152-ФЗ: персональные данные, оператор, согласие

Оператор персональных данных — тот, кто организует их обработку, например владелец сайта с формой. Для каждого поля нужны цель, основание и срок хранения.

Оговорка до начала

Это урок ориентировочный, и его текст датирован: 28 октября 2026 года. Закон о персональных данных менялся в 2022, 2023, 2025 и 2026 годах и будет меняться. Урок не юридическая консультация. Он объясняет, что спрашивать, а не что отвечать: для настоящего сайта итоговые тексты и порядок действий проверяет юрист, а действующую редакцию закона вы смотрите сами по ссылкам в конце урока. Где ниже стоят номера статей, их можно найти в тексте закона, а где сказано «практика», это толкование, которое сегодня принято, но не буква закона.

Почему это про вас

В уроке о приватности по замыслу вы уже видели главное: если сайт собирает имя и телефон, вы работаете с персональными данными. Здесь тот же вопрос, но с юридической стороны.

Основные слова закона (152-ФЗ, статья 3):

• Персональные данные это любая информация, относящаяся прямо или косвенно к определённому или определяемому человеку. Имя, телефон, почта, адрес, фотография, паспорт. Сведения об организации (название, ОГРН) не персональные, но имя её сотрудника и его рабочая почта уже да.
• Обработка это любое действие с данными: сбор, запись, хранение, использование, передача, удаление. Просто получить заявку и хранить её в почте уже обработка.
• Оператор это тот, кто организует и осуществляет обработку и определяет, зачем и как. Если форма на вашем сайте собирает имена, оператор вы. Самозанятый, ИП и организация одинаково. Закон не применяется к тому, что человек делает для личных и семейных нужд (записная книжка с телефонами друзей), но сайт с формой для клиентов под это не подпадает.
• Субъект это человек, чьи данные обрабатывают: ваш посетитель.
• Лицо, обрабатывающее данные по поручению это тот, кому вы поручили часть обработки: сервис форм, почтовая служба, CRM. Вы остаётесь ответственным перед человеком.

Три вопроса к каждому полю

Закон (статья 5) требует, чтобы обработка была законной и справедливой, ограничивалась конкретными целями, не шла дальше этих целей, а данные были точными и хранились не дольше, чем нужно. Цель и срок вы уже закладывали в схему базы в уроке о приватности по замыслу; закон добавляет к ним основание. Для формы это превращается в три вопроса к каждому полю:

1. Зачем? Цель называют заранее и конкретно. «Связаться по заявке» это цель, «для маркетинга» нет. Не нужное для цели не собирают: дата рождения «на всякий случай» не цель.
2. На каком основании? Закон (статья 6) перечисляет основания обработки. Для сайта чаще всего встречаются: согласие человека; договор (обработка нужна, чтобы заключить договор по просьбе человека или исполнить его); требование закона (например, бухгалтерский учёт); законный интерес оператора, если он не нарушает прав человека. Для заявки на консультацию иногда подходит «заключение договора по инициативе человека», но принято и безопаснее брать согласие: его понятно, как доказать, и оно показывает, что вы честны.
3. Как долго? Срок записывают числом и условием удаления («три года после последнего обращения, затем удаляю»). Данные без срока копятся вечно.

Заполнив эти три ответа для каждого поля, вы получаете реестр: из него потом пишется политика, согласие и ответ юристу.

Проверьте себя: какие три вопроса задают каждому полю формы?

Зачем оно (цель), на каком основании (согласие, договор, закон, законный интерес) и как долго хранится (срок и удаление).

Согласие

Согласие (статья 9) должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. Для формы это значит:

• человек сам совершает действие: ставит галочку, которая изначально пуста. Предзаполненная галочка, «нажимая кнопку, вы соглашаетесь» и молчание согласием не считаются (это практика, вытекающая из слов «сознательное» и «однозначное»);
• он видит, на что именно соглашается: кто оператор, какие данные, для чего;
• оператор должен уметь доказать, что согласие получено: дата, версия текста, цель (вы это делали в уроке о приватности по замыслу, записывая согласие как факт);
• с 1 сентября 2025 года (Федеральный закон от 24 июня 2025 года № 156-ФЗ) согласие нужно оформлять отдельно от иных информации и документов, которые человек подтверждает или подписывает: нельзя прятать его внутри договора-оферты или пользовательского соглашения, нужна своя галочка и свой текст; согласия, полученные до этой даты, не требуют переоформления;
• согласие можно отозвать, и это должно быть так же просто, как дать;
• рассылка это отдельная цель и отдельное согласие (статья 18 закона «О рекламе», подробнее в уроке про почтовые рассылки и в уроке о законе о рекламе).

