Вопрос «какие документы нужны сайту» обычно задают в отрыве от самого сайта. Получают в ответ общий список из пяти пунктов, ставят на сайт всё подряд и успокаиваются. Мы предлагаем зайти с другой стороны: открыть главную страницу и посмотреть, что на ней реально работает. Набор бумаг определяется не типом CMS и не размером компании, а тем, какие данные проходят через сайт и куда они потом уходят.
Ниже три сайта, с которыми мы сталкиваемся чаще всего, и разбор по элементам.
Сначала одно правило
Персональные данные по 152-ФЗ: любая информация, которая относится к прямо или косвенно определённому человеку. Имя в форме, телефон, адрес доставки. Сюда же РКН относит IP-адрес и cookie, которые собирают Яндекс Метрика и похожие счётчики.
Отсюда простой вывод. Если на сайте есть хотя бы одна форма или хотя бы один счётчик аналитики, владелец сайта становится оператором персональных данных. Дальше вопрос только в том, сколько документов понадобится сверх обязательного минимума.
Элемент сайта и что он тянет за собой
| Что стоит на сайте | Какие данные уходят | Что нужно оформить |
|---|---|---|
| Форма «Перезвоните мне» | имя, телефон | политика обработки ПДн, отдельное согласие, чекбокс в форме |
| Онлайн-запись с выбором времени | имя, телефон, иногда email | то же, плюс в политике указать сервис записи, если он внешний |
| Счётчик Метрики, пиксель рекламы | IP, cookie, поведение на сайте | упоминание в политике, уведомление о cookie |
| Подписка на новости и акции | отдельное согласие на рекламные рассылки | |
| Корзина и оплата | ФИО, адрес, телефон, история заказов | оферта, политика, согласие, описание передачи курьеру и платёжному сервису |
| Личный кабинет | логин, данные профиля | пользовательское соглашение (правила пользования) |
| Виджет чата или звонка от стороннего сервиса | имя, телефон, переписка | указать сервис в политике как получателя данных |
| Хостинг или CRM за рубежом | всё, что собирает сайт | проверить локализацию, при передаче за границу отдельное согласие на трансграничную передачу |
Таблица не исчерпывающая, но сайт обычной компании из сферы услуг почти всегда в неё укладывается.
Пример первый: стоматология на конструкторе
Типичный сайт клиники: пять страниц, форма записи на консультацию, кнопка WhatsApp, Метрика, карта проезда.
Что тут собирается: имя и телефон пациента в форме, IP и cookie через счётчик. Медицинских сведений сайт не просит, и это хорошо. Если в форму добавить поле «Опишите, что беспокоит», в неё начнут писать про здоровье, а это уже специальная категория данных с другими требованиями. Мы советуем такое поле убрать.
Минимальный набор для такой клиники:
- политика обработки персональных данных, ссылка на неё в подвале каждой страницы;
- согласие на обработку отдельным документом, на него ссылается чекбокс в форме записи;
- уведомление о cookie, потому что работает Метрика;
- уведомление в РКН о намерении обрабатывать данные, подаётся до начала обработки;
- приказ о назначении ответственного за организацию обработки, если клиника оформлена как ООО.
Пользовательское соглашение такому сайту по сути не нужно: кабинета нет, ничего не продаётся онлайн.
Пример второй: автосервис с онлайн-записью и рассылкой
Сайт автосервиса устроен чуть сложнее. Запись идёт через внешний виджет, клиент указывает марку машины, госномер и телефон. Отдельным блоком висит «Подпишитесь, пришлём сезонные скидки на шиномонтаж».
Здесь появляются две новые вещи.
Первая: данные уходят во внешний сервис записи. Это передача третьему лицу, и в политике нужно прямо написать, кому и зачем данные передаются. Если сервер этого виджета за пределами России, придётся разбираться с локализацией: с 1 июля 2025 года первичный сбор данных граждан РФ должен идти в российские базы.
Вторая: подписка на скидки. Это реклама. С 1 сентября 2025 года согласие на обработку оформляется отдельно от других документов, а согласие на рекламные рассылки собирается отдельно ещё и от согласия на обработку для записи. Одна галочка «согласен на всё» не работает. Подробнее о рассылках в статье про согласие на email-рассылку.
Пример третий: школа английского с оплатой курса
Школа продаёт курсы прямо на сайте: выбор тарифа, корзина, оплата картой, после оплаты доступ в личный кабинет с уроками.
Этот сайт закрывает почти всю таблицу выше. Набор документов:
- Публичная оферта: договор заключается в момент оплаты, условия должны быть на сайте до неё.
- Пользовательское соглашение для личного кабинета.
- Политика обработки ПДн с перечнем получателей: платёжный сервис, платформа уроков, CRM.
- Согласие на обработку отдельным документом.
- Отдельное согласие на рассылки, если школа присылает подборки и акции.
- Уведомление о cookie.
- Уведомление в РКН и приказ об ответственном.
Если ученики бывают несовершеннолетними, вопрос согласия становится тоньше, и шаблон тут лучше не использовать.
Что смотреть, кроме самих документов
Документ, который лежит на сайте, но ни к чему не привязан, проверку не проходит. С 2025 года РКН ведёт автоматический мониторинг сайтов: скрипт ищет политику, чекбокс согласия в формах и уведомление о cookie. Поэтому полезно проверить механику:
- ссылка на политику есть в подвале на всех страницах, а не только на главной;
- в каждой форме есть чекбокс, по умолчанию он пустой;
- чекбокс ведёт на текст согласия, а не на политику;
- под формой подписки отдельная галочка для рекламы;
- уведомление о cookie появляется до того, как пользователь начал листать, и не закрывает контент;
- в политике перечислены реальные сервисы, которые стоят на сайте сегодня;
- реквизиты в документах совпадают с реквизитами на сайте и в договорах.
Последний пункт кажется мелочью, но на нём спотыкаются сайты, где документы делали три года назад для другого юрлица.
Сколько стоит ошибка
Штрафы по ст. 13.11 КоАП после изменений 30 мая 2025 года заметно выросли. Самый частый состав для маленького сайта: не опубликована политика или к ней нет доступа. Для юрлица это от 30 до 60 тыс. рублей, для ИП от 10 до 20 тыс. Обработка без согласия или с согласием, оформленным с нарушениями, обходится юрлицу уже от 300 до 700 тыс. рублей. Подробная раскладка по всем частям статьи в материале о штрафах по 13.11 КоАП.
С чего начать
Пройдитесь по своему сайту с таблицей выше и выпишите каждый элемент, который что-то собирает. Получится короткий список, у кого-то из двух строк, у кого-то из семи. Под него и нужны документы. Как устроена политика внутри, мы разобрали в статье о составе политики обработки ПДн, а про согласие отдельным документом в отдельном материале.
Если не хочется считать вручную, бесплатная проверка на главной по адресу сайта или ИНН покажет, каких документов не хватает именно вам.