Документы для сайта по 152-ФЗ и Роскомнадзор
Приводим сайт, приложение и SaaS в соответствие с 152-ФЗ: разрабатываем политику, согласия и внутренние документы, ставим на учёт в Роскомнадзоре. С 30 мая 2025 — оборотные штрафы до 3% выручки за утечки, с 1 сентября 2025 — согласие оформляется только отдельным документом.
Разработка документов и постановка на учёт
Не разрозненные шаблоны, а комплект под ваш продукт: документы на сайт, внутренние документы компании и постановка на учёт в Роскомнадзоре — чтобы вы прошли проверку без штрафов, а не «висели» на риске.
Разработка документов по 152-ФЗ
Политика, согласия (с 01.09.2025 — отдельным документом), cookie, пользовательское соглашение и оферта — под ваши формы.
Обсудить →Полная упаковка под ключ
Аудит → документы на сайт → внутренние ЛНА → постановка на учёт в РКН → внедрение. Чтобы пройти проверку без штрафов.
Обсудить →Постановка на учёт в Роскомнадзор
Готовим и подаём уведомление об обработке ПДн в РКН — постановка в реестр операторов. После реформы нужно почти всем сайтам с формами.
Обсудить →Сопровождение при проверке РКН
Запрос или проверка РКН? Готовим ответы и документы, выстраиваем позицию, снижаем риск штрафа. В сжатые сроки.
Обсудить →Цена — за комплект внешних документов по 152-ФЗ; полная упаковка и сопровождение — по объёму. Комплект обычно 1–2 недели; смету даём после брифа.
Не только сайт. То же делаем для мобильных приложений и SaaS: Privacy Policy под требования App Store и Google Play, сбор согласий внутри приложения, раскрытие сторонних SDK и трекеров. Без корректных документов приложение могут снять с публикации при модерации.
Что грозит за нарушения по ПДн
С 30 мая 2025 года — новые размеры по ст. 13.11 КоАП РФ. Ниже — основные нарушения и штрафы для юрлиц.
| Нарушение | Штраф для юрлица | Повторное |
|---|---|---|
| Обработка ПДн без согласия (ч.2) | 300–700 тыс ₽ | 1–1,5 млн ₽ |
| Согласие не отдельным документом (с 01.09.2025) | 300–700 тыс ₽ | — |
| Отсутствие политики обработки ПДн (ч.3) | 30–60 тыс ₽ | — |
| Неуведомление Роскомнадзора (ч.10) | 100–300 тыс ₽ | — |
| Утечка ПДн (по масштабу) | 3–15 млн ₽ | 1–3% выручки · 20–500 млн ₽ |
| Нарушение локализации данных | 1–6 млн ₽ | 6–18 млн ₽ |
| Незаконная передача ПДн (УК РФ, ст. 272.1) | до 10 лет | — |
Размеры по ст. 13.11 КоАП РФ (в ред. ФЗ № 420-ФЗ), уголовная ответственность — ст. 272.1 УК РФ (ФЗ № 421-ФЗ), новые правила согласия — с 01.09.2025. Штраф за утечку зависит от числа пострадавших субъектов; за нарушение локализации возможна и блокировка сайта Роскомнадзором. Актуальные размеры уточняем на дату обращения.
Комплект документов по 152-ФЗ
Внешние документы — для пользователей на сайте. Внутренние ЛНА — для регулятора и на случай проверки. Собираем согласованный комплект.
Документы на сайт
- Политика обработки персональных данных (ст. 18.1 152-ФЗ)
- Согласие на обработку ПДн — с 01.09.2025 отдельным документом (в каждой форме, отдельно на рассылку)
- Согласие на трансграничную передачу данных
- Пользовательское соглашение (Terms of Use)
- Публичная оферта — для интернет-магазинов (ст. 437 ГК РФ + ЗоЗПП)
- Информация о продавце / владельце сайта
- Cookie-политика и баннер согласия
- Уведомление Роскомнадзора (ст. 22 152-ФЗ)
- Маркировка рекламы (ОРД / ЕРИР) — если размещаете рекламу
Внутренние ЛНА
- Приказ о назначении ответственного за обработку ПДн
- Положение об обработке и защите ПДн
- Перечень ИСПДн и реестр обработки
- Согласия сотрудников на обработку ПДн
- Обязательства сотрудников о неразглашении ПДн
- Регламент реагирования на инциденты (уведомление РКН за 24 часа)
- Поручения на обработку ПДн с подрядчиками (ст. 6 152-ФЗ)
- Журнал учёта обращений субъектов ПДн
Техническая защита (модель угроз, определение уровня защищённости ИСПДн, средства защиты) — отдельная лицензируемая область; при необходимости закрываем её с профильными техническими специалистами.
