Главная / Блог / Закон о персональных данных: как владельцам сайтов соблюдать требования и избежать штрафов в 2025 году

Закон о персональных данных:
как владельцам сайтов соблюдать требования
и избежать штрафов в 2025 году

В современном цифровом мире персональные данные стали ценным ресурсом, а их защита — приоритетной задачей для государства и бизнеса. С 1 сентября 2022 года, а также с 1 марта 2023 года вступили в силу существенные поправки в Федеральный закон №152 «О персональных данных». Уже совсем скоро, с 30 мая 2025 года, размеры штрафов за нарушения в этой сфере значительно возрастут, а общая сумма штрафов за нарушения одним ресурсом, может достигать 18 миллионов рубле. Какие требования предъявляются к владельцам сайтов, как правильно организовать сбор и обработку персональных данных и что нужно сделать, чтобы не столкнуться с санкциями?

Закон

Сайт

Дата публикации: 02.06.2025

Время прочтения: 9 минут

1.

2.

Что такое персональные данные и кто является их оператором

Основные требования к владельцам сайтов

5.

Дополнительные требования при трансграничной передаче данных

7.

4.

Действия при утечке персональных данных

Заключение

Требования к поручению обработки персональных данных третьим лицам

Чек-лист для владельцев сайтов

6.

3.

Что такое персональные данные и кто является их оператором

Персональные данные — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. В отличие от распространенного мнения, к ним относятся не только паспортные данные, но и:

Email адреса
Номера телефонов
ФИО
Адреса доставки
Даты рождения
Фотографии
Ссылки на профили в социальных сетях
Данные из файлов cookie (IP-адрес, местоположение, информация о действиях на сайте)

Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и осуществляющие обработку персональных данных. Важно понимать, что даже индивидуальный предприниматель или физическое лицо с личным сайтом может быть оператором, если собирает данные пользователей через формы обратной связи или аналитические системы.

Основные требования к владельцам сайтов

1. Разработка и размещение Политики обработки персональных данных

Политика обработки персональных данных — обязательный документ для любого сайта, на котором собираются данные пользователей.

Она должна содержать:

Ссылку на сайт, к которому применяется
Данные о физическом или юридическом лице, получающем согласие посетителя
Цели обработки персональных данных
Категории субъектов персональных данных
Перечень обрабатываемых данных
Способы и сроки обработки и хранения
Порядок уничтожения персональных данных

Отсутствие политики может обернуться штрафом от 30 до 60 тысяч рублей согласно ст. 13.11 КоАП РФ.

2. Размещение ссылки на политику обработки в футере сайта

Политика должна быть доступна на каждой странице, где происходит сбор данных пользователей. Оптимальное решение — разместить ссылку в подвале (футере) сайта, который отображается на всех страницах.

3. Размещение предупреждающего текста о сборе персональных данных

Под каждой формой сбора данных необходимо разместить чек-бокс с текстом «Даю согласие на обработку своих персональных данных» и ссылкой на соответствующие документы.

В согласии должны быть указаны:

Наименование/ФИО и адрес оператора
Цель обработки данных
Перечень обрабатываемых данных
Перечень действий с данными и способы обработки
Информация о третьих лицах, если им поручается обработка
Срок действия согласия и способ его отзыва

Обработка персональных данных без согласия пользователя влечет штраф от 300 до 700 тысяч рублей за первое нарушение и от 1 до 1,5 миллиона рублей за повторное.

4. Уведомление о сборе cookie-файлов

Поскольку cookie считаются персональными данными, необходимо показывать новым посетителям сайта соответствующее уведомление и получать их согласие на сбор. Баннер должен содержать кнопку «Согласен» или пояснение, что продолжение использования сайта означает согласие на обработку данных.

5. Регистрация в реестре операторов персональных данных

Владельцу сайта необходимо подать уведомление в Роскомнадзор для включения в реестр операторов персональных данных. Это можно сделать через портал персональных данных.

Существуют три исключения, когда уведомление не требуется:

Обрабатываемые данные включены в госинформсистемы, созданные для безопасности государства
Данные обрабатываются в рамках законодательства по функционированию транспорта
Обработка происходит без средств автоматизации, только на материальных носителях

6. Разработка регламента ответов на запросы пользователей

С 1 сентября 2022 года срок ответа на запросы пользователей о целях сбора их данных, способах обработки и т.д. сократился с месяца до 10 рабочих дней. Необходимо заранее подготовиться к таким запросам и закрепить порядок ответов во внутренних документах.

Игнорирование запроса или несвоевременный ответ грозит штрафом от 40 до 80 тысяч рублей.

