ВЕБ ШТУРМ
Обсудить →

152-ФЗ для веб-форм в 2026: чек-лист для коммерческого сайта

Веб Штурм
  • 152-ФЗ
  • compliance
  • юриспруденция
  • веб-формы
  • ПДн

С июля 2025 года любая форма обратной связи на коммерческом сайте обрабатывает персональные данные граждан РФ — а значит, попадает под 152-ФЗ. После поправок 30 мая и 1 июля 2025 штрафы за нарушения вышли в диапазон 300 000 ₽ — 18 млн ₽ в зависимости от типа и масштаба. Простой чек-лист «убрать reCAPTCHA, заменить на SmartCaptcha» это не решает. Ниже — полный набор проверок, который мы прогоняем на любом клиентском сайте перед тем, как сказать «соответствует».

Контекст

Чтобы не путаться: «персональные данные» по 152-ФЗ — это любая информация, прямо или косвенно идентифицирующая физическое лицо. Имя в форме обратной связи — ПДн. Email — ПДн. IP-адрес посетителя сайта — ПДн (в комбинации с другими данными). Cookies — могут быть.

Что меняли поправки 2025 года:

Источники: vc.ru, klerk.ru, altcor.ru.

Чек-лист: 8 проверок коммерческого сайта

1. Сайт зарегистрирован оператором ПД в Роскомнадзоре

Без этого — 300 000 ₽ за один факт. Подача заявления — бесплатно через pd.rkn.gov.ru, типичный срок рассмотрения 30 дней.

В заявлении указывают: цели обработки, категории ПДн, способы обработки, срок хранения, лиц, имеющих доступ.

2. Политика обработки ПДн опубликована и ссылка на неё видна

Минимальный объём — 1500-2500 слов, 8 секций (общие положения, цели, перечень собираемых ПД, порядок и сроки, передача третьим лицам, меры защиты, права субъектов, контакты).

Ссылка на политику должна быть в подвале каждой страницы и на странице с формой.

3. На каждой форме — явное согласие на обработку

Формулировка: «Отправляя форму, я подтверждаю согласие на обработку персональных данных в соответствии с Политикой обработки ПДн».

Должно быть «active consent» — отдельный чекбокс или кнопка отправки с текстом, прямо связанным с согласием. Pre-checked не допускается.

4. Ни одна капча/аналитика не передаёт ПДн в страны без адекватной защиты

В чёрном списке де-факто:

Российские альтернативы:

Замена не косметика, а юридический gate.

5. Хостинг — в РФ или у оператора с адекватной защитой данных

Серверы AWS, Google Cloud, DigitalOcean без российского региона — нарушение. Используем self-hosted на 185.179.188.145 (РФ дата-центр) для всех клиентских проектов с формами.

6. На сервере есть аудит-лог обращений к ПДн

Кто, когда, с какого IP читал/писал ПДн — должно сохраняться. На Postgres это row-level audit triggers + auth.users.last_sign_in_at. Срок хранения логов — не менее года.

7. Срок хранения ПДн фиксирован и автоматически удаляется

Заявка обработана? Обычно 1-3 года хранения, потом автоматический truncate. Если у вас «храним всё навсегда» — это нарушение принципа минимизации.

-- Пример автоматического truncate через cron + pg_partman
SELECT cron.schedule(
  'truncate_old_form_submissions',
  '0 3 1 * *',  -- 1-го числа каждого месяца в 3:00
  $$ DELETE FROM form_submissions WHERE created_at < now() - interval '3 years' $$
);

8. Заявления на удаление ПДн обрабатываются за ≤30 дней

По 152-ФЗ субъект ПДн имеет право потребовать удаления. У вас должен быть процесс: контактный email, форма запроса, SLA не более 30 дней. На политике нужно явно указать как обратиться.

Практическая реализация для типового сайта

Ставим на новые проекты сразу, на старые — по запросу:

Где конкретные формулировки

В нашем legal-pack под 152-ФЗ есть готовые шаблоны:

Используем при подготовке клиентов к аттестации или ГИС ЭП интеграциям.

Что мы из этого вынесли

  1. 152-ФЗ — это про инфраструктуру, не про форму. Замена капчи без замены аналитики — половина решения.
  2. Штраф 18 млн ₽ всё ещё дешевле репутации. Главный ущерб — публикация в реестре нарушителей и потеря доверия гос-клиентов.
  3. Делать сразу при запуске нового продукта проще, чем переделывать. Cost-of-fix растёт нелинейно — на работающем сайте с трафиком замена капчи требует уведомления пользователей.

Ссылки