Запуск сайта с нуля: документы сайта и обязанности владельца

Аннотация

УДК 342.9:004

Бизнесмен или даже просто человек, запускающий сайт, который собирает имена, телефоны или cookie-файлы посетителей, автоматически делает себя оператором персональных данных – даже если об этом не думал при заказе дизайна. До публикации уже надо решить, какие сведения попадут в формы, на каком основании их обработают, где будет хостинг с учётом локализации, как оформить cookie и метрику, какие тексты политики, согласий и пользовательского соглашения увидит посетитель. Деятельность, связанная с обеспечением работы сайта, регулируется одновременно несколькими законами – в том числе Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» и Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»: политика и согласия – с одной стороны, сведения о владельце, пользовательские правила и, в отдельных случаях, статус организатора распространения информации – с другой. Наличие документов – условие запуска: публикация без них – это неприятности для оператора, репутационные и финансовые риски для бизнеса.

Ключевые слова: запуск сайта, документы сайта, политика обработки персональных данных, пользовательское соглашение, cookie-файлы, метрика, 152-ФЗ, 149-ФЗ, локализация, организатор распространения информации.

Abstract

Abstract. A businessman – or simply a person – who launches a website that collects visitors’ names, phone numbers or cookie files automatically becomes a personal data operator, even if that was not considered when the design was ordered. Before publication one already has to decide which data will enter the forms, on what legal basis it will be processed, where hosting will sit in light of localisation rules, how cookie technology and analytics will be arranged, and which policy, consent and terms texts the visitor will see. Activity that keeps a site running is regulated by several statutes at once, including Federal Law No. 152-FZ of 27 July 2006 and Federal Law No. 149-FZ of 27 July 2006: policy and consents on one side; owner disclosure, user rules and, in some cases, organiser-of-dissemination status on the other. Having the documents in place is a launch condition: publishing without them means trouble for the operator and reputational and financial risk for the business.

Keywords: website launch, website documents, personal data processing policy, terms of use, cookie files, web analytics, 152-FZ, 149-FZ, localisation, organiser of information dissemination.

Введение

Дизайн согласован, вёрстка готова, домен куплен, хостинг оплачен – осталось нажать кнопку деплоя и опубликовать сайт. С этого момента на сайте уже начнут работать форма обратной связи, счётчик аналитики и баннер про cookie-файлы. Значит, с первой минуты работа ресурса подразумевает обработку имён и телефонов, передачу сведений сервису метрики, при этом обязанность ознакомить посетителя с понятными текстами политики и связанных документов об обработке данных возникает до начала обработки персональных данных. Документационное обеспечение запуска сайта должно идти неразрывно с этими решениями.

Команда, как правило, концентрируется на технической стороне либо вовсе не знает о жёстких правилах для сайтов и данных. Оператор обязан уведомить регулятора о намерении осуществлять обработку персональных данных – и сделать это так, чтобы уведомление ушло до начала обработки, до первого факта. Намерением здесь можно считать полную готовность бизнеса или предпринимателя начать обработку: о таком намерении Роскомнадзор уведомляют в срок, который установлен законом.

Политика в отношении обработки персональных данных должна быть доступна с сайта к моменту, когда ресурс начинает принимать сведения о посетителях. Там, где правовым основанием служит согласие, его получают до того, как данные из формы ушли на почту или в CRM: первый заполненный бланк уже запускает обработку.

Если политики нет или она не описывает реальные процессы, если метрика подключена без понятных условий для посетителя, а «согласие» сводится к пустой галочке, владелец оказывается в зоне административных рисков по статье 13.11 Кодекса Российской Федерации об административных правонарушениях.

1. Что решается до публикации

Пока страница стоит на тестовом стенде и уличный трафик её не видит, владелец уже выбирает устройство будущего ресурса, и у каждого выбора есть правовой вес. Форма с фамилией, телефоном и почтой означает сбор персональных данных; личный кабинет – хранение и регулярную обработку; счётчик аналитики – передачу части сведений внешнему сервису; виджет чата – попадание переписки в обработку. Из этих решений складывается, кем владелец сайта является по закону.

Если сведения собираются, а цели обработки определяет владелец – сам или через подрядчика по своим правилам, – он с большой вероятностью оказывается оператором персональных данных по 152-ФЗ. Сайт может входить в состав информационной системы, где эти данные обрабатываются, по факту форм, кабинета и журналов: одного купленного домена для статуса оператора мало. Является ли сайт ИСПДн, читайте в статье «Сайт оператора – это ИСПДн?». Практическое правило для запуска простое: сначала опишите процесс на бумаге – какие данные, от кого, зачем, куда передаёте, – и только потом включайте его на проде.

