Заголовок с формой заявки, чат-бот на aiogram, интернет-магазин с оплатой картой - в каждом из этих случаев включается свой набор законов для владельца сайта, о которых обычно не думаешь, пока не прилетит предписание Роскомнадзора или жалоба покупателя в Роспотребнадзор. Я веду проекты на Tilda, WordPress и кастомных SPA, и почти в каждом техзадании рано или поздно всплывает вопрос: а что тут обязательно по закону, а что можно оставить на потом. Разберу по пунктам, где чаще всего ошибаются и во что это обходится.
152-ФЗ и обработка персональных данных на сайте
Любая форма - заявка, обратный звонок, чекаут в интернет-магазине, регистрация в личном кабинете - собирает персональные данные, и это включает целый блок требований.
- Политика обработки персональных данных должна быть опубликована отдельным документом, а не абзацем в футере - ссылку на неё размещаю рядом с каждой формой сбора данных.
- Согласие на обработку - отдельный чекбокс, который пользователь ставит сам. Предзаполненная галочка или формулировка «продолжая пользоваться сайтом, вы соглашаетесь» юридически не работает.
- Уведомление Роскомнадзора о начале обработки персональных данных - подаётся через форму на pd.rkn.gov.ru. Часть операторов подпадает под исключения (например, обработка только для заключения договора с самим субъектом данных), но на практике я советую клиентам подавать уведомление в любом спорном случае - отказ дешевле, чем спор с проверяющим.
- Персональные данные россиян обязаны храниться на серверах в России - это отдельное требование, ст. 18 152-ФЗ. Проблема всплывает не там, где ждут: ставят форму заявки на Google Forms или ведут клиентскую базу в Airtable, а это уже нарушение локализации. Я в таких случаях переношу приём заявок в CRM с размещением на российском хостинге.
Отдельно стоит связка с доставкой. Если магазин передаёт ФИО, телефон и адрес покупателя в СДЭК или другую службу доставки, это передача персональных данных третьей стороне - она должна быть прямо описана в политике и покрыта согласием пользователя, а не оформлена задним числом.
Штрафы по ст. 13.11 КоАП для юрлиц доходят до 18 млн рублей при повторном нарушении, связанном с локализацией или трансграничной передачей данных - цифра не абстрактная, проверки Роскомнадзора идут выборочно, но по жалобе пользователя или конкурента шанс попасть под неё резко растёт.
Бесплатный материал
🎁 Полезный скрипт в подарок
Подпишитесь на Telegram - пришлю готовый скрипт по этой теме.
Без спама. Отписка в 1 клик.
Маркировка интернет-рекламы и закон о рекламе
С 2022 года любая реклама в интернете - баннер на сайте, промо-пост в Telegram-канале, платное упоминание в рассылке бота - требует маркировки через оператора рекламных данных: получения токена erid и отчётности в Роскомнадзор через ЕРИР.
На практике это касается не только больших рекламных кампаний. Если делаю для клиента Telegram-бота на aiogram с рассылкой партнёрских предложений подписчикам, всегда предупреждаю: если это реклама чужого товара или услуги за деньги - маркировка обязательна, вне зависимости от масштаба.
Штраф по ст. 14.3 КоАП за отсутствие маркировки - от 200 до 500 тысяч рублей для юрлиц, и он назначается за каждый факт нарушения, а не один раз на всю кампанию.
Права потребителей, оферта и онлайн-касса для интернет-магазина
Дистанционная торговля регулируется отдельно - законом «О защите прав потребителей» и Правилами продажи товаров дистанционным способом. Для сайта это означает конкретный набор документов и функций:
- публичная оферта с условиями продажи, сроками доставки и порядком возврата - покупатель должен иметь возможность ознакомиться с ней до оформления заказа, а не после;
- право на возврат товара надлежащего качества в течение 7 дней после получения (или 3 месяцев, если при доставке не предоставили письменную информацию о порядке возврата) - это жёстче, чем при покупке в обычном магазине;
- реквизиты продавца - ИНН, ОГРН или ОГРНИП - должны быть на сайте, а не только в договоре, который никто не читает.
Отдельная тема - онлайн-касса по 54-ФЗ. Когда подключаю эквайринг T‑Bank к магазину на WooCommerce, чек через кассу обязателен при любой оплате картой на сайте, даже если сумма небольшая и покупатель - физлицо из другого региона. Кассовый чек должен формироваться либо через встроенный сервис эквайринга, либо через отдельную интеграцию с онлайн-кассой (АТОЛ Онлайн, CloudKassir и подобные). Штраф по ст. 14.5 КоАП за расчёт без чека - до 100% от суммы расчёта, но не менее 30 тысяч рублей для юрлиц, и это применяется к каждому обнаруженному факту, а не суммарно за период.
Cookie-файлы и согласие на сбор данных о посетителях
Cookie-идентификаторы, привязанные к конкретному пользователю (через Яндекс.Метрику, рекламные пиксели, аналитику), тоже подпадают под 152-ФЗ, если по ним можно прямо или косвенно установить личность посетителя. Поэтому баннер с согласием на использование cookie - не декоративный элемент, а часть той же политики обработки персональных данных.
