Сбор данных клиентов через веб-формы: как избежать штрафа до 6 млн рублей в 2026 году

У многих компаний и ИП на сайте до сих пор размещена шаблонная политика обработки персональных данных и работает форма обратной связи с автоматически проставленными галочками. Одни проигнорировали закон № 152-ФЗ «О персональных данных», другие не заметили, третьи вообще о нем не слышали.

Тем временем штрафы даже за формальные нарушения выросли в разы. Проблема даже не в самой веб-форме, а в том, как через нее выстроен процесс сбора маркетинговых данных. Разбираем риски, ошибки и делимся советами, как их избежать:

• Какова цена ошибки при сборе маркетинговых данных клиентов

• Штрафы: что будет, если нарушить требования

• Как правильно составить политику обработки персональных данных

• Риски при нарушении требования о локализации

• «Мы маленькие и нам ничего не грозит» — опасная позиция

• Чек-лист: что можно сделать уже сейчас

Какова цена ошибки при сборе данных клиентов на сайте

Многие компании на своих сайтах собирают данные посетителей в маркетинговых целях:

• пол;

• возраст;

• геолокацию;

• контакты;

• историю покупок;

• ресурс и устройства, с которых заходят пользователи;

• какие страницы смотрели;

• сколько времени на них провели.

Всё это нужно для анализа аудитории, улучшения продаж и персонализации предложений. Однако для сбора данных пользователей нужно соблюдать определенные требования, иначе компанию ждут большие штрафы.

Что будет, если нарушить требования обработки данных клиентов — размеры штрафов

Основные риски связаны с несоблюдением формальных требований:

1. Для сбора персональных данных нужны законные основания, поэтому под формой должны быть отдельные ссылки на текст согласия/пользовательского соглашения или иного основания. Штраф при их отсутствии — до 300 000 рублей (по ч. 1 статьи 13.11 КоАП РФ).

2. Все сведения о себе пользователи должны давать добровольно и быть осведомлены об этом, когда:

   1. регистрируются в личном кабинете;

   2. подписываются на рассылку;

   3. заполняют формы заказа, калькулятор стоимости, анкеты или всплывающие окна с опросами или предложением скидки.

   Если принцип добровольности нарушен, и в форме автоматически проставлены галочки согласия на обработку данных (это тоже правонарушение), штраф — до 300 000 рублей (по ч. 1 статьи 13.11 КоАП РФ).

3. Для маркетинговых рассылок всегда нужно отдельное согласие пользователя, поэтому под каждой формой размещайте чекбокс для согласия на рассылку. При этом согласия должны соответствовать общим требованиям ч. 1 ст. 9 № 152-ФЗ. Иначе могут назначить штраф до 300 000 рублей (по ч. 1 статьи 13.11 КоАП РФ).

4. Компания не может требовать от пользователя больше личной информации, чем нужно для маркетинговой цели — это нарушение закона. Например, если для рассылки новостей кроме почты просят указать должность или другие данные, сбор которых не объясняется целью. Штраф за избыточный сбор данных — до 300 000 рублей (по ч.1 ст. 13.11 КоАП РФ).

5. Политика конфиденциальности должна быть опубликована на вашем сайте. В ней необходимо описать бизнес-процессы с условиями обработки данных. Штраф за отсутствие политики на сайте — до 60 000 рублей (по ч. 3 ст. 13.11 КоАП РФ).

6. Уведомление «Принять Cookie» должно отображаться на сайте. Cookie — это тоже персональные данные, так как присваивают уникальный ID, позволяют идентифицировать пользователя и отследить его поведение. Поэтому при входе на сайт должно появиться всплывающее уведомление с предложениями «Принять» или «Отклонить» cookie-файлы, а также ссылка на политику обработки данных. Если этого нет, штраф — до 300 000 рублей (по ч. 1 статьи 13.11 КоАП РФ).

Самые большие штрафы — до 6 млн рублей — за нарушение требований о локализации (об этом ниже).

Как правильно составить политику обработки персональных данных клиентов

Важно понимать, что политика обработки данных — это не просто очередной формальный документ, а отражение реальных процессов компании. Она должна четко описывать именно ваши цели, категории данных, взаимодействие с подрядчиками и сроки хранения.

Копирование шаблонов опасно: чужие тексты не учитывают специфику вашего бизнес-процесса.

