к 152-ФЗ
Приведение сайта к 152-ФЗ — это техническая работа с формами, документами и скриптами, после которой сайт собирает персональные данные по действующим правилам: отдельное согласие, политика под ваш сайт, галочки во всех формах, cookie-баннер с выбором и никаких зарубежных сервисов, которые получают данные посетителей. Работаю с сайтами на WordPress, 1С-Битрикс и на коде.
Когда сайт пора приводить в порядок
Чаще всего сайт собран несколько лет назад и с тех пор в части персональных данных не менялся. Признаки, что он отстал от требований:
- В форме нет галочки согласия или она отмечена заранее
- Согласие и рассылка — одной галочкой
- Ссылка на политику ведёт на «#» или чужой шаблон
- Google reCAPTCHA, Analytics или шрифты Google
- Плашка cookie с одной кнопкой «ОК»
- Заявки приходят на зарубежную почту
- Проверка нашла нарушения
- Пришло письмо из Роскомнадзора
В 2025 году требования к сайтам менялись трижды: с 30 мая выросли штрафы по ст. 13.11 КоАП, с 1 июля данные граждан России при первичном сборе можно записывать только в базы на территории России, с 1 сентября согласие на обработку оформляется отдельно от политики, оферты и пользовательского соглашения. Посмотреть, что из этого касается вашего сайта, можно бесплатной проверкой сайта на 152-ФЗ: она находит нарушения, которые видны снаружи, и объясняет, чем каждое грозит.
Что входит в работу
Порядок такой, чтобы документы описывали реальный сайт: сначала инвентаризация, потом тексты, потом формы и скрипты под эти тексты. Если начать с готовой политики из генератора, в ней окажутся чужие цели и не окажется того, что сайт делает на самом деле: Метрики, чата, передачи заявок в CRM.
Инвентаризация — это таблица: каждая форма и всплывающее окно, какие поля в них есть, куда уходят данные (письмо, база сайта, CRM, мессенджер), кто их читает и сколько хранит. Рядом — список внешних скриптов из кода страниц и менеджера тегов. По этой таблице пишутся политика и согласие, по ней же потом проверяется результат.
- Реестр форм, полей и мест хранения заявок
- Политика обработки персональных данных по ст. 18.1: цели, данные, основания, сроки, получатели
- Текст согласия отдельной страницей
- Галочка согласия во всех формах: не отмечена заранее, без неё форма не уходит
- Рекламная рассылка — отдельной галочкой или убрана из согласия
- Cookie-баннер с выбором: «Принять все», «Только необходимые», «Настроить»
- Яндекс Метрика и пиксели — только после согласия, ссылка «Настройки cookie» в подвале
- Замена зарубежных сервисов: reCAPTCHA, Google Analytics и Tag Manager, шрифты, карты, видео
- Почта для заявок и сервисы хранения — в России
- Срок хранения заявок и их удаление по расписанию
- Реквизиты оператора в подвале, согласии и политике
- Запись согласия вместе с заявкой: текст, страница, время
Что приходится исправлять чаще всего
Формы. Самая частая находка — галочка «Согласен на обработку персональных данных и получение рассылки»: две цели в одном согласии, хотя согласие на рекламную рассылку оформляется отдельно. Рядом с ней — фраза «Нажимая кнопку, вы соглашаетесь…», которая согласием не считается, чекбоксы, отмеченные заранее, и формы, о которых владелец не помнит: всплывающее окно на части страниц, квиз на лендинге, форма отзыва, стандартные комментарии WordPress с именем, почтой и IP-адресом.
Документы. Политика, взятая из генератора или с чужого сайта, перечисляет цели, которых у вас нет, и молчит о том, что сайт делает: передаёт заявки в CRM, считает визиты Метрикой, хранит переписку из чата. Текст согласия спрятан внутрь политики, реквизитов оператора нет, дата редакции — несколько лет назад. О том, что должно быть в политике, — в статье «Политика конфиденциальности для сайта».
Зарубежные сервисы. Google reCAPTCHA в форме, Google Analytics, шрифты с fonts.googleapis.com, встроенные видео YouTube и Google Карты получают IP-адрес посетителя и сведения о визите. Шрифты переношу на сайт, капчу меняю на Yandex SmartCaptcha или защиту без внешних сервисов, видео и карты подгружаю по клику, а не при открытии страницы.
Хранение. Уведомления о заявках уходят на Gmail или в зарубежную CRM, а сами заявки годами лежат в базе сайта. Перевожу уведомления на почту в России, задаю срок хранения и удаление по расписанию — и описываю это в политике, чтобы документ и сайт совпадали.
