Какие юридические документы нужны сайту: персональные данные, cookies, РКН, оферта и штрафы

Анастасия Четвертухина

18 мин. чтения

Картинка идеального сайта: стильный дизайн, формы летают, SEO гонит целевой трафик, а админка работает как часы. А потом заглядываешь «под капот» и выясняется, что вся юридическая часть держится на честном слове, паре кривых галочек в углу экрана и вечном «да ладно, потом политику обновим».

Долгое время предприниматели относились к текстам в подвале сайта как к унылой неизбежности. Ну висит там какой-то шаблон от 2017 года, скопированный у конкурентов; ну падают заявки в CRM; ну фигачит рассылка по всей базе без разбору. Главное — работает же, зачем трогать?

Только сейчас эта беспечность обходится слишком дорого. Роскомнадзор и ФАС окончательно закрутили гайки: за косяки с персональными данными, cookies, уведомлениями или спам-маркетингом прилетают такие штрафы, что для малого бизнеса это уже не легкий испуг, а глухой финансовый нокаут.

Зачем я этим делюсь

Сразу скажу: я не воспылала внезапной любовью к юриспруденции. И это не хитрая лид-магнит воронка, где ради PDF-ки нужно оставить телефон, почту и девичью фамилию матери. За ссылку на шаблоны я вообще ничего не прошу — ни подписок, ни регистраций. Просто недавно закрыла большой проект, перелопатила гору свежих требований и решила выкатить готовые формулировки в мир.

Мне искренне больно смотреть, как крутые проекты закрываются или сливают бюджеты на ровном месте из-за глупых юридических дыр на страницах. Даже если это не мои клиенты, индустрии будет лучше, если адекватный бизнес выживет. Нам и так хватает квестов: налоги растут, трафик дорожает, конкуренция давит, закупки виснут, курс скачет, нервы на пределе. Получить счет на сотни тысяч из-за забытой галочки — максимально обидный способ прогореть.

⚠️ Важный дисклеймер: я не юрист. Этот текст — не официальная консультация и не замена полноценного аудита. Я делюсь чистой практикой: что реально должно быть на сайте, как настроить логику форм и почему стратегия «слизать политику у соседа» — это, мягко говоря, план капкан с гарантированным провалом.

Забирайте ссылку на чистые исходники: открыть Google-папку с шаблонами. Внутри всё настроено, а желтым маркером я выделила то, что вам кровь из носу нужно переписать под себя — названия компании, домены, вашу CRM и реальные цели сбора. Без этой настройки любой шаблон мгновенно превращается в бесполезную филькину грамоту.

Почему это вообще касается обычного сайта

Стандартная мысль владельца бизнеса: «Да ладно, у меня обычный сайт услуг или интернет-магазин, а не банк и не клиника. Кому сдалась моя небольшая база заявок?»

Но давайте честно откроем ваш сайт и загнем пальцы:

обычная форма заявки просит ввести имя и телефон;
кнопка обратной связи ждет от пользователя email;
онлайн-консультант в углу пишет логи разговоров;
Яндекс.Метрика или пиксели аналитики собирают cookies;
все зацепки и лиды автоматом улетают в CRM-систему;
по базе контактов уходят цепочки писем или спецпредложения;
в личном кабинете лежат профили и история заказов;
на главной висят кейсы и отзывы с реальными именами или фотками клиентов.

Поздравляю, вы полноценно обрабатываете персональные данные. Закон считает ими далеко не только серию паспорта или СНИЛС. Имени, телефона, почты, IP-адреса и куки-файлов уже достаточно, чтобы Роскомнадзор пришел к вам с неудобными вопросами.

Раз вы берете эти данные, значит, автоматически становитесь оператором персональных данных со всеми вытекающими обязательствами. Теперь вы обязаны вывесить внятные документы, собирать правильные согласия, отвечать на запросы пользователей и, скорее всего, сдаться ведомству, подав официальное уведомление.

Какие документы нужны сайту

Финальный список документов всегда зависит от вашей ниши — у интернет-магазина, онлайн-школы, маркетплейса или сайта клиники будут свои нюансы. Но есть джентльменский набор, без которого вообще нельзя выходить в онлайн: общая политика, согласия на обработку, правила для cookies, оферта для оплат, пользовательское соглашение и внятная кнопка «забудьте меня».