С 1 сентября 2025: согласие на обработку ПДн должно быть оформлено отдельным документом — его больше нельзя «зашивать» в оферту, пользовательское соглашение или анкету. За нарушение — штраф 300 000–700 000 ₽. Обновляем формы согласий под новые правила.
ПДн граждан РФ — только на серверах в России
С 2015 года (ст. 18 ч. 5 152-ФЗ) первичные сбор, запись и хранение персональных данных граждан РФ должны происходить на территории России. За нарушение — штраф до 18 млн ₽ и блокировка сайта (так блокировали LinkedIn).
Первичная запись — в РФ
CRM, базы клиентов и формы сайта сначала записывают данные на сервер в России. Это обязательное условие 152-ФЗ.
Трансграничная передача
Синхронизация с зарубежными серверами допускается — но с согласия субъекта и с соблюдением требований (ст. 12).
Риск нарушения
Хранение за рубежом без локализации — штраф до 18 млн ₽ и блокировка сайта Роскомнадзором.
- SaaS на AWS / Google Cloud — нужна зеркальная база в РФ с первичной записью
- Рассылки через Mailchimp, CRM (HubSpot, Salesforce) — российский инстанс или экспорт в локальную базу
- В Privacy Policy — указать место хранения данных и основания трансграничной передачи
Как мы проверяем сайт на 152-ФЗ
Упаковку начинаем с аудита текущего состояния. Сервис ScanBase (наша разработка) сканирует сайт и показывает, чего не хватает по 152-ФЗ — вы сразу видите карту пробелов, а мы закрываем их документами и внедрением.
Сканируем сайт
ScanBase проверяет политику обработки ПДн, cookie-баннер и согласие, отдельные согласия в формах, уведомление РКН, а также находит сторонние трекеры и передачу данных за рубеж.
Показываем карту пробелов
Отчёт: что уже есть, чего не хватает и чем это грозит по ст. 13.11 КоАП. Понятным языком, без юридического тумана.
Закрываем документами
Готовим недостающие документы под ваши формы и процессы, внедряем на сайт и подаём уведомление в Роскомнадзор.
Проверьте свой сайт на 152-ФЗ
Бесплатно за 30 секунд: политика, cookie-баннер, согласия, трекеры, передача данных за рубеж — что нарушено, какая статья и какой штраф.
Проверку выполняет сервис ScanBase. Результат откроется в новой вкладке.
Проекты по юридической упаковке
Реальные проекты в разных юрисдикциях и нишах — SaaS, интернет-магазины, приложения, EdTech, финансовые сервисы, НКО. Детали под NDA, клиентов не раскрываем.
Упаковка платформы бизнес-аналитики
Задача: B2B-платформа аналитики с пользователями из РФ и ЕС; документы устарели и не отражали реальную обработку данных и cookies.
Сделали: комплект 152-ФЗ + GDPR — политика, согласия, Privacy/Cookie, соглашение, cookie-баннер, уведомление РКН, внедрение с разработчиками.
Результат: обновлённая юр-инфраструктура сайта под реальные процессы, готовая к compliance-аудиту.
Комплекс документов для магазина косметики
Задача: магазин с онлайн-оплатой, доставкой по РФ и email-маркетингом; документы скачаны из интернета, не под процессы.
Сделали: политика ПДн, соглашение, публичная оферта, согласия (в т.ч. на рассылки), cookie-баннер, сверка с CRM/доставкой/кассой/платёжкой, уведомление РКН.
Результат: все пользовательские сценарии приведены в соответствие закону, документы отражают реальные процессы.
Подготовка мобильного приложения к публикации
Задача: приложение с регистрацией, push, аналитикой и сторонней авторизацией; нужно под требования сторов и фактическую обработку ПДн.
Сделали: Privacy Policy, соглашение, политика ПДн, согласия, описание SDK и сторонних сервисов, рекомендации по публикации.
Результат: комплект под функциональность приложения и требования App Store / Google Play.
Документы для образовательной онлайн-платформы
Задача: курсы с ЛК, вебинарами и тестами; регистрация физлиц и по корпоративным лицензиям; документы не учитывали разные сценарии.
Сделали: соглашение, политика конфиденциальности, политика ПДн, согласия, Cookie Policy, проверка форм, внедрение.
Результат: полный комплект под архитектуру сервиса и все категории пользователей.
Упаковка фитнес-платформы с подпиской
Задача: фитнес-платформа с помесячной подпиской (автосписание, free trial, отмена), оплата в USD, международная аудитория; документов не было.