На WordPress и 1С-Битрикс
Одна и та же задача на разных платформах решается разными средствами, и большая часть ошибок — в деталях конкретной CMS: кэше страниц, плагине форм, компоненте шаблона.
WordPress
В Contact Form 7 согласие — тег acceptance без значения по умолчанию, со ссылками на текст согласия и политику; в WPForms и формах темы — их поле согласия, обязательное к заполнению. Факт согласия сохраняю вместе с заявкой в Flamingo: текст галочки, страницу и время. Комментарии закрываю, если они не нужны, или добавляю галочку в форму. Cookie-баннер — своим кодом в дочерней теме или плагином, который действительно блокирует скрипты до согласия и не ломается от кэша страниц.
1С-Битрикс
Тексты согласий — в соглашениях пользователей главного модуля, в компонентах веб-форм и регистрации — параметр запроса согласия. В своих компонентах проверяю галочку на сервере, а не только в браузере. Код Метрики, который часто стоит в header.php шаблона или во включаемой области, переношу в загрузку после согласия; при композитном кэше решение о показе баннера принимает скрипт в браузере. Почтовые шаблоны и обработчики событий проверяю на адреса, которые уводят заявки за рубеж.
Что вы получите
Сайт, на котором формы, документы и скрипты описывают одно и то же — и это можно показать.
От чего зависит стоимость и что подготовить
Работа стоит от 6 000 ₽, дальше — по ставке 2 000 ₽ в час. Объём зависит от числа форм и их видов (заявка, корзина, регистрация, личный кабинет, отклик на вакансию), от того, сколько на сайте внешних сервисов, и от того, на чём сделаны формы: Contact Form 7 или стандартная веб-форма Битрикса правится быстрее, чем конструктор темы или свой компонент. Точную сумму и срок называю после просмотра сайта.
Для работы нужны доступ к административной панели и, лучше, к файлам сайта или тестовой копии; реквизиты оператора — ИП или организации, ИНН, ОГРН или ОГРНИП, адрес; список мест, куда уходят заявки: почта, CRM, мессенджеры, 1С, — и кто в компании их получает.
Это работа разработчика, а не юридическая консультация. Тексты документов составляю по тому, что делает сайт, и по требованиям закона; финальную редакцию может сверить ваш юрист. Уведомление в реестр операторов персональных данных подаёт сам оператор на сайте Роскомнадзора — подскажу, какие сведения о сайте туда вписать: цели, категории данных, где они хранятся и кому передаются.
Типовые задачи: что делаю и сколько это стоит
Приходят обычно не с просьбой «приведите сайт к закону», а с конкретным поводом. Задачи можно заказать по одной, если остальное на сайте уже в порядке.
- «Добавить галочку согласия во все формы сайта».Сначала нахожу все формы, включая всплывающие окна, квизы, форму отзыва и комментарии. В каждой ставлю обязательную галочку без отметки по умолчанию с подписью «Даю согласие на обработку персональных данных» и ссылками на текст согласия и политику. В своих формах проверяю согласие и на сервере, чтобы заявку нельзя было отправить в обход браузера. Каждую форму проверяю тестовой заявкой.от 1 чот 2 000 ₽
- «Нужны политика и отдельное согласие под наш сайт».По реестру форм и сервисов пишу политику по ст. 18.1: для каждой цели — данные, категории посетителей, основание, срок, кому передаются. Согласие — отдельной страницей: оператор с реквизитами, перечень данных, цели, действия с ними, срок и как отозвать. Ссылки на оба документа — в подвале и у каждой формы.от 1 чот 2 000 ₽Если в компании есть юрист, он сверяет тексты до публикации.
- «Баннер cookie есть, а Метрика грузится до нажатия».Переношу код счётчиков из шаблона, плагина вставки кодов или менеджера тегов в загрузку после согласия, убираю пиксель в noscript. Выбор посетителя хранится в cookie, в подвале появляется ссылка «Настройки cookie», при отказе аналитические cookie удаляются. Проверяю в инкогнито: до согласия во вкладке «Сеть» нет запросов к mc.yandex.ru.от 2 чот 4 000 ₽Как устроен такой баннер, разобрано в статье «Cookie на сайте».