Политика в отношении обработки персональных данных

Это ваш главный щит и базовая декларация для проверяющих органов. В ней вы человеческим (но юридически выверенным) языком объясняете: кто вы такие, зачем берете контакты, на каком основании их храните, кому передаете и как пользователю быстро удалить себя из вашей базы.

Прятать её вглубь сайта нельзя — ссылка должна быть на виду, без прохождения квестов. Обычно её прописывают в футере и обязательно крепят к каждой форме, где человек вводит хоть какие-то буквы или цифры.

Классический факап: скопировать чужой документ и забыть вычитать. Когда на сайте скромного шиномонтажа или консалтинга в политике всплывают пункты про международную доставку, мобильное приложение и бонусные баллы — это выглядит смешно. Проверяющие из РКН посмеются вместе с вами, но штраф всё равно выпишут, потому что документ липовый.

Политика использования Cookie-файлов

Отдельный документ для «печенек» нужен всем, у кого на сайте стоит хоть один счетчик метрики, пиксель ретаргетинга, онлайн-чат, карты от Яндекса или платежный шлюз. Все эти скрипты тихо собирают технические следы посетителей.

Маркетологи часто машут рукой: «Ой, да это просто коды аналитики, техническая ерунда». Но закон считает IP-адреса, геопозицию и историю кликов персональными данными, если по ним можно вычислить конкретное устройство. Так что шутки в сторону — это полноценный сбор информации.

В этой политике нужно честно расписать: какие куки вы собираете (технические, рекламные или аналитические), зачем они вам нужны, какие сторонние сервисы их видят и как бедному пользователю отключить их в своем браузере, если он очень боится слежки.

И да, всплывающий баннер внизу экрана с одной кнопкой «ОК» без ссылок — это просто дизайнерская декорация. Если человек кликает согласие, он должен понимать, под чем подписывается и куда ведут ссылки, иначе грош цена такому баннеру при первой проверке.

Согласие на обработку персональных данных

Наличие политики в подвале не означает, что пользователь автоматически со всем согласен. В момент, когда клиент жмет кнопку «Отправить заявку» или «Записаться на консультацию», он должен явно подтвердить свое действие.

И это согласие не может быть абстрактным. В законе четко прописано: человек должен точно понимать, кому именно он отдает свой телефон, ради какой конкретно цели (например, «для обратного звонка») и как потом это согласие аннулировать.

Забудьте про заранее проставленные галочки — РКН это люто не любит и считает нарушением. Чекбокс должен быть пустым, чтобы пользователь кликнул по нему сам. Рядом — короткая понятная строчка со ссылкой на текст согласия и общую политику.

Согласие на рекламные и информационные рассылки

О, это любимое поле для штрафов от ФАС. Если вы планируете слать клиенту акции, дайджесты, греющие цепочки в мессенджеры или SMS — вам нужно отдельное, осознанное согласие именно на рекламу по сетям электросвязи.

Железная логика «он сам оставил почту, когда покупал стул, значит, хочет получать наши скидки каждый вторник» тут не работает. Он оставил контакты ради покупки конкретного стула, а не ради вашего спама.

Сделайте под формой второй, необязательный чекбокс: «Хочу получать полезные материалы и скидки». Если пользователь его пропустил — общайтесь только по делу. И главное, фиксируйте в системе лог: когда, с какого IP и откуда это согласие к вам прилетело.

Согласие на распространение персональных данных

Критически важная штука для тех, кто любит хвастаться результатами. Вывесить отзыв с именем, прикрепить фото довольного клиента, выложить скриншот из мессенджера или оформить подробный кейс с реальными данными — это уже распространение.

Разница принципиальная. Одно дело — тихо хранить имя Ивана в своей закрытой CRM-системе (это внутренняя обработка). Совсем другое — выкатить лицо Ивана на главную страницу сайта на всеобщее обозрение (это распространение в массы).

Так что если ваш маркетинг держится на блоках «До / После», видеоотзывах и логотипах партнеров, подписывайте с людьми отдельную бумагу на распространение. Иначе лояльный клиент завтра передумает, а вы получите иск на ровном месте.

