152-ФЗ

Да. По ст. 9 152-ФЗ обработка данных по общему правилу возможна только с согласия, а оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Чекбокс не может быть предустановлен, а с 1 сентября 2025 года согласие оформляется отдельным документом – включать его пунктом в оферту или анкету нельзя. Штраф за нарушение правил согласия для юрлиц – 300–700 тыс. рублей (ч. 2 ст. 13.11 КоАП).

Да. С 1 сентября 2022 года (поправки 266-ФЗ) уведомлять Роскомнадзор до начала обработки обязаны практически все операторы – достаточно собирать хотя бы email или телефон клиента. Исключения по ч. 2 ст. 22 узкие: безопасность государства, обработка без средств автоматизации, транспортная безопасность. За неуведомление юрлицам и ИП грозит 100–300 тыс. рублей (ч. 10 ст. 13.11 КоАП).

Прямой нормы «cookie – это ПДн» в 152-ФЗ нет. Но по позиции Роскомнадзора и правоприменительной практике 2025–2026 годов cookies и IP-адрес в связке с другими данными могут признаваться персональными данными, потому что позволяют косвенно определить человека. Отсюда практика cookie-баннеров с равноправными вариантами «Принять» и «Отклонить».

Отсутствие или непубликация политики обработки персональных данных – ч. 3 ст. 13.11 КоАП: для юрлиц 30–60 тыс. рублей, для должностных лиц 6–12 тыс. Обязанность издать политику и открыть к ней неограниченный доступ установлена ст. 18.1 152-ФЗ – для сайта это отдельная страница, доступная без регистрации. Обычно нарушение идёт в связке с другими составами, поэтому итоговая сумма выше.

По ст. 18 ч. 5 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ при сборе, в том числе через интернет, должны вестись в базах данных на территории России. Передача данных за рубеж – это трансграничная передача по ст. 12: с 1 марта 2023 года действует уведомительный порядок, до начала передачи оператор обязан уведомить Роскомнадзор.

По поправкам 420-ФЗ (в силе с 30.05.2025) первая утечка обойдётся юрлицу в 3–15 млн рублей в зависимости от числа пострадавших субъектов: 3–5 млн при 1–10 тыс., 5–10 млн при 10–100 тыс., 10–15 млн свыше 100 тыс. Утечка спецкатегорий – 10–15 млн, биометрии – 15–20 млн. Повторная утечка – оборотный штраф 1–3% выручки за предыдущий год: от 20–25 млн до 500 млн рублей.

Если сайт не собирает никаких данных посетителей, обязанности оператора по нему не возникают. Но ситуацию меняет любая форма обратной связи, онлайн-чат, комментарии или сбор данных счётчиками аналитики – как только появляется обработка данных, по которым можно определить человека, владелец сайта становится оператором со всеми обязанностями: согласие, политика, уведомление Роскомнадзора.