- «Убрать с сайта Google reCAPTCHA, Analytics и шрифты».Шрифты скачиваю в формате woff2 и подключаю с сайта, капчу меняю на Yandex SmartCaptcha или на скрытое поле-ловушку с проверкой времени заполнения, если спама немного. Google Analytics и Tag Manager убираю, нужные цели переношу в Метрику. Встроенные видео и карты заменяю превью, которое подгружает плеер по клику.от 1 чот 2 000 ₽
- «Заявки приходят на Gmail и хранятся без срока».Меняю адреса уведомлений в формах и почтовых шаблонах на почту в России, отправку настраиваю через SMTP российского почтового сервиса. Для заявок в базе сайта задаю срок хранения и удаление по расписанию — через WP-Cron или агент Битрикса — и записываю этот срок в политику.от 1 чот 2 000 ₽
- «Как доказать, что посетитель дал согласие».Вместе с заявкой сохраняю редакцию текста согласия, страницу, время и IP-адрес; для cookie-баннера веду журнал выборов с версией баннера. Журнал виден в админке и очищается по сроку хранения, указанному в политике.от 2 чот 4 000 ₽
- «Пришло письмо из Роскомнадзора» или «проверка нашла нарушения».Разбираю каждый пункт письма или отчёта: где на сайте находится нарушение, что исправляется технически и сколько это займёт, а что относится к документам оператора и решается с юристом. На выходе — список работ с оценкой.от 1 чот 2 000 ₽
Частые вопросы
Сколько стоит привести сайт к 152-ФЗ?
От 6 000 ₽, дальше — по ставке 2 000 ₽ в час. Итог зависит от числа форм, внешних сервисов и от того, на чём сделаны формы.
Точную сумму называю после просмотра сайта. Быстро увидеть объём работ можно бесплатной проверкой сайта на 152-ФЗ — отчёт покажет, что исправлять.
Сколько времени занимает работа?
Для небольшого сайта — от 3 рабочих дней. Интернет-магазин с личным кабинетом, обменом с 1С и несколькими видами форм занимает больше; срок называю вместе со стоимостью после просмотра сайта.
Вы пишете политику и согласие или только ставите галочки?
Пишу и тексты, и техническую часть. Политику и согласие составляю по реестру данных вашего сайта и требованиям ст. 9 и ст. 18.1 152-ФЗ, чтобы документы описывали то, что сайт делает на самом деле.
Это работа разработчика, а не юридическая консультация: если в компании есть юрист, он сверяет тексты до публикации.
Если на сайте уже есть политика, нужно ли отдельное согласие?
Да. С 1 сентября 2025 года согласие на обработку оформляется отдельно от иных документов. Политика описывает общие правила оператора, а согласие посетитель даёт при отправке конкретной формы — галочкой со ссылкой на текст согласия.
Можно ли оставить Яндекс Метрику?
Да. Метрика — российский сервис, но она ставит аналитические cookie и получает IP-адрес, поэтому её загружают после согласия посетителя в cookie-баннере.
Часть визитов перестанет попадать в статистику. Заявки при этом не теряются: источник можно сохранять в скрытых полях формы по UTM-меткам.
Чем заменить Google reCAPTCHA?
Yandex SmartCaptcha или защитой без внешних сервисов: скрытое поле-ловушка, проверка времени заполнения формы, ограничение числа отправок с одного адреса. Если спама немного, второго варианта обычно хватает, и посетителю не нужно решать задачки.
Вы подаёте уведомление в Роскомнадзор?
Нет, уведомление подаёт сам оператор — владелец сайта или его юрист — на сайте pd.rkn.gov.ru. Я подскажу, какие сведения о сайте туда вписать: цели обработки, категории данных, где хранятся данные и каким сервисам передаются.
Чем грозит, если ничего не менять?
Штрафами по ст. 13.11 КоАП, которые с 30 мая 2025 года заметно выросли: за обработку без согласия или с нарушением требований к нему, за неопубликованную политику, за сбор данных в зарубежные базы. Для организаций и ИП суммы доходят до сотен тысяч рублей, а за сбор в зарубежные базы — до миллионов.
Какие нарушения есть на вашем сайте и какие статьи к ним относятся, покажет бесплатная проверка сайта на 152-ФЗ.
Работаете с сайтами на Тильде и других конструкторах?
Да, в пределах возможностей платформы: тексты политики и согласия, галочки в формах, настройки баннера и счётчиков, адреса уведомлений. Шаблон вывода и настройки сервера в конструкторе не поменять, поэтому часть решений там будет компромиссной — об этом скажу до начала работы.
Можно ли привести сайт к 152-ФЗ самому?
Частично — да. Пройти все формы, отправить тестовые заявки и посмотреть, какие внешние скрипты подключены, может и не программист: порядок описан в статье «Сайт и 152-ФЗ: формы, согласия и проверка на соответствие». Сложнее — перенести счётчики в загрузку после согласия, заменить капчу и шрифты, не сломав формы и кэш. Это и есть основная техническая часть работы.
Привести сайт в порядок?
Пришлите адрес сайта — посмотрю формы, документы и внешние скрипты и назову стоимость и срок.
