Как форма заявки приносит штраф вместо клиентов

У вас на сайте есть форма «Оставьте телефон - перезвоним»? Тогда по закону вы - оператор персональных данных, со всеми обязанностями из 152-ФЗ, закона «О персональных данных». Узнают об этом часто из письма Роскомнадзора: с 30 мая 2025 года штрафы выросли - для компаний до 300 тысяч рублей, без всякой утечки, за обычную неоформленную форму.

Хорошая новость: базовые требования закрываются тремя документами, собрать их - задача на день. Разберём по пунктам: что должно быть на сайте, зачем и что грозит, если этого нет.

Каждую неделю разбираем, как сайту приводить клиентов и не создавать владельцу проблем: поиск, нейросети, законы. Подпишитесь, чтобы не пропустить.

Почему форма заявки - это уже персональные данные?

Персональные данные - любые сведения, по которым можно определить конкретного человека. Имя с телефоном, почта, адрес доставки - всё это они. Как только посетитель жмёт «Отправить», вы начинаете обработку персональных данных.

Размер бизнеса закон не интересует. Студия маникюра с формой записи и мастерская мебели с калькулятором «рассчитать кухню» - такие же операторы, как банк. Отличается только сумма штрафа: для ИП и компаний она разная, ниже будет таблица.

Сама форма при этом - правильная вещь. Сайт и должен собирать заявки. Риск создаёт не форма, а отсутствие трёх документов вокруг неё.

Какие документы должны быть на сайте?

Минимум выглядит так:

1. Политика обработки персональных данных - публичный документ, доступный с каждой страницы.
2. Согласие на обработку - галочка в каждой форме, где человек оставляет данные.
3. Уведомление Роскомнадзора - подаётся один раз, до начала сбора заявок.
4. Предупреждение о cookie - если на сайте есть метрика или другие счётчики.

Первые три - прямые требования закона, четвёртый - практика, которую ведомство ждёт от сайтов. Дальше - по каждому пункту.

Зачем сайту политика обработки персональных данных?

Политика обработки персональных данных (её же называют политикой конфиденциальности) - документ, где вы описываете: какие данные собираете, зачем, сколько храните, кому передаёте и как человек может потребовать их удалить.

Закон здесь буквален: собираете данные через интернет - обязаны опубликовать политику на этом же сайте и дать к ней свободный доступ. Стандартное решение - ссылка в подвале, видная с любой страницы.

Частая ошибка - скопировать чужую политику не читая. Документ формально есть, но в нём написано не то, что вы делаете на самом деле: чужие цели, чужие сервисы, чужой оператор. При проверке такая бумага работает против вас: расхождение между политикой и реальной обработкой - уже нарушение.

Бесплатный разбор сайта, без регистрации. Пока наводите порядок в документах, проверьте заодно видимость сайта в поисковых системах: если сайт не находят в поиске, заполнять форму будет просто некому. Разбор за пару минут покажет 3-5 причин, по которым вас плохо находят - и в поиске, и в ответах нейросетей. Проверить свой сайт →

Как оформить согласие в форме заявки?

По ст. 9 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Молчание согласием не считается. На языке сайта: человек сам ставит галочку «Даю согласие на обработку персональных данных» со ссылкой на политику и видит, на что соглашается.

Слабые места, которые встречаются чаще всего:

1. Галочка проставлена заранее - однозначного действия человека нет.
2. Галочки нет, только мелкая строка «отправляя форму, вы соглашаетесь». В споре галочка доказывает согласие, строка мелким шрифтом - почти нет.
3. Форма собирает больше, чем нужно для заявленной цели: для обратного звонка достаточно имени и телефона, а дата рождения там лишняя.

Сбор данных без законного основания квалифицируют по ч. 1 ст. 13.11 КоАП: для компаний 150-300 тысяч, для ИП 50-100 тысяч. А там, где закон требует согласие строго в письменной форме - например, для данных о здоровье в медицинских анкетах, - действует ч. 2 с санкцией до 700 тысяч для компаний.

Кто обязан уведомить Роскомнадзор?