Публичная оферта

Переходим к деньгам. Оферта — это ваш виртуальный договор с каждым, кто платит через сайт, покупает курс, заказывает консультацию или оформляет подписку. В ней прописаны правила игры: как вы принимаете оплату, как и в какие сроки делаете возвраты, где заканчивается ваша ответственность и как решать споры, если что-то пошло не так.

Если оферты нет, вы остаетесь беззащитны перед любым потребительским терроризмом. Переписка в духе «мы же договаривались в Телеграме» судом трактуется очень вольно. Автоматические продажи и воронки без четкого договора — это мина замедленного действия.

Не надо раздувать её до размеров «Войны и мира», но она обязана отражать вашу реальную модель работы. Не копируйте оферту крупного маркетплейса с курьерской доставкой, если вы продаете онлайн-гайды по дизайну. Этот косплей в суде развалится за две минуты.

Пользовательское соглашение

Этот документ нужен далеко не каждому проекту. Его стоит вешать, только если на сайте есть личные кабинеты, регистрация, закрытые базы знаний, форумы или сложный интерактивный сервис, где люди могут что-то постить от своего имени.

По сути, это правила поведения на вашей личной цифровой территории. Там написано, за какой спам или мат можно забанить аккаунт, кто отвечает за загруженные картинки и какие права у пользователя есть внутри платформы.

Для сайта-визитки или простого лендинга услуг этот документ — явный избыточный перебор. Но если у вас личный кабинет для студентов онлайн-школы или своя IT-платформа, то соглашение становится несущей стеной всей конструкции.

Страница или форма отзыва согласия

У человека должно быть законное и простое право сказать вам: «Всё, удалите меня отовсюду». Нельзя заставлять его писать официальные письма мелким почерком на юридический адрес компании. Сделайте отдельную страничку с инструкцией и шаблоном заявления.

В шаблонах, которые я отдаю, для этого есть готовая заготовка. Великую автоматизацию ради этого пилить не нужно — достаточно указать рабочий email, куда слать заявление, и объяснить пользователю, в какие сроки вы обязуетесь всё стереть.

И да, если такое письмо прилетит, данные действительно придется удалить из CRM и рассыльщика, а не просто проигнорировать. Оставить страницу «для красоты» и забить на реальные запросы — отличный способ быстро нарваться на проверку.

Уведомление РКН о начале обработки персональных данных

Самый страшный зверь, о котором многие забывают, — обязанность сдаться Роскомнадзору. По статье 22 закона 152-ФЗ почти любой бизнес, собирающий контакты клиентов, обязан войти в официальный реестр операторов до того, как начнет эти данные трогать.

Заполняется всё на официальном портале, вот прямая ссылка на форму: https://pd.rkn.gov.ru/operators-registry/notification/form/. Процедура бесплатная, но требует внимательности — нужно четко прописать, как, где и зачем вы храните базы данных.

Если ваш сайт работает уже пару лет, а Роскомнадзор о вас еще не знает — выключайте режим страуса. Лучше подать заявление сейчас с небольшим опозданием, чем дождаться, пока ведомство само найдет ваш домен через автоматический парсер и пришлет предписание.

И не слушайте диванных экспертов в бизнес-чатах, которые кричат: «Да мы три года без этого работаем, и норм!». То, что до вашего знакомого ИП еще не дошли руки, — это не законное исключение, а простое везение. А везет в бизнесе не вечно.

Что должно быть в формах сайта

Идеальнейшие юридические тексты в подвале бесполезны, если сами интерфейсы сайта настроены криво. Обычно штрафы прилетают не за формулировки в глубине документов, а за то, что творится прямо на экранах у пользователей.

Вот вам быстрый чек-лист для проверки интерфейсов:

под каждой кнопкой отправки есть живая ссылка на политику обработки ПДн;
всплывающий баннер куки ссылается на вашу отдельную cookie-политику;
чекбоксы согласий абсолютно пустые, никаких дефолтных проставленных галочек;
подписка на акции и дайджесты — это отдельный пункт, а не спрятанный вглубь текст;
cookie-плашка кратко объясняет, зачем нам данные, а не просто висит мертвым грузом с кнопкой «ОК»;
подписи к чекбоксам написаны человеческим языком, а не канцеризмами прошлых веков;
из интерфейса четко понятно, какая именно компания или ИП собирает лиды;
кнопка отправки заблокирована, пока пользователь не кликнет обязательное согласие;
ваша система логирует факт клика: дату, IP, версию текста, чтобы в случае спора было что показать.