Как сказать всё это простыми словами в тексте формы, вы разбирали в уроке о юридических и экспертных текстах. Согласие нужно не всегда: если обработка нужна для договора или закона, согласие может не требоваться. Но на сайте с формой оно почти всегда есть. Как его оформить в разметке, вы разберёте в следующем уроке.

Права человека

Человек вправе узнать, какие его данные вы обрабатываете и зачем, потребовать их уточнить, заблокировать или удалить, отозвать согласие, пожаловаться в Роскомнадзор и в суд (статьи 14 и 17). Обращение нужно принять и ответить: срок ответа по статье 20 составляет десять рабочих дней (его можно продлить не более чем на пять рабочих дней с мотивированным уведомлением). Поэтому в политике нужен адрес, по которому можно обратиться, а у вас процесс: кто смотрит почту, что делает при просьбе об удалении (включая копии и журналы, как в уроке о приватности по замыслу). Срок на прекращение обработки после отзыва согласия указан в статье 21; он измеряется днями, а не месяцами.

Что лежит на операторе

Основные обязанности владельца сайта с формой. Каждая со статьёй, чтобы вы могли найти и прочесть.

• Политика это документ о политике в отношении обработки данных, который публикуют на сайте, где данные собираются через интернет (статья 18.1). Как её писать, в следующем уроке.
• Уведомление Роскомнадзора (статья 22). По общему правилу оператор до начала обработки уведомляет Роскомнадзор, указав цели, категории данных и другое. Исключения в статье есть, например данные работников, но они толкуются узко, а за неподачу введена отдельная ответственность. Поэтому владельцы небольших сайтов чаще всего подают уведомление, и это делают через портал персональных данных Роскомнадзора, а решение подтверждает юрист.
• Хранение в России (статья 18, часть 5). При сборе данных граждан России запись, накопление и хранение первичных данных идут в базах на территории России. Это уже было в уроке о приватности по замыслу и в уроке о российских требованиях к данным; здесь повторять не будем.
• Передача за границу (статья 12). Если данные получает иностранный сервис (чат-виджет, зарубежная рассылка), оператор до начала такой передачи уведомляет Роскомнадзор и оценивает защиту в стране получателя. 26 июля 2026 года принят Федеральный закон № 265-ФЗ, который меняет эту статью, уточняя критерии адекватной защиты, поэтому смотрите действующую редакцию.
• Поручение обработки (статья 6, часть 3). Сервису форм, почтовой службе, CRM вы поручаете обработку договором или принятыми условиями. В поручении записаны цели, меры защиты и ответственность.
• Защита (статья 19): правовые, организационные и технические меры, соразмерные риску. Для небольшого сайта это то, что вы делали в уроке о безопасности сайта и в уроке о безопасности формы: обновления, пароли, HTTPS, проверка ввода, доступ по ролям.
• Особые категории (статья 10): здоровье, политические и религиозные взгляды, судимость и подобное обрабатывают строже. Если форма не просит их, но человек пишет сам в свободном поле, это ваша проблема: подскажите не писать лишнее, а полученное удаляйте. У адвоката, нотариуса и судебного эксперта к этому добавляется профессиональная тайна.
• Утечки (статья 21). Если произошла утечка персональных данных, оператор сообщает об инциденте Роскомнадзору в течение двадцати четырёх часов с момента обнаружения, а в течение семидесяти двух часов направляет результаты внутреннего расследования. Поэтому у вас должен быть ответственный и план заранее. Организация также назначает лицо, ответственное за организацию обработки (статья 22.1).

Откройте схему, отметьте, что есть на вашем сайте, и посмотрите, какие обязанности из этого следуют.

Отметьте, что есть на вашем сайте. Карта покажет, какие обязанности оператора персональных данных из этого следуют. Это учебная карта на 28 октября 2026 года, а не консультация: законы меняются.