Отдельная линия – локализация. С 1 июля 2025 года применяется часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28 февраля 2025 г. № 23-ФЗ: при сборе персональных данных граждан Российской Федерации, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение с использованием баз данных за пределами России не допускаются, кроме исключений, указанных в пунктах 2, 3, 4 и 8 части 1 статьи 6. Для запуска это означает, что первичная база при сборе через сайт должна быть в России; зарубежный хостинг или зарубежная CRM на старте для типичного предпринимателя неприемлемы: дешёвый зарубежный тариф в итоге может оказаться очень дорогим – вплоть до остановки деятельности. Выбор инфраструктуры для публикации – одновременно техническое и юридическое решение.

Уведомление уполномоченного органа требуется не во всех случаях: закон допускает обработку без подачи. Дальше в статье – про абсолютное большинство операторов, которым уведомление нужно. На Портале персональных данных необходимо заполнить уведомление о намерении осуществлять обработку так, чтобы оно совпало с политикой и с тем, что сайт делает на самом деле. Иначе документ возвращают на доработку, а время после запуска уходит на переписку с ведомством. Когда дойдёте до заполнения формы на Портале, разбор подачи и типичных возвратов найдёте в статьях об уведомлении в Роскомнадзор и о возвратах.

Порядок документационного обеспечения перед публикацией такой. Сначала инвентаризация процесса, затем политика и связанные тексты, затем уведомление о намерении осуществлять обработку. Если сначала «накликать» Портал, а политику дописать потом по чужому образцу, расхождение почти неизбежно: документы фиксируют цели и категории, а Портал принимает то, что в них записано.

2. Что означает 152-ФЗ для владельца сайта

Владелец сайта по 152-ФЗ отвечает себе на три вопроса: какие сведения о людях вы собираете, зачем, и кто решает цели обработки. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» держит рамку: что такое персональные данные и кто такой оператор, на каких условиях идёт обработка, какие права у субъекта.

Персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. На лендинге это часто имя, телефон, почта, текст заявки; при метрике и cookie-файлах – ещё идентификаторы, которые в связке с другими сведениями позволяют выделить пользователя. Оператор – тот, кто организует и (или) осуществляет обработку и определяет цели, состав данных и действия с ними. Владелец, который завёл форму «перезвоните мне» и решает, зачем ему эти телефоны, как правило, как раз и определяет цели.

Отсюда для запуска фиксируют правовые основания из статьи 6 – согласие, договор, закон и другие, каждое под свою ситуацию – и сведения субъекту, которые закон связывает с политикой и с получением данных. Отдельно прописывают возможность реализовать права субъекта и внутренний порядок, если в обработке участвуют работники или подрядчики. Меры защиты зависят от масштаба: у визитки с одной формой один объём, у сервиса с кабинетом и сотрудниками – другой. Уровни защищённости ИСПДн – в статье; меры по статьям 18.1 и 19 – рядом.

Центральный публичный документ – политика в отношении обработки персональных данных. Её часто называют «политикой конфиденциальности», калькируя privacy policy. Само название «политика конфиденциальности» штрафа не создаёт; риск даёт текст «как у западного сервиса», который расходится с 152-ФЗ и с вашей фактической обработкой. В политике должны читаться цели, основания, категории данных и субъектов, сроки, порядок обращения субъекта, сведения о передаче третьим лицам и о трансграничной передаче, если она есть.

По части 2 статьи 18.1 152-ФЗ оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику в отношении обработки персональных данных. Та же часть прямо требует: оператор, который собирает персональные данные через информационно-телекоммуникационные сети, обязан опубликовать политику и сведения о мерах защиты в соответствующей сети, в том числе на страницах своего сайта, с использованием которых идёт сбор, и обеспечить доступ к документу средствами этой сети. На практике ссылку ставят в подвале и рядом с формами, в том числе с мобильной версии; текст должен совпадать с реальными полями сайта. Отсутствие политики при сборе через формы квалифицируют по части 3 статьи 13.11 КоАП. Шаблон privacy policy рядом с 152-ФЗ – в статье «Политика конфиденциальности не спасает от проверок и штрафов».

Рядом с политикой для запуска закрывают согласия – там, где согласие действительно основание. С 1 сентября 2025 года действует дополнение части 1 статьи 9 152-ФЗ (статья 5 Федерального закона от 24 июня 2025 г. № 156-ФЗ): согласие оформляют отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект. На практике ждут отдельный чекбокс без предзаполненной галочки и возможность доказать волеизъявление; состав обязательных реквизитов согласия сверяют по статье 9. Согласие как самостоятельное условие обработки – в статье; ориентир по комплекту документов оператора – в перечне.