Про логирование согласий все обычно забывают. А при проверках начинается комедия: «Да у нас точно была там галочка, честно!». Роскомнадзору ваши честные слова не интересны — им нужны логи из базы данных. Без них ваша защита рассыпается на глазах.

Какие штрафы грозят за нарушения

Переходим к цифрам, от которых портится настроение. Это сухая выжимка главных рисков для коммерческих сайтов. Данные актуальны по проверенным источникам на 19 июля 2026 года, но перед внедрением советую заглянуть в свежий КоАП — наши законодатели переписывают его с завидным азартом.

Обработка ПДн не по тем целям, что заявляли изначально: для компаний от 150 000 до 300 000 руб. (за повторный косяк — до 500 000 руб.).
Сбор данных без внятного письменного согласия или с ошибками в нём: для юрлиц от 300 000 до 700 000 руб. (повторно — до 1 500 000 руб.).
Забыли вывесить политику конфиденциальности в открытый доступ: ИП рискует на 10 000–20 000 руб., компания — на 30 000–60 000 руб.
Проигнорировали или вовремя не подали уведомление Роскомнадзора: штраф для юрлиц от 100 000 до 300 000 руб.
База данных физически лежит на зарубежном сервере (нарушение локализации): готовьте от 1 000 000 до 6 000 000 руб. (повторно — до 18 000 000 руб., тут без шуток).
Слив базы данных (утечка): компании заплатят от 3 000 000 до 15 000 000 руб. За повторный слив впаяют оборотный штраф от 1% до 3% (но минимум 20 000 000 руб.).
Спам-рассылка без галочки от клиента: штраф от ФАС для юрлиц от 300 000 до 1 000 000 руб. за кампанию.
На сайте нет ИНН, ОГРН или реальных контактов продавца (нарушение прав потребителя): штраф от 5 000 до 10 000 руб.

Понятно, что завтра к вам не прибегут выписывать все штрафы разом. Но логика «мы маленькие, нас не заметят» больше не работает — парсеры ведомств ищут нарушения на автоматах. Цифры стали слишком болезненными, чтобы продолжать играть в эту рулетку.

Что есть в шаблонах

Чтобы вы не собирали этот конструктор с нуля, я упаковала в одну папку готовую базу документов:

базовая политика в отношении обработки персональных данных;
отдельная политика для использования Cookie-файлов;
шаблон согласия на обработку ПДн для стандартных форм заявки;
согласие на распространение ПДн (для блока с отзывами, фотками и кейсами);
публичная оферта (для онлайн-оплат, услуг и продаж продуктов);
пользовательское соглашение (если на сайте есть личные кабинеты и регистрация);
страница-инструкция по правильному отзыву согласия;
готовый бланк заявления на отзыв для ваших пользователей.

Вот еще раз прямая ссылка: Google-папка с шаблонами юридических документов для сайта.

Всё, что выделено желтым цветом, нужно обязательно переписать под себя: ваши реквизиты, домен, почту, конкретные названия CRM-систем, платежных шлюзов, систем аналитики и реальные условия возврата денег или оказания услуг.

Пожалуйста, не копируйте вслепую — это быстро, но юридически лениво и бессмысленно. Воспринимайте шаблоны как прочный каркас: настройте его под свои фактические бизнес-процессы, а потом идеальный вариант — покажите хорошему юристу для финальной сверки.

Как внедрять по шагам

Вот пошаговый план действий, чтобы навести порядок на сайте:

Составьте список всего, что собирает сайт: от полей в формах до скрытых куки, чатов и метрик.
Пропишите четкие цели: зачем вам эти данные (продать, перезвонить, отправить рассылку, посчитать аналитику).
Выпишите сервисы, куда эти данные улетают: CRM, Telegram-боты, платежные шлюзы, почтовые сервисы, хостинги.
Перепишите шаблоны строго под получившуюся картину вашего бизнеса.
Разместите ссылки в футере сайта, под каждой кнопкой отправки и на плашке куки.
Очистите чекбоксы согласий от любых дефолтных, заранее проставленных галочек.
Разделите обязательное согласие на обработку заявки и необязательную подписку на рекламу.
Отправьте уведомление в Роскомнадзор через их официальную онлайн-форму pd.rkn.gov.ru/operators-registry/notification/form/, если вы обязаны это сделать.
Назначьте ответственного, кто будет разгребать письма от пользователей и стирать их из базы по первому требованию.

