152-ФЗ о персональных данных: полный гид для бизнеса в 2026 году

Разберем по полочкам: что это за закон, кому нужно соответствовать, какие штрафы грозят и как привести свой сайт в порядок без паники.

Что такое 152-ФЗ простыми словами

152-ФЗ — это Федеральный закон «О персональных данных», принятый в 2006 году. Он определяет, как компании, госорганы и ИП могут собирать, хранить, использовать и защищать личную информацию граждан.

Персональные данные (ПДн) — это любая информация, которая позволяет идентифицировать человека:

• ФИО, телефон, email, адрес

• Паспортные данные, ИНН, СНИЛС

• Фотографии (в некоторых случаях)

• IP-адрес, данные геолокации

• Cookie-файлы

• История покупок и предпочтения

• Биометрия (отпечатки пальцев, голос, лицо)

Оператор ПДн — любая организация или ИП, которая решает, зачем нужны данные и что с ними делать. Если вы спрашиваете у клиента имя и телефон — вы оператор.

Кто должен соблюдать 152-ФЗ в 2026 году

Закон распространяется на всех без исключения, кто так или иначе работает с персональными данными:

Важное уточнение: если у вас есть сайт с формой обратной связи, подпиской на рассылку, формой заказа или даже просто кнопкой «заказать звонок» — вы собираете персональные данные. А значит, обязаны соблюдать 152-ФЗ.

Главные изменения 2025–2026 годов

С сентября 2025 года в закон внесены масштабные поправки. К 2026 году они уже вступили в полную силу. Вот что изменилось:

1. Обязательная регистрация операторов

Раньше уведомлять Роскомнадзор о начале обработки ПДн были обязаны не все. Теперь — каждый оператор, включая ИП и небольшие сайты, обязан подать уведомление и попасть в реестр.

Сроки: уведомление подаётся до начала обработки данных. Если вы уже работаете — нужно подать его немедленно.

Что грозит за отсутствие регистрации: штраф до 300 000 рублей для юрлиц и до 50 000 рублей для ИП.

2. Локализация данных на территории РФ

Все персональные данные граждан России должны храниться на серверах, физически расположенных на территории РФ. Использование иностранных облаков (Google Drive, Dropbox, Amazon AWS, европейские серверы) — нарушение.

Что считается нарушением:

• Сайт на зарубежном хостинге

• Хранение клиентских баз в Google Sheets или Notion

• Использование иностранных CRM без переноса данных в Россию

3. Отдельное согласие на обработку

С 1 сентября 2025 года согласие на обработку ПДн должно быть оформлено отдельным документом. Нельзя «вшивать» его в пользовательское соглашение или договор оферты.

Что теперь запрещено:

• Фраза «нажимая кнопку, вы соглашаетесь на обработку данных» без отдельного чекбокса

• «Галка» в конце длинного документа

• Предзаполненный чекбокс

Что нужно:

• Отдельный чекбокс с текстом согласия

• Возможность отказаться (галка не должна стоять по умолчанию)

• Логирование факта согласия (дата, время, IP)

4. Минимизация сбора данных

Можно собирать только те данные, которые действительно нужны для конкретной цели. Нельзя требовать паспортные данные при подписке на рассылку или адрес доставки при скачивании файла.

Пример: если цель — отправить коммерческое предложение, достаточно имени и email. Телефон и адрес — лишнее.

5. Ужесточение ответственности и штрафов

6. Автоматические проверки Роскомнадзора

Роскомнадзор с 2026 года использует ИИ-системы для автоматического сканирования сайтов. Проверка происходит 24/7 без предупреждения. Система анализирует не только текст, но и код сайта, скрипты, cookie-настройки, формы.

Что проверяет ИИ:

• Наличие политики обработки ПДн

• Наличие согласий в формах

• Cookie-уведомление

• Факт использования зарубежных серверов

• Контактные данные в подвале сайта

Какие сайты подпадают под действие закона

Любой сайт, на котором есть хотя бы одна форма сбора данных. Даже если это просто поле «Введите email, чтобы получить скидку».