3. Cookie, метрика и подрядчики

Cookie – это технология: на устройство пользователя ставят cookie-файлы (cookies), а часть сведений уходит к поставщику метрики. Счётчик посещаемости ставят почти на каждом новом сайте, чтобы видеть, откуда трафик и какие страницы читают; юридически это часто означает как раз использование cookie и передачу данных внешнему сервису. Если поставщик обрабатывает персональные данные по вашему поручению, отношения выстраивают как поручение по части 3 статьи 6 152-ФЗ: в договоре или принимаемых условиях должно быть понятно, что и зачем передаётся и что подрядчик действует в рамках вашего задания.

Согласие на cookie-файлы зависит от целей и состава данных. Отдельной «статьи про cookie» в 152-ФЗ нет: применяют общие правила о персональных данных. Если идентификаторы нужны для корзины, авторизации, балансировки нагрузки, безопасности сессии, обработка часто опирается на исполнение договора об использовании сайта (пункт 5 части 1 статьи 6) – отдельное согласие на такие технические cookie-файлы обычно не требуется. Аналитика и маркетинг – другая категория: Роскомнадзор ориентирует операторов сообщать о метрических программах и получать согласие на данные, собираемые такими сервисами; скрипты метрики и маркетинговые пиксели не загружают до волеизъявления, с ясными целями и сроками. В документах полезно разделять технические, статистические и маркетинговые cookie-файлы, чтобы не смешивать основания.

Псевдонимизация оставляет сведения в режиме персональных данных, если по совокупности признаков пользователя всё ещё можно выделить и привязать действия к устройству или аккаунту. Для аналитических сценариев согласие часто остаётся основным основанием – кроме узких технических случаев.

Три шага для публикации. Первый – инвентаризация скриптов: что стоит на страницах, что необходимо для работы сайта, что относится к аналитике и маркетингу. Второй – основание и информирование: посетитель понимает, что происходит; где нужно согласие – его можно доказать. Третий – документы: политика описывает метрику и передачи; баннер и тексты не противоречат политике; с сервисом аналитики есть понятная конструкция поручения. Передачу подрядчику и cookie-файлы метрики – в статье; рядом – согласие на cookie-файлы метрики и поручение по части 3 статьи 6.

Типичная ошибка – поставить Метрику «как у всех», нарисовать «Принять» и закрыть тему. Баннер без связи с целями и политикой ничего не объясняет; чужой шаблон согласия с чужими сервисами тоже не помогает.

4. Что добавляет 149-ФЗ

Работу сайта параллельно регулирует и Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Для владельца это слой доступа, статусов и пользовательских правил поверх обязанностей оператора по 152-ФЗ.

По части 2 статьи 10 149-ФЗ информация, распространяемая без средств массовой информации, должна содержать достоверные сведения об обладателе или об ином лице, распространяющем информацию, достаточные для идентификации. Владелец сайта обязан разместить на сайте сведения о своём наименовании, месте нахождения и адресе, а также адрес электронной почты для заявления по статье 15.7 того же закона (и вправе предусмотреть электронную форму). ОГРН, ОГРНИП и ИНН часть 2 статьи 10 прямо не перечисляет: их часто ставят в подвале по требованиям законодательства о защите прав потребителей или о рекламе, если сайт ведёт предпринимательскую деятельность, – эти слои с 149-ФЗ не смешивают. Недостоверные сведения или отсутствие обязательного минимума влекут административные риски.

Организатор распространения информации в сети Интернет (статья 10.1 149-ФЗ) – лицо, которое обеспечивает работу информационных систем и (или) программ для приёма, передачи, доставки и (или) обработки электронных сообщений пользователей сети Интернет. Такие лица уведомляют Роскомнадзор и включаются в реестр организаторов распространения информации; на них ложатся обязанности по хранению сведений на территории России и взаимодействию с уполномоченными органами. Чат между пользователями, форум с личными сообщениями или иной обмен сообщениями – очевидный повод проверить статус. Форма обратной связи «только владельцу» формально выглядит уже, но практика ведомства толкует понятие широко и иногда включает обращения к администрации; безопаснее свериться с критериями статьи 10.1 и порядком ведения реестра, а не полагаться на «письмо только мне».