Да, это самая нудная часть работы над сайтом. Никто не просыпается в субботу с мыслью: «Какое счастье, сегодня займусь политикой конфиденциальности!». Но это обычная гигиена бизнеса — как бэкапы, налоги или вовремя подписанные акты. Скучно и лень ровно до тех пор, пока не прилетит первая досудебная претензия.

Вопрос-ответ

Нужна ли политика персональных данных, если на сайте только форма заявки?

Да, сто процентов. Если форма просит хотя бы имя и телефон для связи — вы уже собираете персональные данные. Политика должна лежать на сайте в открытом доступе, а у самой формы обязана быть ссылка на неё и чистое согласие от пользователя.

Нужно ли подавать уведомление в Роскомнадзор всем сайтам?

Исключения в законе есть, но они настолько узкие, что 95% коммерческих сайтов под них не подходят. Если у вас подключена CRM, стоят пиксели аналитики, формы оплат или подписка на новости — скорее всего, вы обязаны подать уведомление. Лучше проверить свой кейс внимательно.

Можно ли взять шаблон политики из интернета и просто заменить название компании?

Можно, если вы любите играть в рулетку на деньги компании. Чужой шаблон не знает, где вы храните базы и какими сервисами пользуетесь. Рано или поздно это несовпадение вскрыется при первой же банальной проверке. Документ нужно адаптировать под себя.

Нужно ли отдельное согласие на рекламную рассылку?

Да, и ФАС за этим следит очень жестко. Клик на кнопку «Хочу консультацию» — это не карт-бланш на бомбардировку человека письмами про ваши супер-акции. Делайте под рассылки отдельный пустой чекбокс и собирайте логи согласий.

Нужна ли отдельная политика cookies?

Если у вас подключена Метрика, стоят пиксели соцсетей, интерактивные карты, виджеты или формы — да, нужна. Она помогает честно раскрыть пользователю, какие именно метки сохраняются в его браузере, зачем они вам и как их быстро почистить.

Что делать, если сайт уже давно собирает заявки, а документов нет?

Точно не паниковать, но и не откладывать в долгий ящик. Спокойно разберитесь в процессах, скачайте шаблоны, перепишите их под себя, поправьте логику форм и отправьте уведомление в ведомство. Играть в «авось пронесет» — плохая тактика, когда штрафы выросли в разы.

Итог

Юридические страницы на сайте — это не просто унылый текст для галочки, чтобы отстали проверяющие. Это нормальная броня вашего бизнеса. Она показывает, как вы работаете с аудиторией, как защищаете свои продажи, рассылки и, главное, собственные деньги от глупых штрафов.

Если сайт крутит куки, собирает лиды, принимает рубли, хранит отзывы или шлет цепочки писем — закрыть эти хвосты нужно до того, как вы включите рекламу на полную мощность и погоните туда большой входящий трафик.

Мои шаблоны дадут вам мощный старт и сэкономят время, но включать голову всё равно придется. Да, ковыряться в этом неохота. Но это в сотни раз дешевле и спокойнее, чем потом судорожно отбиваться от проверок, терять лояльность клиентов и лечить сорванные нервы.

Если хотите докрутить сайт не только по закону, но и по UX, логике, конверсиям, SEO и общей внятности для людей — пишите мне. Я как раз специализируюсь на том, чтобы находить скрытые дыры, через которые сайт незаметно сливает ваших клиентов и деньги.

Источники

Связанные услуги

UX-аудит и консалтинг

Сайты под ключ

Digital-стратегия и контент-маркетинг

Бесплатная консультация-разбор

Напишите мне в Телеграм о своем бизнесе, и я подготовлю для Вас бесплатную консультацию-разбор Вашего текущего ресурса с возможностями увеличения продаж, либо о плане запуска нового.