Попробовать бесплатно

Сэкономьте свои деньги

создайте сайт через нейросеть

Ответьте всего на 2 вопроса и получите готовый сайт

Дополнительные требования при трансграничной передаче данных

Если ваша компания передает данные на территорию иностранного государства или использует зарубежные сервисы (Mailchimp, Notion, Trello и другие), это считается трансграничной передачей персональных данных. В этом случае необходимо:

Подать уведомление в Роскомнадзор о трансграничной передаче через специальную форму
В течение 10 рабочих дней после подачи уведомления, если не получен запрет, можно начинать передачу данных
Учитывать, в какие страны передаются данные — они делятся на обеспечивающие «адекватную» защиту (страны-подписанты Евроконвенции и страны по отдельному приказу Роскомнадзора) и не обеспечивающие такую защиту

Требования к поручению обработки персональных данных третьим лицам

Если обработка персональных данных поручается другой компании (маркетинговому агентству, дата-центру и т.д.), это должно быть прописано в договоре.

Поручение должно содержать:

Перечень персональных данных
Все планируемые действия с ними
Цели обработки
Гарантии соблюдения конфиденциальности и безопасности
Обязанность предоставлять сведения о соблюдении требований
Обязанность хранить данные на территории РФ
Требования к защите данных согласно ст. 18 и 19 ФЗ №152

Отсутствие поручения в договоре с подрядчиком ведет к штрафу от 60 до 100 тысяч рублей, при повторном нарушении — от 100 до 300 тысяч рублей. С 30 мая 2025 года размеры штрафов возрастут: от 100 до 300 тысяч рублей за первое нарушение и от 300 до 500 тысяч рублей за повторное.

Дополнительные требования для юридических лиц

Юридические лица должны выполнять дополнительные требования:

Назначить ответственных лиц и разработать внутренние документы по обработке и защите персональных данных
Получить письменное согласие сотрудников на обработку их персональных данных
Внедрить технические и организационные меры защиты:
Антивирусные системы
Межсетевое экранирование
Разграничение прав доступа
Другие меры согласно приказу №21 ФСТЭК

AI mottor уже сделал

сайт за вас

AI mottor уже сделал сайт за вас

Ответьте всего на 2 вопроса и получите готовый сайт для вашей сферы деятельности

Попробовать бесплатно

Действия при утечке персональных данных

С 30 мая 2025 года штрафы за утечки персональных данных достигнут 15 млн рублей, а при повторных утечках — 3% от годовой выручки, но не менее 20 млн рублей.

При утечке оператор обязан:

В течение 24 часов уведомить Роскомнадзор о предполагаемых причинах и потенциальном вреде
В течение 72 часов провести расследование и сообщить о результатах

Невыполнение этих требований с 30 мая 2025 года будет наказываться штрафом от 1 до 3 миллионов рублей.

Чек-лист для владельцев сайтов

Чтобы обеспечить соблюдение всех требований закона, рекомендуется следовать этому чек-листу:

Определить, какие персональные данные собираются на сайте
Разработать и разместить политику обработки персональных данных
Добавить ссылку на политику в футер сайта
Разместить под формами сбора данных чек-бокс с текстом о согласии
Разместить на сайте уведомление об использовании cookie
Подать уведомление в реестр операторов персональных данных Роскомнадзора
Разработать регламент ответов на запросы пользователей
Проверить формы на предмет избыточных персональных данных (особенно для интернет-магазинов)
При необходимости подать уведомление о трансграничной передаче данных
Для юрлиц — разработать внутренние документы и внедрить технические меры защиты

Сгенерировать сайт

Не тратьте дни на разработку пусть ИИ сделает это за вас

Ответьте всего на 2 вопроса и получите готовый сайт для вашей сферы деятельности

Заключение

Соблюдение законодательства о персональных данных — не только юридическая необходимость, но и показатель ответственного отношения к пользователям. С учетом ужесточения ответственности с 30 мая 2025 года, всем владельцам сайтов важно своевременно привести свои ресурсы в соответствие с требованиями закона.

Правильная организация работы с персональными данными позволит избежать штрафов, которые могут достигать многомиллионных сумм, и повысит доверие пользователей к вашему сайту. Помните, что защита персональных данных — это не только формальное соблюдение требований, но и забота о безопасности информации ваших клиентов.

Внедрение всех рекомендаций из этой статьи поможет вам создать надежную систему обработки и защиты персональных данных, соответствующую всем современным требованиям российского законодательства.

Получить урок бесплатно

Cделайте ваш сайт продающим вместе с mottor campus

Cделайте ваш сайт продающим вместе
с mottor campus

Бесплатный урок от специалистов компании mottor

Закон о персональных данных:
как владельцам сайтов соблюдать требования
и избежать штрафов в 2025 году

Оглавление

Что такое персональные данные и кто является их оператором

Основные требования к владельцам сайтов

1. Разработка и размещение Политики обработки персональных данных

2. Размещение ссылки на политику обработки в футере сайта

3. Размещение предупреждающего текста о сборе персональных данных

4. Уведомление о сборе cookie-файлов

5. Регистрация в реестре операторов персональных данных

6. Разработка регламента ответов на запросы пользователей

Дополнительные требования при трансграничной передаче данных

Требования к поручению обработки персональных данных третьим лицам

Дополнительные требования для юридических лиц

Действия при утечке персональных данных

Чек-лист для владельцев сайтов

Заключение

Читайте также: