152-ФЗ для сайта малого бизнеса: минимум, чтобы не оштрафовали

Сайту с формой заявки нужны четыре вещи: политика конфиденциальности, чекбокс согласия со ссылкой на неё, уведомление в Роскомнадзор и хранение данных на серверах в России. Штрафы по статье 13.11 КоАП начинаются от 60 тысяч рублей для ИП и от 150 тысяч для юрлица.

Если у вас на сайте есть форма, в которую человек вводит хотя бы имя и телефон — вы оператор персональных данных по 152-ФЗ. Не «юридическое лицо с пятью сотнями клиентов», а просто оператор. И на вас распространяется тот же набор требований, что и на крупный банк, только с более снисходительным подходом инспектора.

В 2026 году штрафы по 13.11 КоАП пересчитаны и реально доходят до бизнеса: РКН за прошлый год выписал на порядок больше постановлений, чем за позапрошлый. Ниже разбираю минимум, который нужен сайту малого бизнеса, чтобы не попасть на ровном месте, и без юридического жаргона, как обычно делают типовые статьи.

На какие сайты вообще распространяется 152-ФЗ

Правило простое: если сайт собирает любые данные, по которым можно идентифицировать конкретного человека, — это персональные данные, и закон применяется.

Конкретные примеры, что считается ПДн:

Имя плюс телефон
Имя плюс email
Только email (если он содержит ФИО или явно идентифицирует человека)
Адрес доставки
Дата рождения и пол вместе
IP-адрес плюс cookie плюс поведение на сайте (трактуется как косвенные ПДн)
Любое фото лица в личном кабинете

Что НЕ персональные данные:

Название компании и общий телефон офиса (это юридическое лицо, не физлицо)
Анонимная статистика без привязки к идентификатору
Email на корпоративном домене вида info@company.ru без ФИО

В реальности почти любая форма обратной связи, заявка, форма подписки, корзина магазина, регистрация в кабинете — попадают под закон. Даже если вы просто шлёте уведомления в Telegram, факт сбора уже есть. Не имеет значения, храните ли вы данные после: сам факт сбора и передачи через вашу инфраструктуру делает вас оператором.

Микробизнес и ИП — тоже операторы

Часто слышу: «у меня же только сайт-визитка, я ИП без сотрудников, какой я оператор». Закон не делает скидок на форму ведения бизнеса. ИП, самозанятый, физлицо, продающее курсы со своего сайта, — все одинаково попадают под требования.

Единственное послабление — обработка для личных нужд (личный блог без коммерции, где нет форм). Но как только появляется форма «оставьте контакт, я перезвоню» — всё, оператор.

Минимальный набор, чтобы спать спокойно

Это пять вещей, без которых даже сайт-визитка нарушает закон. Не делайте только что-то одно, нужны все пять.

Политика конфиденциальности в открытом доступе на сайте.
Чекбокс согласия под каждой формой, по умолчанию пустой, со ссылкой на политику.
Уведомление в Роскомнадзор о начале обработки ПДн (пока не отправляли — отправьте сегодня, это бесплатно и онлайн).
Локализация хранения на территории РФ для российских граждан.
Журнал согласий на стороне сервера: что, когда, кто, какой текст согласия был на момент клика.

Каждый пункт разберу подробно ниже. Если хочется быстрого аудита текущего сайта, прогоните себя по этому списку: чего нет — того не хватает.

Уведомление в РКН за 20 минут

Это самый простой пункт, который почему-то откладывают. Идёте на портал pd.rkn.gov.ru/operators-registry/notification/form/, заполняете форму. Нужно:

Реквизиты оператора (ИП или юрлицо)
Цели обработки (например, «консультирование клиентов по услугам», «обработка заявок», «продвижение услуг»)
Категории субъектов (клиенты, посетители сайта)
Категории данных (ФИО, контактные данные, иные данные, указанные в форме)
Перечень действий с ПДн (сбор, запись, систематизация, накопление, хранение, передача)
Способы обработки (автоматизированная и неавтоматизированная)
Описание мер безопасности (общими словами, без подробностей)
Дата начала обработки

Регистрация занимает 30 дней по закону, на практике в 2026 году чаще 5-7 дней. После регистрации вы попадаете в публичный реестр, что само по себе хороший сигнал клиентам и поисковикам. Подача бесплатная, госпошлины нет.

Не уведомили? По 13.11 ч.10 КоАП штраф 30-50 тысяч на ИП, до 100 тысяч на юрлицо. И это самое лёгкое нарушение, его выписывают по факту обнаружения — инспектору не нужно доказывать ущерб.

Какие штрафы реально прилетают малому бизнесу в 2026

Усиление ответственности по 152-ФЗ, которое прошло несколько лет назад, в 2026 уже даёт практику. Что я видел у клиентов и в открытых решениях судов.

Нарушение	Норма КоАП	Штраф ИП/юрлицо	Частота в малом бизнесе
Нет уведомления в РКН	13.11 ч.10	30-50 / 60-100 тыс.	Очень часто
Нет согласия на обработку	13.11 ч.1.1	60-100 / 150-300 тыс.	Часто
Нет политики на сайте	13.11 ч.3	20-40 / 30-60 тыс.	Часто
Утечка ПДн до 1000 субъектов	13.11 ч.13	200-400 / 3-5 млн	Редко
Утечка ПДн 10-100 тыс. субъектов	13.11 ч.14	350-600 / 5-10 млн	Редко (но больно)
Хранение за пределами РФ	13.11 ч.8	200-400 / 1-6 млн	Бывает с CRM на иностранных серверах

Штрафы от 60 тысяч и выше для ИП и от 150 тысяч для юрлица — это уже больно для малого бизнеса. Если случилась утечка, штрафы идут от миллиона. И в 2026 при повторном нарушении в течение года применяются оборотные штрафы — процент от выручки за прошлый год.

Откуда РКН узнаёт про нарушение

Три источника на практике:

Жалоба недовольного клиента или конкурента (самое частое).
Плановая проверка по графику (раз в три года, есть план на сайте).
Внеплановая после утечки или публикации в СМИ.

Жалоба от человека уходит в личный кабинет инспектора через сайт РКН за 5 минут. Дальше инспектор делает контрольную закупку: открывает ваш сайт, заполняет форму, фиксирует, что нет чекбокса или политики. Этого достаточно для протокола.

Чекбокс согласия: как сделать правильно

Самое больное место. Вижу постоянно три ошибки, каждая из которых делает согласие недействительным.

Ошибка 1: чекбокс отмечен по умолчанию

Закон требует, чтобы согласие было активным действием субъекта. Если галочка стоит сама и пользователь её не снимал — это не согласие, это вы сами себе разрешили обрабатывать его данные. Суд такое легко отменяет.

Правильно:

<label>
  <input type="checkbox" name="consent" required>
  Я даю согласие на обработку персональных данных
  и подтверждаю ознакомление с
  <a href="/privacy/" target="_blank">политикой конфиденциальности</a>
</label>

Без checked. Атрибут required — чтобы форма не отправлялась без галочки на стороне клиента (на стороне сервера тоже валидируем, не доверяем браузеру).

Ошибка 2: нет ссылки на политику рядом с чекбоксом

Согласие даётся на конкретные цели, прописанные в политике. Если нет ссылки — человек не мог ознакомиться с целями, согласие невалидно. Ссылка должна быть рабочей и вести на актуальную версию документа.

Ошибка 3: нет журнала согласий на сервере

Через год пришёл человек, говорит «я не давал согласия, удалите данные и заплатите штраф». Что вы покажете? Нужен журнал на стороне сервера, который пишет каждый клик по чекбоксу и отправку формы.

Минимум, что должно быть в журнале для каждой записи:

Timestamp с точностью до секунды
IP-адрес отправителя
User-Agent
Хэш текста согласия (чтобы доказать, что текст не менялся постфактум)
Идентификатор формы (где именно дали согласие)
Сами данные субъекта или их хэш (чтобы потом можно было сопоставить с конкретной заявкой)

Простейший пример на PHP, который я ставлю клиентам:

<?php
$consentText = file_get_contents(__DIR__ . '/../private/consent_text.html');
$consentHash = hash('sha256', $consentText);

$logEntry = [
    'ts'         => date('c'),
    'ip'         => $_SERVER['REMOTE_ADDR'] ?? 'unknown',
    'ua'         => $_SERVER['HTTP_USER_AGENT'] ?? 'unknown',
    'form_id'    => $_POST['form_id'] ?? 'main',
    'subject'    => hash('sha256', $_POST['email'] ?? $_POST['phone']),
    'consent_h'  => $consentHash,
    'consent_v'  => '2026-01-15',
];

file_put_contents(
    __DIR__ . '/../private/consents.log',
    json_encode($logEntry, JSON_UNESCAPED_UNICODE) . "n",
    FILE_APPEND | LOCK_EX
);

Файл consents.log лежит вне webroot (/private/ рядом с public_html/), доступ только у владельца, ротация раз в год. Этого хватает для любого спора — инспектор увидит, что у вас структурированный лог с хэшем версии согласия, и идёт дальше.

Текст согласия

Минимальный текст, которого достаточно:

Я даю согласие ИП Иванов Иван Иванович (ИНН 123456789012) на обработку моих персональных данных, указанных в настоящей форме, в целях обработки заявки и предоставления услуг, на условиях, указанных в Политике конфиденциальности.

Если хотите подробнее — можно перечислить категории данных и цели прямо в тексте. Для коротких форм лучше сослаться на политику, чтобы не загромождать форму простынёй текста.

Локализация хранения данных

По части 5 статьи 18 152-ФЗ: запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ должны производиться с использованием баз данных, находящихся на территории России.

Что это означает на практике:

Хостинг сайта с базой данных — в РФ. Любой нормальный российский провайдер (Reg.ru, Timeweb, Beget, FirstVDS, Selectel) подходит.
CRM-сервис — российский. Bitrix24, amoCRM, RetailCRM, Мегаплан — подходят. HubSpot, Salesforce, Pipedrive — не подходят.
Email-рассылки — через российский сервис. Sendsay, UniSender, DashaMail — подходят. Mailchimp, ConvertKit — не подходят.
Файловое хранилище для загрузок пользователей — российское. Yandex Object Storage, VK Cloud, Selectel S3 — подходят. AWS S3, Google Cloud Storage — не подходят.
Аналитика — Яндекс Метрика подходит. Google Analytics формально требует уведомления о трансграничной передаче и согласия субъекта.

Если уже сидите на иностранном сервисе — переезд в РФ это не моментально, но реально за 2-4 недели для типичного малого бизнеса. Подробнее по миграциям пишу в материалах раздела /blog/category/support/.

Что считается трансграничной передачей

Если ПДн уходят в страну, не обеспечивающую адекватную защиту по списку РКН, это трансграничная передача. До неё нужно отдельное письменное согласие субъекта (не общее в форме, а конкретное на передачу) и уведомление РКН.

Список стран с адекватной защитой обновляется. На начало 2026 года в нём преимущественно страны Совета Европы и ЕАЭС. США, Великобритания, Израиль — не входят с 2023-го. То есть любой американский SaaS-сервис требует двойного оформления, что для малого бизнеса нереально.

Проще переехать на российский сервис.

Что делать, когда пришёл запрос

Запросы бывают двух типов: от субъекта ПДн (человек хочет узнать, что вы про него знаете, или удалить данные) и от РКН (плановая или внеплановая проверка).

Запрос от субъекта

Срок ответа — 10 рабочих дней с момента получения запроса. Не календарных, рабочих. Запрос может прийти любым способом: письмом, email, через форму на сайте. Если у вас на сайте указан общий адрес для запросов — все запросы туда и пойдут.

Что нужно ответить:

Подтвердить факт обработки или дать обоснованный отказ.
Перечислить, какие именно данные о субъекте у вас есть.
Указать цели обработки и правовое основание.
Описать, кому передаются данные (если передаёте).
Сообщить, как и в какие сроки данные будут уничтожены.

Если просят удалить — удалить за тот же срок и письменно подтвердить удаление. Если данные нужно сохранить по другим основаниям (например, для бухучёта и налоговой — 5 лет хранения) — объяснить, какие данные и почему остаются.

Шаблон ответа я обычно держу готовый, чтобы не писать каждый раз с нуля. Запросы редкие, но всегда срочные.

Запрос от РКН

Срок ответа в требовании всегда указан, обычно 3-10 рабочих дней. Игнорировать категорически нельзя — это отягчающее обстоятельство и почти гарантированный штраф.

Что обычно просят:

Копию согласий (вот тут пригодится журнал, который мы делали выше).
Копию политики конфиденциальности и подтверждение её публикации.
Документ о назначении ответственного за обработку ПДн.
Документы по локальным актам (положение об обработке, положение о реагировании на инциденты).
Технические подтверждения (где хранится БД, какие меры защиты).

Если у вас всё это есть — отвечаете в срок, инспектор закрывает запрос. Если чего-то нет — готовите оперативно и отдаёте, что можете. Хуже всего — тянуть и не отвечать вообще.

Чек-лист на 20 минут для аудита своего сайта

Прогоните себя по этому списку прямо сейчас. Каждое «нет» — дыра, которую надо закрыть в течение недели.

[ ] Политика конфиденциальности есть в подвале каждой страницы
[ ] Политика открывается по ссылке и читается без авторизации
[ ] В политике указан оператор с реквизитами и контактами
[ ] Под каждой формой есть чекбокс согласия
[ ] Чекбокс по умолчанию пустой
[ ] Рядом с чекбоксом ссылка на политику
[ ] На сервере пишется лог согласий с timestamp, IP, хэшем текста
[ ] Лог хранится вне webroot, недоступен извне
[ ] Я подал уведомление в РКН и попал в реестр операторов
[ ] Хостинг сайта в РФ
[ ] CRM в РФ
[ ] Email-рассылка через российский сервис
[ ] Аналитика — Яндекс Метрика, не Google Analytics
[ ] Назначен ответственный за обработку ПДн (приказ для юрлица или письменное решение для ИП)
[ ] Есть положение об обработке ПДн (типовое, минимум 5-7 страниц)
[ ] У меня готов шаблон ответа на запрос субъекта
[ ] У меня есть инструкция, что делать в случае утечки

Если набралось меньше 12 галочек — сайт под риском штрафа. Если меньше 8 — инспектор найдёт нарушения с первого визита.