Сделали: оферта, политика конфиденциальности, cookie-политика с баннером, условия подписки (автосписание, отмена, пробный период).
Результат: комплект под международного платёжного провайдера; клиент перешёл к реализации.
Регуляторные раскрытия сайта для AFSA-лицензиата
Задача: лицензиат AFSA хотел использовать бренд и сайт международной сети без юр-связи с лицензированным юрлицом — риск misleading перед регулятором.
Сделали: заключение по AFSA (Financial Promotions, COB), перечень обязательных раскрытий и готовые тексты для сайта, формат отдельной регуляторной страницы.
Результат: развели бренд сети и юрлицо без риска misrepresentation; заключение и тексты переданы клиенту.
Пакет по персональным данным для фонда
Задача: у фонда не было комплекта по ПДн (ни для сайта, ни ЛНА), при этом данные благополучателей, доноров и подопечных собираются через формы на сайте.
Сделали: полный комплект на одно юрлицо (14 документов): опись, политика, согласия (в т.ч. отдельным документом для веб-форм), внутренние ЛНА, документация по ИСПДн.
Результат: комплект передан; структура стала эталонной моделью для НКО и АНО.
Упаковка ПДн для гимназии с шестью системами
Задача: данные учеников, родителей и сотрудников в 6 независимых системах (CRM, кадры, бухгалтерия, LMS и др.); без пакета — высокий риск при проверке РКН.
Сделали: расширенный комплект из 45 документов на 6 ИСПДн — сайт, ЛНА, документация по каждой системе, договоры поручения, уведомление РКН.
Результат: комплект подготовлен; структура легла в основу методики расчёта объёма для учебных заведений.
Разборы по 152-ФЗ и упаковке сайта
Полезные статьи, чтобы разобраться до обращения — по документам сайта, проверкам РКН и локализации.
Частые вопросы
Чем юридическая упаковка отличается от одного пользовательского соглашения?
Пользовательское соглашение — лишь один документ из комплекта. Полная упаковка по 152-ФЗ — это согласованный набор: политика обработки ПДн, формы согласий, cookie-политика и баннер, а также внутренние ЛНА (приказы, положение, модель угроз) и уведомление Роскомнадзора. На проверке РКН смотрит именно комплект и внутренние документы, а не только текст на сайте.
Что грозит за отсутствие документов по 152-ФЗ?
С 30 мая 2025 года действуют повышенные и оборотные штрафы (ФЗ № 420-ФЗ). За обработку без согласия — до 700 000 ₽, за отсутствие политики — до 60 000 ₽, за неуведомление РКН — до 300 000 ₽, за утечку ПДн — до 15 млн ₽, а при повторной — оборотный штраф 1–3% выручки (до 500 млн ₽). За нарушение локализации — до 18 млн ₽ и риск блокировки. Введена и уголовная ответственность (ФЗ № 421-ФЗ).
Нужно ли подавать уведомление в Роскомнадзор?
Да, по общему правилу оператор обязан уведомить Роскомнадзор о намерении обрабатывать ПДн до начала обработки (ст. 22 152-ФЗ). После реформы перечень исключений сократился — сейчас уведомление нужно практически всем, кто собирает данные через сайт (формы, аналитика). Готовим и подаём уведомление под ваши реальные процессы.
Обязательна ли локализация данных на серверах в России?
Да. С 2015 года (ст. 18 ч. 5 152-ФЗ) первичные сбор, запись и хранение ПДн граждан РФ должны происходить на серверах в России. Трансграничная передача и синхронизация с зарубежными системами допускаются при соблюдении условий и с согласия субъекта. За нарушение — штраф до 18 млн ₽ и блокировка сайта. Проверяем вашу инфраструктуру и настраиваем корректно.
Cookie — это персональные данные?
По разъяснениям Роскомнадзора cookie и другие идентификаторы во многих случаях относятся к персональным данным. Поэтому нужен корректный cookie-баннер с реальным выбором пользователя (а не просто «ОК»), описание категорий cookie и правовые основания. Настраиваем баннер и документы под 152-ФЗ (и GDPR, если есть аудитория ЕС).
Правда ли, что с 1 сентября 2025 согласие нужно оформлять отдельным документом?
Да. С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельным документом — его больше нельзя объединять с договором, офертой, пользовательским соглашением или анкетой, а разные цели обработки нужно разделять. За нарушение — штраф 300 000–700 000 ₽ для организаций и ИП. Мы переоформляем формы согласий на сайте под новые правила.
Упаковать сайт по 152-ФЗ?
Расскажите о продукте — проведём аудит, соберём комплект документов и ЛНА, подадим уведомление в РКН. Ответим в мессенджере в течение дня.