Пользовательское соглашение или публичная оферта фиксируют условия пользования ресурсом, запреты, порядок обращений и, если через сайт продают услугу или подписку, конструкцию оферты. По статье 428 Гражданского кодекса такое соглашение часто работает как договор присоединения: размещение условий – оферта, регистрация или иное явно принятое действие – акцепт. Закон не вводит отдельного штрафа за отсутствие пользовательского соглашения; при кабинете, регистрации или платных услугах без зафиксированных правил споры и претензии закрывать труднее. Текст должен совпадать с кнопками и формами на страницах.

На одном сайте обычно закрывают оба слоя. 152-ФЗ – политика, согласия, основания, обязанности оператора. 149-ФЗ – сведения о владельце, проверка статуса организатора распространения информации, пользовательские правила и доступ. Как оба закона идут рядом с 2006 года – в статье об эволюции 152-ФЗ и 149-ФЗ.

5. Порядок действий перед публикацией

Сначала опишите процесс своими словами: какие формы и поля; кто видит заявки; какая почта и CRM; какая метрика и какие виджеты; какой хостинг и подрядчики; уходят ли данные за рубеж. Этот набросок – основа политики.

Затем подготовьте политику в отношении обработки персональных данных под ваш процесс и разместите её так, чтобы актуальный текст открывался с сайта, в том числе с мобильной версии и со страниц форм. Где основание – согласие, оформите согласия отдельно и привяжите к целям. Если есть услуга, кабинет или иные правила доступа – пользовательское соглашение или оферта в согласии с кнопками на страницах. В подвале – минимум по части 2 статьи 10 149-ФЗ (наименование, место нахождения и адрес, e-mail) и, если применимо, реквизиты по потребительскому или рекламному законодательству.

После этого закройте метрику и cookie-файлы: состав скриптов, информирование, согласие там, где оно нужно, поручение с сервисом аналитики. Портал заполняйте после того, как документы уже говорят правду о процессе: уведомление о намерении осуществлять обработку необходимо подать до начала обработки; в нём указывают цели, способы, меры и перечень данных. С 30 мая 2025 года невыполнение или несвоевременное выполнение этой обязанности – отдельный состав части 10 статьи 13.11 КоАП (Федеральный закон от 30 ноября 2024 г. № 420-ФЗ): штраф гражданам от 5 000 до 10 000 руб., должностным лицам – от 30 000 до 50 000 руб., юридическим лицам – от 100 000 до 300 000 руб.; индивидуальные предприниматели по общему правилу КоАП отвечают как юридические лица, если в части статьи отдельной санкции для ИП нет.

Объём пакета зависит от масштаба: у самозанятого с одной формой он короче, чем у общества с кабинетом и отделом продаж, логика одна. Самостоятельная сборка полного комплекта занимает недели; сравнение трудозатрат с конструктором – в статье о документационном обеспечении. Конструктор документов «ГЕНЕРАТОР152ФЗ» помогает собрать согласованные тексты под фактическую обработку; решить, что делает сайт, и сверить документы с реальностью предстоит владельцу.

Заключение

Запуск сайта с нуля включает правовые решения до первой публикации. Ещё до того, как ресурс начнёт работать для посетителей, владелец определяет, какие сведения о людях будет собирать, на каком основании, кому передаст и какие правила покажет. Федеральный закон № 152-ФЗ выстраивает обязанности оператора персональных данных; Федеральный закон № 149-ФЗ – рамку информации и пользовательских правил на ресурсе. Политика, согласия, пользовательское соглашение, решение по cookie-файлам и метрике, уведомление о намерении осуществлять обработку – это тексты, которые можно показать и посетителю, и проверяющему. Дизайн привлекает внимание; наличие документов удерживает запуск в правовом поле и снижает репутационные и финансовые риски для бизнеса. Их имеет смысл собрать для публикации так же сознательно, как заказывают вёрстку.

Список литературы

1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (в действующей редакции) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
2. Федеральный закон от 28 февраля 2025 г. № 23-ФЗ «О внесении изменений в Федеральный закон «О персональных данных» и отдельные законодательные акты Российской Федерации» (ч. 5 ст. 18 152-ФЗ с 01.07.2025).
3. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (в действующей редакции) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3448.
4. Федеральный закон от 24 июня 2025 г. № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» // Собрание законодательства РФ. — 2025. — № 26 (ч. I). — Ст. 3486.
5. Федеральный закон от 30 ноября 2024 г. № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» (ч. 10 ст. 13.11 с 30.05.2025).
6. Кодекс Российской Федерации об административных правонарушениях: ст. 13.11 // Собрание законодательства РФ. — 2002. — № 1 (ч. 1). — Ст. 1.
7. Гражданский кодекс Российской Федерации (часть первая): ст. 428 // Собрание законодательства РФ. — 1994. — № 32. — Ст. 3301.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.