Типичные мифы, которые обходятся дорого

«У меня нет интернет-магазина, я не оператор». Любая форма с именем и контактом делает вас оператором. Размер бизнеса не имеет значения.

«Я работаю по самозанятости, на меня не распространяется». Распространяется на всех, кто обрабатывает ПДн в коммерческих целях. Самозанятость — форма налогообложения, не освобождение от 152-ФЗ.

«У меня всего 50 заявок в год». Количество не имеет значения для применения закона. Имеет значение для тяжести штрафа за утечку, но не для базовых требований.

«Я повесил политику конфиденциальности из интернета, этого хватит». Скорее всего нет. Шаблонные политики часто не указывают актуального оператора, неправильно описывают цели, ссылаются на устаревшие нормы. РКН такие политики легко находит. Подробнее про подводные камни шаблонов разберу в статье про политику конфиденциальности.

«Достаточно одного раза согласиться при регистрации». Согласие даётся на конкретные цели. Если потом начали слать рекламные рассылки — нужно отдельное согласие на рассылку. Если передаёте данные третьим лицам — отдельное согласие на передачу.

«Метрика и Google Analytics — это технические данные, не ПДн». В судебной практике 2024-2025 годов идентификатор Метрики в связке с поведением считается косвенным ПДн. Поэтому в политике надо упоминать аналитику, а в форме согласия — факт её использования.

С чего начать, если ничего нет

Реалистичный план на одну неделю.

День 1. Берёте типовую политику конфиденциальности из проверенного источника (РКН на своём сайте даёт примеры), адаптируете под себя (реквизиты, цели, перечень категорий, контакты). Кладёте в public/privacy/index.html или эквивалент в CMS. Добавляете ссылку в подвал шаблона.

День 2. Правите формы: добавляете чекбокс с правильным текстом и ссылкой. Проверяете, что без галочки форма не отправляется ни на клиенте, ни на сервере.

День 3. Ставите серверный лог согласий. Если нет программиста — подключите простой обработчик типа того, что я показал выше. Проверьте, что лог пишется и что в него попадают все нужные поля.

День 4. Подаёте уведомление в РКН через портал. Это полчаса.

День 5. Проверяете, что хостинг и все сервисы в РФ. Если что-то иностранное — планируете миграцию на ближайший месяц.

День 6-7. Готовите минимальный пакет внутренних документов: приказ о назначении ответственного, положение об обработке. Шаблоны есть в открытом доступе.

После этого вы перекрываете 90% типичных нарушений и переходите из категории «штрафанут с первого захода» в категорию «если придут — есть что показать».

Если хочется делегировать

Если в свободное время разбираться нет сил, или хочется, чтобы юридический минимум поставил человек с практикой — напишите мне через /#contact. Аудит сайта на соответствие 152-ФЗ занимает день, постановка минимума — 3-5 дней с учётом правок форм, политики и лога. Цены на сопутствующие пакеты есть на /#pricing, и юридическая поддержка идёт отдельным блоком, который можно подключать к любому тарифу.

Дополнительные материалы по теме — в разделе /blog/category/legal-and-integrations/. Там разбираю чек-боксы согласия, политику конфиденциальности построчно, настройку Метрики так, чтобы она не противоречила закону, и работу с виджетами и CRM.

Частые вопросы

Нужно ли подавать уведомление в Роскомнадзор

Да. Собираете через форму хотя бы имя и телефон, значит вы оператор персональных данных и уведомление подаёте. Подают его через портал РКН, бесплатно, за вечер.

Какой штраф за отсутствие политики конфиденциальности

По статье 13.11 КоАП от 60 тысяч рублей для ИП и от 150 тысяч для юрлица. При утечке суммы начинаются от миллиона, а при повторном нарушении в течение года применяются оборотные штрафы, то есть процент от выручки.

Как правильно оформить чекбокс согласия

Галочка не должна стоять заранее, текст рядом с ней ведёт на политику конфиденциальности отдельной ссылкой, отправка формы без согласия блокируется. Требования к согласию описаны в тексте 152-ФЗ.

Обязательно ли хранить данные в России

Да, база с персональными данными россиян должна находиться на серверах в России. Зарубежные сервисы форм и рассылок это требование нарушают, даже если сам сайт лежит на российском хостинге.

152-ФЗ для сайта малого бизнеса: минимум, чтобы не оштрафовали