Разрабатывайте документ самостоятельно. Описывайте для каждой цели обработки:

• категории и состав персональных данных;

• способы, сроки обработки и хранения;

• порядок уничтожения.

Соблюдая требования закона, вы обеспечите прозрачность информации для клиента, чьи персональные данные вы собираете.

Содержание и структура политики обработки персональных данных определена в п. 2 ч. 1 ст. 18.1 152-ФЗ и должна выглядеть так:

Документ нужно обязательно утвердить, а затем опубликовать на всех страницах сбора данных.

Риски при нарушении требований о локализации: данные россиян необходимо собирать на российских серверах

Параллельно с оформлением документов по персональным данным нужно проверить, где происходит первичный сбор данных. Для этого составьте карту потоков данных:

• какие сведения собираются;

• через какие сервисы;

• на какие зарубежные серверы.

Позже эта схема может пригодиться при запросах контролирующего органа.

Помните, что сбор аналитических данных через зарубежные веб-сервисы нарушает требования о локализации. За это предусмотрен штраф до 6 млн рублей (по ч. 8 ст. 13.11 КоАП РФ). Поэтому процесс нужно построить так, чтобы:

1. Данные сначала попадали на российский сервер.

2. А если после сбора вы планируете их передавать за границу, например, при использовании иностранных маркетинговых сервисов, то нужно подавать уведомление в Роскомнадзор о том, что вы планируете трансграничную передачу данных.

Подробнее про обработку персональных данных с использованием иностранных сервисов:

• Google Analytics можно использовать после 1 июля 2025 года — непопулярное мнение

«Мы маленькие и нам ничего не грозит» — опасная позиция

С недавних пор регулятор использует систему АС МПДн (автоматизированная система мониторинга персональных данных) для проверки сайтов, поэтому количество проверок кратно выросло.

Если до вас еще не добрались — это всего лишь дело времени.

Бот Роскомнадзора:

• круглосуточно сканирует сайты, имитируя поведение пользователя;

• проверяет код, скрипты аналитики, cookie-баннеры;

• сверяет данные с реестром;

• при нарушении делает цифровой слепок страницы.

Дальше инспектор вручную проводит аудит и выносит предписание, если нарушения подтвердились.

Проверка может проходить без уведомления оператора.

Это значит, что вы можете узнать о нарушении только после получения предписания.

После есть 10 рабочих дней для устранения нарушений, но, как показывает практика, этого обычно недостаточно.

Чек-лист руководителя: что можно сделать уже сейчас, чтобы не было нарушений 152-ФЗ

Чтобы избежать штрафов:

1. Проверьте все формы сбора персональных данных. Убедитесь, что нет предустановленных галочек, есть ссылки на согласие или иное правовое основание.

2. Приведите документы в порядок. Составьте собственные согласия и политику или проверьте актуальность информации.

3. Проверьте, что договоры с провайдерами внешних платформ содержат условия обработки данных, в том числе поручения, если применимо.

4. Назначьте приказом ответственного за организацию обработки персональных данных — это может быть штатный сотрудник или внешний консультант. Зафиксируйте полномочия и обязанности.

5. Разграничьте доступ к данным — кто в CRM, почте и сервисах рассылки может видеть, редактировать или выгружать контакты. Включите двухфакторную аутентификацию, настройте логирование и мониторинг, чтобы понимать кто, когда, какие данные смотрел, выгружал или изменял.

6. Проведите обучение персонала. Расскажите о правилах обработки, ответственности и порядке действий при инцидентах.

7. Если вы используете иностранные сервисы для маркетинговых целей, составьте карту потоков данных.

Такая проверка и настройка процесса сбора маркетинговых данных не требуют большого бюджета, но сразу закрывает большинство оснований для штрафов.

Напоследок — полезное от редакции. Материалы, которые могут быть вам интересны:

• Штрафы за авторизацию через иностранные сервисы: кому грозят и как их избежать

• Штрафы по закону о персональных данных — 7 причин и советы, как бизнесу обезопасить себя

• Налоговая проверка в 2026 году: кто под нее попадет и как ее пройти

И офтоп. Просто напоминаем: чтобы упростить процессы и не тратить бюджет на десятки отдельных сервисов, есть бесплатный маркетплейс eLama. Здесь собрано более 70+ решений для аналитики, креативов и автоматизации — вы сможете наладить работу команды, не увеличивая расходы.