На Tilda есть встроенный блок cookie-уведомления, но по умолчанию он часто настроен формально - без реальной возможности отказаться от необязательных cookie, что не соответствует духу требования. Для проектов на WordPress я обычно ставлю кастомный баннер с раздельным согласием на аналитику и маркетинговые cookie. У себя в библиотеке готовых скриптов держу шаблон такого баннера - беру его за основу и адаптирую под структуру конкретного сайта, а не пишу с нуля каждый раз.
Простой пример разметки чекбокса согласия для формы заявки:
<label>
<input type="checkbox" name="pd_consent" required>
Согласен(а) на обработку персональных данных в соответствии с
<a href="/policy/">политикой конфиденциальности</a>
</label>
Похожая логика нужна и для ботов: если aiogram-бот на старте диалога спрашивает телефон или email, первое сообщение должно содержать короткую ссылку на политику и явное согласие, а не молчаливый сбор данных сразу после команды /start.
Авторские права на контент, изображения и код на сайте
Фотографии со стоков без лицензии, скопированные тексты конкурентов, шрифты без коммерческой лицензии - три самых частых источника претензий, с которыми сталкивался на чужих проектах при аудите перед редизайном. Компенсация по ст. 1301 ГК РФ за незаконное использование произведения - от 10 тысяч до 5 миллионов рублей по решению суда, и правообладатели фотобанков реально мониторят использование своих изображений на сайтах.
Отдельно - лицензии на код и темы. Если сайт собран на условно-бесплатной теме или плагине WordPress с лицензией GPL, при перепродаже кастомизированного решения клиенту нужно учитывать условия конкретной лицензии, а не просто копировать чужой шаблон в поставку.
Реестр блогеров и требования к сайтам с большой аудиторией
С ноября 2024 года у владельцев страниц и каналов с аудиторией больше 10 тысяч подписчиков появилась обязанность подавать сведения о себе в Роскомнадзор - поправка в 149-ФЗ, которую в обиходе называют законом о блогерах. Это касается не только классических СМИ-сайтов, но и Telegram-каналов, YouTube-каналов и групп в соцсетях с такой аудиторией.
Если сайт по факту работает как СМИ - регулярно публикует новости, привлекает массовую аудиторию, продаёт рекламу как медиа, - стоит заранее свериться, не подпадает ли он под требование регистрации в реестре Роскомнадзора именно как сетевое издание, а не только под общие правила для сайтов.
Сводная таблица: закон, что регулирует, штраф для юрлиц
| Закон | Что регулирует | Штраф для юрлиц |
|---|---|---|
| 152-ФЗ | Персональные данные, согласие, локализация | до 18 млн ₽ (ст. 13.11 КоАП, повторное нарушение) |
| 38-ФЗ «О рекламе» | Маркировка интернет-рекламы | 200-500 тыс ₽ (ст. 14.3 КоАП) |
| 54-ФЗ | Онлайн-касса при расчётах | от 30 тыс ₽ или до 100% суммы расчёта (ст. 14.5 КоАП) |
| Закон о защите прав потребителей | Оферта, возврат, реквизиты продавца | от 10 тыс ₽ за конкретное нарушение (ст. 14.4, 14.8 КоАП) |
| 149-ФЗ (поправка о блогерах) | Регистрация каналов с аудиторией от 10 тыс. | предупреждение / ограничение доступа к ресурсу |
Если разбираетесь с этим списком не в теории, а перед запуском конкретного проекта, обычно быстрее свериться по своему сайту и техническому стеку, чем читать законы целиком - на консультации разбираю сайт и говорю, что критично закрыть до старта, а что можно донастроить в первый месяц работы.
Разобраться перед стартом
Консультация
от 3 000 ₽
Подробнее →Частые вопросы
Нужна ли политика конфиденциальности сайту-визитке без форм и оплаты?
Если на сайте нет ни одной формы, счётчиков аналитики и cookie, формально сбора персональных данных нет и политика не обязательна. Но такой сайт - редкость: обычно там уже стоит Яндекс.Метрика или форма обратной связи, а значит требования 152-ФЗ включаются, и документ нужен.
Что будет, если просто не публиковать политику обработки персональных данных?
Само по себе отсутствие документа - основание для предписания Роскомнадзора устранить нарушение, а при повторном обнаружении - штраф по ст. 13.11 КоАП. На практике первой обычно прилетает жалоба от пользователя или конкурента, а не плановая проверка, поэтому лучше закрыть это на этапе запуска.
Обязательна ли онлайн-касса, если оплата идёт через СБП или ссылку от банка?
Да, способ оплаты не важен - важен факт расчёта с физлицом. Приём оплаты картой, через СБП или платёжную ссылку требует пробития чека через онлайн-кассу или встроенный в эквайринг сервис формирования чеков, иначе это нарушение 54-ФЗ с тем же штрафом, что и при обычной кассовой операции.
Нужно ли отдельное согласие на передачу данных курьерской службе вроде СДЭК?
Да, передача ФИО, телефона и адреса курьерской службе - это передача персональных данных третьей стороне, и она должна быть явно описана в политике конфиденциальности, а согласие пользователя - покрывать именно этот пункт, а не быть общей формулировкой про «обработку данных в целях сайта».