Если на вашем сайте есть форма «оставьте телефон, перезвоним» - вы оператор персональных данных. Не с того дня, когда узнали, а с минуты первой заявки. Закон требует четырёх вещей: политику обработки на странице сбора, согласие по правилам ст. 9 152-ФЗ, уведомление Роскомнадзора до начала обработки и отказ от зарубежной базы. По ст. 13.11 КоАП РФ штраф за отсутствие политики начинается от 10 000 рублей для ИП, а за зарубежную базу доходит до 6 000 000 рублей.

Тема выглядит как забота юристов из больших компаний, и ровно поэтому владельцы небольших сайтов узнают о ней от Роскомнадзора, а не от своего подрядчика - и уже влипают в штрафы на десятки и сотни тысяч. Разберём по порядку: кто вообще считается оператором, что именно требует закон, сколько стоит каждый пропуск и почему у ИП суммы считаются по трём разным правилам.

Оператор персональных данных: кто им становится

Представьте владельца автосервиса в спальном районе - назовём его Сергеем. Сайт ему собрал фрилансер года три назад: шесть страниц, прайс, карта проезда и форма «оставьте телефон, перезвоним и рассчитаем». Форма работает. Заявки капают. Сергей доволен и про закон о персональных данных вспоминает раз в год - когда снова слышит новость про штраф какому-нибудь банку. Пример собирательный: конкретных сайтов и клиентов мы не называем.

А по закону Сергей уже три года - оператор персональных данных. Не с того дня, когда узнал. С минуты первой заявки в форму.

Статус оператора никто не присваивает и никуда не вписывает. Собрали данные - стали оператором. «У меня же просто визитка с формой» звучит как оправдание. Для закона это как раз признание: форма и есть сбор.

Кто считается оператором: и компания, и ИП, и самозанятый - если сами решают, зачем им чужие данные и что с ними делать. Размер бизнеса роли не играет (п. 2 ст. 3 152-ФЗ, ред. от 24.06.2025).

Что закон считает персональными данными

У Сергея в форме два поля: имя и телефон. Он бы сказал, что персональных данных не собирает - паспорт же не спрашивает.

Но закон смотрит не на паспорт, а на простой вопрос: можно ли по этим данным понять, о ком речь. Телефон из формы обратного звонка - уже да. ФИО плюс адрес - тем более. Перечня полей нет, есть только этот критерий (п. 1 ст. 3 152-ФЗ, ред. от 24.06.2025).

Знакомо? Многие думают: «я же не банк и не клиника». Для формы на сайте этого не нужно.

Дальше - четыре вещи, которые закон требует от Сергея, и цена каждого пропуска.

Обязанность первая: политика обработки там, где идёт сбор

С политики. Повесить её на сайт дешевле всего, а отсутствие видно с первой страницы.

Оператор, который собирает персональные данные через сайт, обязан опубликовать на страницах этого сайта документ о своей политике обработки персональных данных и сведения о реализуемых требованиях к защите данных, а также обеспечить доступ к документу через сеть. Так устроена ч. 2 ст. 18.1 152-ФЗ в редакции от 24 июня 2025 года. Санкция записана в ч. 3 ст. 13.11 КоАП РФ: для ИП от 10 000 до 20 000 рублей, для юридического лица от 30 000 до 60 000 рублей.

У Сергея политики нет вообще. Фрилансер про неё не спрашивал, Сергей не знал, что она нужна, - и на этом всё закончилось. Самая частая находка на сайтах малого бизнеса и одновременно самая простая: вопрос не в деньгах, а в том, что никто не сказал.

В ч. 1 той же статьи есть и более длинный список мер: назначить ответственного, издать локальные акты, наладить внутренний контроль, обучить сотрудников. Хорошая новость для ИП: первые два пункта закон адресует только операторам в статусе юридического лица.

Обязанность вторая: согласие по правилам ст. 9

Политика - это документ оператора о себе, он висит на сайте для всех. Согласие - совсем другое: это то, что даёт вам конкретный человек. А путают их чаще всего.

Согласие на обработку персональных данных человек даёт свободно, своей волей и в своём интересе. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Форма любая, если она позволяет подтвердить факт получения согласия и если федеральный закон не требует другого. Ещё одно требование ч. 1 ст. 9 152-ФЗ: согласие оформляется отдельно от иных информации и документов, которые человек подтверждает или подписывает.

Последнее предложение и есть та норма, из-за которой одна галочка сразу под оферту, политику и рассылку выглядит рискованно. Представьте: Сергей решает навести порядок и ставит под формой одну галочку - «согласен с условиями и на обработку данных, хочу получать акции». Выглядит аккуратно, а по смыслу нормы это три разных согласия, склеенных в одно, и человек не может дать одно и отказаться от другого.

Есть случаи, когда закон требует согласия именно письменного. Тогда у документа появляется обязательный состав из девяти сведений (ч. 4 ст. 9 152-ФЗ): кто даёт согласие, кому, зачем, на какие данные, что с ними будут делать, как долго и как отозвать. Для формы на сайте письменное согласие обычно не требуется.

Нехватка обязательных сведений даёт состав по ч. 2 ст. 13.11 КоАП РФ: для юридического лица от 300 000 до 700 000 рублей, при повторном нарушении по ч. 2.1 от 1 000 000 до 1 500 000 рублей.

Обязанность третья: уведомление Роскомнадзора

А вот здесь начинаются суммы, из-за которых тема вообще стала громкой.

Уведомить Роскомнадзор о намерении обрабатывать персональные данные оператор обязан до начала обработки (ч. 1 ст. 22 152-ФЗ, ред. от 24.06.2025). Срок привязан к событию, а не к календарю: обработка началась - уведомление должно быть уже подано.

Вернёмся к Сергею. Форма собирает телефоны третий год. Уведомление он не подавал - не знал, что должен. Причём подать его ничего не стоит. Один документ. А штраф за неподачу или опоздание по ч. 10 ст. 13.11 КоАП РФ - от 100 000 до 300 000 рублей, и для ИП сумма ровно та же, что для юридического лица. Скидки за то, что автосервис маленький, в этой норме нет.

Нет политики - до 20 000 для ИП. Нет уведомления - до 300 000. Разница в пятнадцать раз.

Сравните масштаб: разница лежит в бумаге, которую можно подать за вечер.

Здесь многие рассчитывают проскочить: раньше в законе был длинный список исключений, и под него попадали почти все. Тех исключений больше нет - пункты 1-6 утратили силу с 1 сентября 2022 года (Федеральный закон от 14.07.2022 N 266-ФЗ). В ч. 2 ст. 22 осталось три, и два из них про государственные системы и транспортную безопасность. Владельцу сайта подходит ровно одно: обработка без средств автоматизации, то есть на бумаге. Форма на сайте - это ровно автоматизация.

При подаче ждут ещё два сюрприза. Если сведения в уведомлении неполные или недостоверные, Роскомнадзор не отказывает, а требует уточнить их до внесения в реестр (ч. 6 ст. 22 152-ФЗ). И заполняется уведомление не одним блоком, а по каждой цели обработки отдельно: для каждой указывают категории данных, категории субъектов, правовое основание, перечень действий и способы обработки (ч. 3.1 ст. 22 152-ФЗ).

Обязанность четвёртая: не держать базу с данными россиян за границей

Эта обязанность кажется совсем не про малый бизнес - до момента, когда выясняется, куда именно уходят заявки с сайта.

Формулировка закона здесь запретительная, и это важно. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных за пределами России не допускаются, в том числе при сборе через интернет. Так устроена ч. 5 ст. 18 152-ФЗ в редакции от 24 июня 2025 года. То есть закон не предписывает «хранить в России», он запрещает зарубежную базу, а узкие исключения из запрета перечислены в п. 2, 3, 4 и 8 ч. 1 ст. 6 152-ФЗ.

Нарушение образует состав по ч. 8 ст. 13.11 КоАП РФ в редакции кодекса от 4 июля 2026 года. Для ИП и для юридического лица сумма одна и та же. При повторном нарушении по ч. 9 - от 6 000 000 до 18 000 000 рублей.

Для владельца небольшого сайта это самая дорогая строка во всём разборе. Она включается там, где заявки первично уезжают в зарубежный сервис, минуя российскую базу.

И вот тут Сергей уязвим сильнее, чем думает. Форму фрилансер подключил к первому удобному сервису. Куда тот складывает заявки, никто не выяснял. Сам Сергей ни одного решения про базы данных не принимал: решение принял подрядчик три года назад, а отвечает за него оператор.

Сколько стоит нарушение

Все суммы взяты из ст. 13.11 КоАП РФ в редакции от 4 июля 2026 года.

Что нарушено Норма ИП Юридическое лицо
Политика обработки не опубликована, доступа к ней нет ч. 3 ст. 13.11 10 000-20 000 ₽ 30 000-60 000 ₽
Роскомнадзор не уведомлён или уведомлён с опозданием ч. 10 ст. 13.11 100 000-300 000 ₽ 100 000-300 000 ₽
Нет письменного согласия там, где оно обязательно, либо в согласии нет обязательных сведений ч. 2 ст. 13.11 как должностное лицо: 100 000-300 000 ₽ 300 000-700 000 ₽
Обработка в случаях, не предусмотренных законом, либо несовместимая с целями сбора ч. 1 ст. 13.11 как должностное лицо: 50 000-100 000 ₽ 150 000-300 000 ₽
База с данными россиян за пределами России ч. 8 ст. 13.11 1 000 000-6 000 000 ₽ 1 000 000-6 000 000 ₽
Роскомнадзор не уведомлён об утечке ч. 11 ст. 13.11 1 000 000-3 000 000 ₽ 1 000 000-3 000 000 ₽

Ещё одна строка в кодексе считается в проценте от выручки, а не в рублях - это повторная утечка данных (ч. 15 ст. 13.11 КоАП РФ). Для автосервиса с одной формой на сайте это далёкий сюжет, поэтому просто держите в голове: такой механизм в законе есть.

Почему у ИП в таблице разные суммы

Здесь массовые публикации ошибаются чаще всего: подставляют предпринимателю одну строку на все случаи. В кодексе правил три, и Сергею важно только одно из них.

Там, где предприниматель назван в тексте самой нормы, у него своя сумма - в таблице выше это части 3, 4 и 5. А вот по неуведомлению Роскомнадзора и по зарубежной базе работает примечание 1 к ст. 13.11: ИП отвечает как юридическое лицо. То есть на двух самых дорогих строках скидки «я же просто ИП» не будет вообще. По остальным частям предприниматель в норме не назван, и включается общее правило примечания к ст. 2.4 КоАП РФ - он отвечает как должностное лицо.

Верхняя граница диапазона и реальность

Диапазон в статье кодекса задаёт потолок. Между нижней и верхней границей есть пространство, и заполняется оно обстоятельствами конкретного дела.

По ч. 1 ст. 4.1.1 КоАП РФ штраф за впервые совершённое нарушение, выявленное в ходе государственного контроля (надзора) или муниципального контроля, подлежит замене на предупреждение. Формулировка кодекса именно такая, «подлежит замене», а не «может быть заменён»: это не право того, кто рассматривает дело, а его обязанность. Ст. 13.11 в перечень исключений из ч. 2 ст. 4.1.1 не входит.

Условия при этом должны выполняться все сразу: нарушение первое, предупреждение не предусмотрено санкцией самой статьи, и налицо обстоятельства ч. 2 ст. 3.4 КоАП РФ - нет причинённого вреда и угрозы вреда по перечню из нормы (люди, окружающая среда, объекты культурного наследия, безопасность государства) и нет имущественного ущерба. Есть ли они в конкретном деле, решает не оператор. Поэтому таблица выше - не список неизбежных потерь, но и не список сумм, от которых легко отмахнуться.