• Форма заявки (имя, телефон)
• Счётчик посещений (Яндекс Метрика)
• Запись действий посетителей (Вебвизор)
• Иностранный чат-виджет
• Рассылка новостей
• Личный кабинет или вход
• Оплата на сайте
• Заявки принимает сторонний сервис форм или CRM
• В поле «Сообщение» люди описывают своё дело, здоровье, семью
• На сайте фотографии людей

Ничего не отмечено: сайт ничего не знает о людях, и обязанностей по персональным данным нет.

Текстовая альтернатива: схема связывает десять возможностей сайта (форма, счётчик, запись сессий, иностранный чат, рассылка, кабинет, оплата, сторонний приёмник заявок, свободный текст о деле, фотографии) с обязанностями оператора: определить цели и основания, взять отдельное согласие, опубликовать политику, уведомить Роскомнадзор, хранить данные в России, разобраться с передачей за границу, оформить поручение сервису, отдельное согласие на рассылку, особые категории, готовность к утечке.

Проверьте себя: форму принимает сторонний сервис. Чьи это обязанности?

Оператор по-прежнему вы: сервис обрабатывает данные по вашему поручению. Вам нужно оформить поручение, узнать, где данные хранятся, и назвать сервис в политике.

Что менялось в 2025 и 2026 годах

Нужно знать об этом сразу: тексты в интернете устаревают быстрее закона. Вот что менялось и когда (на 28 октября 2026 года):

• 30 мая 2025 года вступили в силу изменения в Кодекс об административных правонарушениях (Федеральный закон от 30 ноября 2024 года № 420-ФЗ): штрафы по статье 13.11 выросли, появились отдельные составы за неуведомление Роскомнадзора и за утечки, а за повторные утечки введены штрафы, считаемые от выручки.
• 1 сентября 2025 года вступило в силу правило об отдельном согласии (№ 156-ФЗ, выше).
• 26 июля 2026 года принят № 265-ФЗ о передаче данных за границу, в силу вступают его части в разные даты, поэтому его надо читать полностью.

Суммы штрафов здесь не приводятся, потому что они зависят от состава и различаются в источниках и редакциях; смотрите актуальный текст статьи 13.11 Кодекса и спрашивайте юриста.

Ответственность

Нарушения влекут административные штрафы для граждан, должностных лиц, ИП и организаций (статья 13.11 Кодекса об административных правонарушениях), а ещё жалобы человека в Роскомнадзор и иски. По публикациям юристов, Роскомнадзор проверяет сайты, в том числе автоматически; частые находки: нет политики, нет отдельного согласия, нет уведомления, данные собираются в зарубежную базу. В 2024 году в Уголовном кодексе появилась статья 272.1 о незаконном использовании данных, полученных неправомерным доступом; добросовестного владельца сайта она не касается, но показывает серьёзность темы.

Для сайта эксперта

Экспертный сайт (адвокат, судебный эксперт, кадастровый инженер) получает в форме не только имя и телефон: человек часто описывает своё дело. Там могут быть сведения о здоровье, семье, судимости и о других людях, которые вообще не давали согласия. Что делать: в подсказке сказать, что подробности писать не нужно, собирать только то, что нужно для первого контакта, вести разговор по защищённому каналу и помнить про профессиональную тайну. Если вы адвокат, ваши обязанности по тайне строже закона о персональных данных.

Практика

Вы в эпохе 2022 года, сайт хранит заявки и подключает сервисы. Составьте реестр обработки для формы вашего проекта: оператор, источник, цели, основания и сроки по каждому полю, место хранения, сервисы-получатели, особые данные и решение об уведомлении.

Проверка читает структуру: что все ячейки заполнены, что сроки с числами, что хранение названо российским, что сервисов не меньше двух. Правильность решений она оценить не может: так же, как в предыдущих уроках, итоговый вариант покажите юристу.

Что было не так раньше

Закон о персональных данных принят в 2006 году, но многие годы на сайты он «не доходил»: формы собирали данные без политики и согласий, а письма с заявками копились на личной почте владельца. В 2015 году вступило правило о хранении данных граждан в России. С 2022 года правила стали строже одно за другим: сообщения об утечках, уведомления о передаче за границу, отдельное согласие, оборотные штрафы. Сегодняшняя практика состоит в том, чтобы относиться к данным как к чужой вещи на хранении: записать, зачем взяли, не брать лишнего и вернуть или уничтожить в срок.