Справочник по 152-ФЗ

Короткие ответы на частые вопросы о персональных данных на сайте. Каждый — с разбором и ссылками на подробные материалы.

• Нужно ли согласие на cookie на сайте в 2026 году?

  Да, если сайт использует аналитические или рекламные cookie (счётчики, пиксели, ретаргетинг): они идентифицируют посетителя, значит это персональные данные, и на их установку нужно согласие по статье 9 152-ФЗ — полученное до того, как cookie поставлены. Технические cookie (сессия, корзина, выбор языка) согласия не требуют.

• Какой штраф за отсутствие политики конфиденциальности на сайте?

  По части 3 статьи 13.11 КоАП РФ: для юридических лиц — от 30 000 до 60 000 ₽, для индивидуальных предпринимателей — от 10 000 до 20 000 ₽. Недоступная политика (ссылка ведёт на ошибку 404 или нерабочий файл) приравнивается к её отсутствию.

• Можно ли использовать Google Analytics в России в 2026 году?

  Юридически рискованно. Google Analytics получает данные посетителя (IP, устройство, идентификаторы) и передаёт их за рубеж до того, как они записаны в российскую базу — это нарушает требование о локализации (ч. 5 ст. 18 152-ФЗ). Безопаснее использовать российскую аналитику — Яндекс Метрику.

• Что будет, если не подать уведомление в Роскомнадзор об обработке персональных данных?

  Неподача или несвоевременная подача уведомления — самостоятельный состав по части 10 статьи 13.11 КоАП РФ: штраф для юридических лиц от 100 000 до 300 000 ₽, для должностных лиц и ИП от 30 000 до 50 000 ₽. Штраф назначается независимо от других нарушений.

• Является ли email персональными данными?

  Как правило, да. Если по адресу электронной почты можно прямо или косвенно определить человека (содержит имя и фамилию, привязан к аккаунту, хранится вместе с другими данными о человеке), это персональные данные. Полностью обезличенный адрес вида info@company.ru — обычно нет.

• Нужна ли политика обработки персональных данных для сайта-визитки без форм?

  Если на сайте нет ни форм, ни аналитических счётчиков, ни онлайн-чата, ни виджета обратного звонка — обработки персональных данных может не быть, и политика не обязательна. Но счётчик Яндекс Метрики, виджет звонка или карта с формой уже делают вас оператором, и тогда политика нужна.

• Нужно ли согласие на обработку персональных данных для формы обратной связи?

  Да. Форма, которая собирает имя, телефон или email, требует согласия субъекта персональных данных. На практике это отдельный, заранее не отмеченный чекбокс рядом с кнопкой отправки со ссылкой на политику. Приписки «нажимая кнопку, вы соглашаетесь» недостаточно.

• Нужно ли уведомление в Роскомнадзор, если обрабатываются только данные сотрудников?

  Да. Исключение «обработка в связи с трудовыми отношениями» отменено с 1 сентября 2022 года. Даже если компания обрабатывает только данные своих сотрудников (кадровый учёт, зарплата), уведомление в Роскомнадзор подавать нужно.

• Как прекратить обработку персональных данных и исключить сведения из реестра операторов?

  Оператор направляет в Роскомнадзор уведомление о прекращении обработки персональных данных, после чего сведения исключаются из реестра. Перед этим нужно фактически прекратить обработку и уничтожить (или обезличить) данные, оформив это актом.

• Какой штраф за использование cookie без согласия?

  Установка аналитических или рекламных cookie до получения согласия — обработка персональных данных без согласия по части 1 статьи 13.11 КоАП РФ: для юридических лиц от 150 000 до 300 000 ₽. Если счётчик иностранный, отдельно может применяться ответственность за нарушение локализации (ч. 8, до 6 млн ₽).

Автор материалов: Андронов Юрий, руководитель ПДн.Риск.