Подпадают под 152-ФЗ:

✅ Сайты-визитки с формой обратной связи
✅ Интернет-магазины
✅ Лендинги с формой заявки
✅ Корпоративные сайты
✅ Блоги с подпиской на рассылку
✅ Сайты с онлайн-чатом
✅ Платформы с регистрацией пользователей
✅ Сайты с комментариями (если требуется имя и email)

НЕ подпадают (редкие исключения):

❌ Статические страницы без любых форм (просто текст и картинки)
❌ Сайты, где данные обрабатываются исключительно в личных целях (не для бизнеса)

Как соответствовать 152-ФЗ: пошаговая инструкция

Шаг 1. Назначьте ответственного за обработку ПДн

Издайте приказ о назначении сотрудника, который отвечает за соблюдение закона. Если вы ИП и работаете один — назначьте сами себя.

Шаг 2. Подайте уведомление в Роскомнадзор

Заполните форму уведомления на сайте Роскомнадзора (https://pd.rkn.gov.ru/). В уведомлении нужно указать:

• цели обработки данных

• категории собираемых данных

• правовые основания

• меры защиты

• информацию о трансграничной передаче (если есть)

Шаг 3. Разработайте и разместите на сайте Политику обработки ПДн

Это публичный документ, который должен быть в подвале сайта (footer) с прямой ссылкой.

Что должна содержать политика:

• Кто оператор (название, ИНН, ОГРН/ОГРНИП, адрес)

• Какие данные собираются (перечень)

• Цели обработки

• Правовые основания

• Сроки хранения

• Кому передаются данные

• Права субъекта ПДн (как отозвать согласие, как удалить данные)

• Контакты для обращений

Шаг 4. Настройте правильные формы сбора данных

Каждая форма на сайте должна содержать:

• Отдельный чекбокс с текстом согласия на обработку ПДн

• Ссылку на Политику обработки ПДн

• Возможность не ставить галку (она не должна быть предзаполнена)

Что нужно логировать:

• Факт отправки формы

• Дата и время

• IP-адрес пользователя

• Содержание согласия

Шаг 5. Настройте Cookie-уведомление

С 2026 года это обязательно. На сайте должно быть:

• Всплывающее уведомление о сборе cookie при первом заходе

• Ссылка на политику обработки cookie

• Описание типов cookie (функциональные, аналитические, маркетинговые)

• Возможность отказаться от части cookie (особенно от аналитических и маркетинговых)

Шаг 6. Убедитесь, что хостинг в России

Проверьте, где физически находятся серверы вашего сайта. Даже если вы купили хостинг у российского провайдера, серверы могут быть в Европе или США.

Как проверить: можно использовать сервисы определения IP-адреса сервера или запросить подтверждение у хостинг-провайдера.

Если сервер за границей — срочно переносите сайт в Россию. Это одно из самых частых нарушений, которое автоматически фиксирует ИИ Роскомнадзора.

Шаг 7. Настройте техническую защиту данных

Минимальные меры:

• Шифрование передачи данных (HTTPS/TLS)

• Резервное копирование

• Антивирусная защита

• Контроль доступа к базам данных

• Логирование всех операций с ПДн

Шаг 8. Подготовьте внутренние документы (для компаний с сотрудниками)

Если у вас есть штатные сотрудники, дополнительно нужны:

• Приказ о назначении ответственного

• Положение об обработке и защите ПДн

• Журнал обращений субъектов ПДн

• Журнал учёта инцидентов

• Договоры с подрядчиками, обрабатывающими ПДн (CRM, сервисы аналитики и т.д.)

Чего нельзя делать: главные ошибки бизнеса

Новые риски в 2026 году: жалобы конкурентов

Важный момент: конкуренты всё чаще используют жалобы в Роскомнадзор как инструмент давления. Роскомнадзор обязан проверить любую жалобу, даже анонимную. Уже есть случаи блокировки сайтов и наложения штрафов «по наводке» от конкурентов.

Вывод: даже мелкая недоработка — это потенциальный удар по бизнесу. Не оставляйте лазеек.

Что будет в 2026 году и дальше

Эксперты прогнозируют:

• Массовые проверки — Роскомнадзор переходит на системный мониторинг, количество проверок вырастет

• Цифровизация согласий — запуск единого реестра согласий на «Госуслугах», где граждане смогут видеть, кому давали согласие, и отзывать его онлайн

• Отраслевые стандарты — регулятор планирует определить, какие данные стандартно обрабатываются в разных сферах (туризм, ЖКХ, образование и т.д.)

• Ужесточение требований к биометрии — обработка биометрических данных (лицо, голос, отпечатки) потребует усиленных мер защиты и письменного согласия

Резюме: что нужно сделать прямо сейчас

Данный материал носит информационный характер и не является юридической консультацией. Для полного соответствия закону рекомендуем обратиться к профильным юристам.