персональных данных со всеми обязанностями.

Что изменилось в 152-ФЗ в 2025 году?

В 2025 году вступили в силу три изменения, которые затрагивают почти каждый сайт: выросли штрафы, согласие на обработку нужно оформлять отдельным документом, а первичный сбор данных россиян должен идти только в российские базы.

С какой даты	Что изменилось	Что это значит для сайта
30 мая 2025	Новые штрафы за утечки и нарушения, для повторных утечек — оборотные	Утечка стала финансовым риском для бизнеса любого размера
1 июля 2025	Прямой запрет первичного сбора данных граждан РФ с использованием иностранных баз	Формы и CRM должны писать данные сначала в базы на территории России
1 сентября 2025	Согласие на обработку — только отдельным документом	Нельзя прятать согласие в оферте, договоре или политике

Штрафы введены Федеральным законом № 420-ФЗ: для повторной утечки предусмотрен оборотный штраф — процент от выручки, но не более 500 млн рублей, подробнее — в обзоре КонсультантПлюс. Про отдельное согласие — в новости ГАРАНТ.РУ. Согласия, полученные до 1 сентября 2025 года, переоформлять не требуется.

Чем GDPR отличается от 152-ФЗ?

GDPR отличается от 152-ФЗ подходом: он допускает несколько законных оснований обработки, а не опирается в первую очередь на согласие, и сильнее ориентирован на права пользователя. GDPR применяется к компании из любой страны, если она предлагает товары или услуги людям в Евросоюзе или отслеживает их поведение.

Главные отличия, которые влияют на сайт:

• основания обработки — кроме согласия, это исполнение договора, законный интерес и другие; для рассылок и аналитики обычно всё же нужно согласие;
• cookie — нестрого необходимые cookie, например аналитические и рекламные, ставятся только после явного согласия пользователя;
• права пользователя — доступ к своим данным, исправление, удаление, выгрузка в машиночитаемом виде;
• утечки — уведомление надзорного органа в течение 72 часов;
• штрафы — до 20 млн евро или 4% мирового годового оборота, в зависимости от того, что больше.

Фото: Unsplash

Что сделать на сайте, чтобы соблюдать закон?

Чтобы соблюдать закон, сайту нужны корректные документы, отдельное согласие у каждой формы, правильное место хранения данных и техническая защита. Большая часть этого — разовая работа при запуске, которую потом нужно поддерживать в актуальном состоянии.

Документы и формы

1. Опубликовать политику обработки персональных данных: какие данные, зачем, где и сколько хранятся, кому передаются.
2. У каждой формы — отдельное согласие на обработку с конкретными целями, без заранее проставленной галочки.
3. Отдельное согласие на рекламные рассылки, не совмещённое с согласием на обработку заявки.
4. Баннер cookie, который не ставит аналитику до согласия — для аудитории из ЕС это обязательно.
5. Для 152-ФЗ — уведомление Роскомнадзора об обработке персональных данных.

Техническая сторона

• Данные россиян сначала попадают в базу на серверах в России; передача в зарубежные сервисы — только после этого и с учётом правил трансграничной передачи.
• Шифрование при передаче (HTTPS) и при хранении для чувствительных данных.
• Доступ к данным — только тем сотрудникам, кому он нужен, с журналом действий.
• Сроки хранения: заявки и логи не хранятся вечно, удаление автоматизировано.
• Процедура на случай утечки: кто отвечает, кого и в какие сроки уведомлять.

Пример схемы, где каждая заявка хранит, на что именно дал согласие пользователь и когда:

CREATE TABLE lead_consents (
    id          bigserial PRIMARY KEY,
    lead_id     bigint      NOT NULL REFERENCES leads(id),
    purpose     text        NOT NULL,  -- 'processing', 'marketing'
    document    text        NOT NULL,  -- версия текста согласия
    granted_at  timestamptz NOT NULL,
    ip          inet
);

Хранение версии документа важно: при проверке нужно показать не только сам факт согласия, но и текст, который видел пользователь.

Что проверить у подрядчика и внешних сервисов?

У подрядчика и внешних сервисов проверяют, где физически хранятся данные, кто имеет к ним доступ и как оформлена передача. Форма обратной связи, CRM, сервис рассылок и аналитика — каждый из них тоже обрабатывает персональные данные ваших пользователей.

Вопросы к каждому сервису и подрядчику:

• в какой стране серверы и можно ли выбрать регион хранения;
• есть ли договор поручения обработки (в терминах GDPR — DPA);
• кто из сотрудников подрядчика имеет доступ к продакшен-данным;
• как устроены бэкапы и где они хранятся.

Технические меры защиты пересекаются с общей безопасностью приложения — их мы разбирали в статье про OWASP Top 10.

Коротко

• Любая форма с контактами делает компанию оператором персональных данных.
• С 2025 года в России: оборотные штрафы за повторные утечки, отдельное согласие и первичный сбор данных только в российские базы.
• GDPR применяется, если вы работаете с пользователями из ЕС: согласие на cookie, права пользователей, уведомление об утечке за 72 часа.
• Храните версию согласия вместе с заявкой и автоматизируйте удаление по срокам.
• Проверьте, где хранят данные ваши CRM, рассылки и аналитика, и оформите договоры с ними.