По ст. 22 152-ФЗ оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные - до начала обработки. С 1 сентября 2022 года прежние исключения для малого бизнеса отменены; остались узкие случаи вроде бумажной картотеки без компьютера - сайт с формой туда не попадает.

Само уведомление - просто электронная форма на портале Роскомнадзора (pd.rkn.gov.ru): кто вы, какие данные и для каких целей обрабатываете. Подали один раз - обязанность закрыта; изменилось что-то - обновляете.

Отдельный нюанс для ИП: по большинству пунктов ст. 13.11 предприниматель платит меньше компании, но именно за неподанное уведомление примечание к статье приравнивает ИП к юридическим лицам. Те же 100-300 тысяч, поблажки нет.

Нужно ли согласие на cookie?

Cookie - служебные метки, которые сайт и счётчики оставляют в браузере посетителя. Стоит у вас Яндекс Метрика - сбор таких меток уже идёт, даже если форм на сайте нет.

Роскомнадзор в разъяснениях 2021 и 2023 годов относит cookie, IP-адрес и идентификаторы устройства к персональным данным, когда по ним можно прямо или косвенно определить человека. Осторожная практика сегодня такая: cookie и счётчики упомянуты в политике, а при первом заходе посетитель видит баннер-предупреждение со ссылкой на неё. Отдельного штрафа «за cookie» в кодексе нет - нарушения считают по общим пунктам ст. 13.11.

Сколько стоит каждое нарушение: таблица штрафов

Почему у ИП суммы скачут: по ч. 1 и ч. 2 предприниматель отвечает как должностное лицо (ст. 2.4 КоАП), по ч. 3 назван в статье отдельно, а по ч. 10 примечание к ст. 13.11 приравнивает его к юрлицам.

Для масштаба: за утечку базы от тысячи человек компаниям грозит уже 3-15 миллионов, а за повторную - оборотный штраф 1-3% годовой выручки, минимум 20 миллионов. На этом фоне понятно, почему за документы на сайтах стали спрашивать всерьёз.

Как проверить свой сайт за 10 минут?

1. Откройте сайт как посетитель. В подвале есть ссылка на политику, и она открывается? Внутри описано то, что вы реально делаете?
2. Дойдите до каждой формы. Рядом с кнопкой - отдельная галочка согласия со ссылкой на политику, не проставленная заранее?
3. Проверьте уведомление. На портале Роскомнадзора есть реестр операторов - поищите себя по ИНН. Нет в реестре - подайте уведомление, это бесплатно.
4. Посмотрите на счётчики. Метрика стоит? Тогда cookie должны быть упомянуты в политике, а посетителю - показан баннер.
5. Уберите лишние поля. Каждое поле формы - данные, за которые вы отвечаете. Для звонка хватает имени и телефона.

Через это я прошла на своих проектах: под каждого клиента в 152-ФЗ приходилось разбираться отдельно - у одного форма записи, у другого калькулятор и оплата, и документы под них нужны разные. Делаю я это не ради галочки, а чтобы человек, заказавший у меня сайт, потом не получил письмо со штрафом за то, чего даже не заметил. Разобраться один раз - и сайт спокойно собирает заявки, а не проблемы.

Если заказываете новый сайт, эти блоки закладываются сразу - тема закрыта с первого дня и не всплывёт письмом из ведомства. А дальше сайт должен работать в обе стороны: закон соблюдён, клиенты приходят. О том, откуда их брать, - статья «Откуда брать клиентов: реклама, поиск и ответы ИИ».

Эта статья - обзор для владельца сайта, а не юридическая консультация. Составы и суммы взяты из ст. 13.11 КоАП РФ и 152-ФЗ в редакциях на июль 2026 года; в спорной ситуации сверяйтесь с первоисточником или профильным юристом.

Сайт, который собирает заявки, а не штрафы, - это база. Следующий шаг - чтобы его находили: бесплатный SEO-аудит сайта за пару минут покажет, что мешает вашему сайту приводить клиентов из поиска, и подскажет, что поправить в первую очередь.