Обработка персональных данных на сайте: что требует закон в 2026 году

Какие данные сайт обрабатывает

• Всё, что человек вводит в формы: имя, телефон, e-mail, адрес, сообщение.
• Данные регистрации и личного кабинета: история заказов, настройки, переписка.
• Данные счётчиков и рекламных систем: cookie, идентификаторы устройства, IP-адрес. Роскомнадзор считает, что вместе с другими сведениями они позволяют определить человека.

1. Законное основание

Обрабатывать данные можно только при одном из оснований из части 1 статьи 6 закона 152-ФЗ. Для сайтов чаще всего это договор с человеком, например заказ, или его согласие, например подписка и аналитика. Цели нужно определить заранее: статья 5 запрещает собирать данные «про запас» и использовать их для других целей.

2. Политика обработки персональных данных

Часть 2 статьи 18.1 требует опубликовать политику на страницах сайта, через которые собираются данные. В ней перечисляют цели, состав данных, основания, сроки хранения, права человека и меры защиты. За неопубликованную политику юрлицу грозит 30–60 тысяч рублей.

3. Согласие, если основание это согласие

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (статья 9). С 1 сентября 2025 года его оформляют отдельно от других документов: от политики, оферты и пользовательского соглашения. На сайте это пустая отметка у формы со ссылкой на отдельный текст согласия.

4. Cookie и счётчики

Закон не упоминает cookie-баннер прямо. Но по позиции Роскомнадзора аналитические и рекламные cookie лучше включать только после согласия посетителя. Технически необходимые cookie, например корзина и авторизация, согласия не требуют.

5. Хранение в России

Часть 5 статьи 18 требует записывать и хранить данные граждан России в базах на территории России. Это касается хостинга, CRM, сервиса рассылок и чата. Передать данные за границу потом можно только по правилам статьи 12 и после уведомления Роскомнадзора о трансграничной передаче.

6. Уведомление Роскомнадзора

До начала обработки оператор подаёт уведомление в Роскомнадзор (статья 22). С 1 сентября 2022 года исключений почти не осталось, и сайтов с формами они не касаются. Проверить себя можно в открытом реестре операторов по ИНН.

7. Защита и утечки

Оператор обязан защищать данные (статья 19): HTTPS, ограничение доступа, резервные копии, обновления. Если произошла утечка, Роскомнадзор нужно уведомить в течение 24 часов, а результаты расследования направить в течение 72 часов (часть 3.1 статьи 21).

8. Вход на сайт

Если на сайте есть регистрация, вход для российских пользователей разрешён только по номеру телефона, через Госуслуги, Единую биометрическую систему или российские сервисы, например VK ID и Яндекс ID. С 7 июля 2026 года за вход через Google или Apple ID штрафуют по статье 13.55 КоАП.

Как проверить свой сайт

Пройдите требования по списку выше или соберите чек-лист под свой тип сайта. Большую часть пунктов 152check проверяет автоматически за минуту.

Статья описывает общие правила и не заменяет консультацию юриста по персональным данным.