С 30 мая 2025 года в России вступают в силу изменения в Закон «О персональных данных» (ФЗ-152), направленные на усиление контроля за сбором, обработкой, хранением и передачей персональной информации. Нововведения особенно важны для владельцев сайтов, интернет-магазинов, маркетплейсов и любых цифровых платформ, собирающих персональные данные через формы, cookies и веб-аналитику.
В этой статье разберём, какие именно изменения касаются сайтов, как они повлияют на текущие процессы сбора данных, что делать с cookie и какими будут штрафы за несоблюдение новых норм.
Что считается персональными данными на сайте?
Персональные данные — это любая информация, прямо или косвенно относящаяся к идентифицируемому физическому лицу. На сайте к ним относятся:
- Имя, email, номер телефона, адрес — при заполнении форм;
- IP-адрес, сведения об устройстве, поведении на сайте — если можно связать с конкретным человеком;
- Cookies (файлы, сохраняемые в браузере пользователя), если они позволяют идентифицировать пользователя или отслеживать его действия;
- Данные о местоположении, поведении, истории заказов;
- Поведенческие характеристики, собираемые скриптами аналитики (например, Яндекс.Метрика).
В соответствии с изменениями, любая обработка этих данных требует юридически корректного основания — чаще всего, согласия пользователя.
Согласие на обработку данных: новые требования с 2025 года
С 1 января 2025 года вступает в силу единая форма согласия, утверждённая Роскомнадзором. Это означает, что просто надписи «нажимая кнопку, вы соглашаетесь с обработкой данных» больше недостаточно.
Что должно содержаться в новом согласии:
- Цель обработки данных (например: регистрация, оформление заказа, обратная связь, рассылка новостей).
- Категории данных — email, телефон, cookie, IP и пр.
- Срок хранения данных.
- Наименование и адрес оператора.
- Указание третьих лиц, которым данные могут быть переданы (например, сервисы аналитики, платёжные шлюзы).
- Информация о праве отозвать согласие в любой момент.
Особое внимание — cookie
Если cookies собирают идентификаторы, поведенческие паттерны, IP или передаются третьим лицам (например, Яндекс), это прямо подпадает под понятие персональных данных. Значит:
- Вы обязаны уведомить пользователя об этом до начала сбора;
- Не можете активировать cookies без предварительного согласия, кроме строго необходимых (например, сессия корзины);
- Форма согласия должна быть оформлена по новым правилам, включая цель и перечень передаваемых данных.
Cookie-баннеры: теперь обязательны
С 2025 года наличие cookie-баннера, соответствующего требованиям ФЗ-152, становится не просто желательной практикой, а юридическим обязательством. Такой баннер должен:
- Явно информировать о сборе cookies;
- Предоставлять возможность дать или не дать согласие (активное действие — «Принять», «Отклонить», «Настроить»);
- Быть доступным до начала обработки (то есть cookie-файлы не должны устанавливаться до нажатия «Принять»);
- Иметь ссылку на полную политику обработки персональных данных и политику cookies.
Важно: нельзя подменять согласие пользовательским бездействием или прокруткой страницы. Это прямо противоречит новым нормам.
Локализация хранения данных
С 2025 года закон запрещает хранение персональных данных граждан РФ за границей. Это означает, что:
- Ваш сайт обязан хранить персональные данные пользователей на территории России;
- В случае использования CMS, CRM, хостинга или облаков, нужно убедиться, что они соответствуют требованиям локализации;
- При использовании сторонних сервисов (например, зарубежной аналитики) вы обязаны указать их в согласии и получить разрешение на трансграничную передачу данных.
Обязательное уведомление Роскомнадзора
Сайты, собирающие персональные данные (включая через формы и cookies), обязаны:
- Подать уведомление о начале обработки данных в Роскомнадзор до начала сбора.
- Указание всех категорий данных и целей обработки.
- Предоставить сведения о возможной передаче третьим лицам.
За несоблюдение — штраф до 300 000 рублей, а при повторных нарушениях — вплоть до 3% выручки, но не менее 20 млн рублей.
Что делать в случае утечки данных?
С 2025 года вводятся новые сроки:
- В течение 24 часов после обнаружения утечки нужно уведомить Роскомнадзор;
- В течение 72 часов — направить отчет о результатах внутреннего расследования.
Если произошла утечка более чем 1 000 записей, штраф может составить до 5 миллионов рублей, а при 100 000 и более — до 15 миллионов.
Ответственность за отказ в обслуживании без биометрии
Если ваш сайт или приложение требует биометрическую идентификацию (например, распознавание лица, голос), с 2025 года запрещено отказывать в обслуживании пользователям, которые отказались предоставлять биометрию. Это особенно актуально для сервисов с авторизацией по видео или голосу.
Практические шаги: как подготовить сайт к новым требованиям
1. Аудит сбора данных
- Какие данные вы собираете через формы, cookies, API?
- Какие скрипты на сайте? Отправляют ли они данные третьим лицам (Google, Яндекс, соцсети)?
- Локализованы ли базы данных?
2. Внедрение cookie-баннера
- Разработайте баннер с выбором: «Принять», «Отклонить», «Настроить»;
- Обеспечьте активацию cookie только после согласия;
- Добавьте политику cookie и политику обработки ПД.
3. Подготовка юридических документов
- Обновите политику конфиденциальности;
- Подготовьте согласие в новой форме;
- Зарегистрируйтесь в реестре операторов персональных данных (если ещё не сделано).
4. Проверьте сервисы и подрядчиков
- Убедитесь, что все сторонние сервисы (CRM, CMS, облачные платформы, аналитика) соответствуют требованиям ФЗ-152;
- Переносите базы данных из зарубежных хостингов, если они используются.
5. Обучите сотрудников
- Менеджеры, разработчики, маркетологи и операторы чата должны понимать, какие действия законны;
- Подготовьте инструкции на случай утечки или запросов от Роскомнадзора.
Заключение
Закон о защите персональных данных в 2025 году вводит жесткие правила, особенно для владельцев сайтов и интернет-магазинов. Центр внимания — полная прозрачность обработки данных и реальное согласие пользователей. Cookie больше не считаются «технической мелочью», а становятся юридически значимыми элементами.
Своевременная адаптация сайта, установка корректного баннера, юридически грамотные согласия и локализация баз данных позволят избежать миллионов рублей штрафов и сохранить доверие пользователей. Подписывайтесь на наш Телеграм-канал Суровый SEOшник! Там публикуется самая важная информация о продвижении бизнеса в сети.