Что изменилось 30 мая 2025 года

До мая 2025 не подать уведомление в Роскомнадзор почти ничего не стоило: должностному лицу - сотни рублей, компании - несколько тысяч (ст. 19.7 КоАП РФ). С 30 мая 2025 это уже другой мир: отдельный штраф до 300 000 рублей, и для ИП сумма та же, что для компании (ч. 10 ст. 13.11 КоАП РФ). Именно поэтому тема вдруг стала громкой: потолок вырос на два порядка.

Откуда дата: Федеральный закон от 30.11.2024 N 420-ФЗ вступил в силу через 180 дней после публикации - 30 мая 2025 года. Он добавил в ст. 13.11 новые составы (части 10-18) и поднял штрафы по частям 1 и 1.1.

А вот штраф за отсутствие политики тогда не трогали. Суммы в ч. 3 ст. 13.11 стоят ещё с 2021 года. Если где-то пишут, что с 2025 вырос и он - это ошибка.

С чего начать

Сергею из нашего примера достаточно четырёх вещей: политика на странице с формой, нормальное согласие, уведомление в Роскомнадзор и база не за границей. Больше всего ему обычно стоит именно уведомление - до 300 000, а подать его бесплатно.

Если в его истории узнали свой сайт - не надо сразу читать кодекс целиком. Проверьте страницы бесплатно: сканер покажет, что уже видно снаружи. Дальше будет понятнее, с чего чинить.

Частые вопросы

Считается ли email в форме персональными данными?

Да, если по нему можно прямо или косвенно определить человека: перечня «вот эти поля данные, а эти нет» в п. 1 ст. 3 152-ФЗ нет. Адрес вида имя-фамилия на домене работодателя определяет человека почти всегда. Обезличенный ящик из набора цифр остаётся спорным случаем и решается по обстоятельствам обработки.

Нужна ли политика обработки сайту-визитке без форм?

Ч. 2 ст. 18.1 152-ФЗ привязывает обязанность публиковать документ на страницах сайта именно к сбору данных через этот сайт: нет сбора - нет и этой привязки. Но первое предложение той же части требует обеспечить неограниченный доступ к политике в принципе, поэтому вопрос переходит в другой: обрабатывает ли владелец персональные данные где-то ещё, например данные сотрудников.

Достаточно ли ссылки на политику в футере?

Закон описывает результат и не описывает оформление: документ опубликован на страницах, где идёт сбор, и доступ к нему через сеть работает (ч. 2 ст. 18.1 152-ФЗ). Ссылка в подвале физически попадает на все страницы сайта, включая страницу с формой. Значение имеет то, открывается ли по ней сам документ.

Нужно ли согласие на cookie и счётчики аналитики?

Отдельной нормы про cookie в 152-ФЗ нет. Вопрос упирается в то же определение из п. 1 ст. 3: позволяет ли собранное прямо или косвенно определить человека. Сверенной правоприменительной практики по этому сюжету у нас нет, поэтому категоричного ответа и конкретных сумм здесь не будет. Тема решается юридической оценкой конкретного набора данных и целей их обработки.

Сколько стоит подать уведомление в Роскомнадзор?

Нисколько: ч. 5 ст. 22 152-ФЗ запрещает возлагать на оператора расходы за рассмотрение уведомления и внесение в реестр. Сведения вносятся в реестр в течение тридцати дней с даты поступления уведомления (ч. 4 ст. 22 152-ФЗ). Формы уведомлений утверждены Приказом Роскомнадзора от 28.10.2022 N 180, а порядок подачи мы здесь намеренно не пересказываем: он меняется, и сверять его надо на портале персональных данных, а не по статьям в блогах.

Уведомление подаётся один раз?

Нет. При изменении сведений из ч. 3 ст. 22 152-ФЗ оператор уведомляет Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений. При прекращении обработки на уведомление даётся десять рабочих дней (ч. 7 ст. 22 152-ФЗ). Приказ Роскомнадзора от 28.10.2022 N 180 утверждает три формы сразу: о намерении обрабатывать данные, об изменении сведений и о прекращении обработки.

Источники

Ссылки на 152-ФЗ - редакция от 24.06.2025, на КоАП РФ - редакция от 04.07.2026.

Нормы сверены по первоисточникам 25 и 26 июля 2026 года.