Какие документы нужны для сайта в 2026 году: чек-лист

Набор документов для сайта зависит от трех вещей: какие данные он собирает, что пользователь может на нем сделать и кому компания продает товары или услуги. Обычному лендингу с формой заявки обычно нужны политика обработки персональных данных, правильно оформленное основание сбора данных, сведения о cookie и уведомление Роскомнадзора. Интернет-магазину дополнительно нужны условия продажи, оплаты, доставки и возврата, а рассылке — отдельное согласие на получение рекламы

Ниже можно сначала найти свой тип сайта и получить готовый список, а затем перейти к подробному разбору каждого документа

# Какие документы нужны именно вашему сайту?

Это не означает, что для каждого сайта необходимо создать десять отдельных страниц. Несколько положений можно объединить в одном документе, если информация остается понятной и соответствует реальной работе сайта

# Как определить комплект документов за пять шагов?

Ответьте на пять вопросов:

1. Может ли посетитель оставить имя, телефон, почту или другие сведения?
2. Используются ли Метрика, рекламные пиксели, онлайн-чат или коллтрекинг?
3. Может ли человек заказать или оплатить товар либо услугу?
4. Планирует ли компания отправлять ему рекламные сообщения?
5. Собираются ли сведения о здоровье, детях, документах или другие чувствительные данные?

Если хотя бы на первый или второй вопрос ответ положительный, необходимо разбирать требования закона № 152-ФЗ и фактический маршрут данных

Если на сайте можно заключить договор или внести оплату, дополнительно проверяются оферта, сведения о продавце или исполнителе, условия оказания услуги, возврата и отмены

Если собираются специальные категории данных, стандартного шаблона для обычного лендинга недостаточно

# Какие сведения считаются персональными данными на сайте?

Персональные данные — это сведения, которые относятся к прямо или косвенно определенному человеку

На сайтах чаще всего обрабатываются:

• имя и фамилия
• номер телефона
• адрес электронной почты
• адрес доставки
• данные заказа
• сведения в личном кабинете
• история обращений
• резюме соискателя
• записи разговоров
• фотографии и видеозаписи
• IP-адреса, идентификаторы cookie и сведения об устройстве, если с их помощью можно выделить или определить пользователя

Рабочая почта сотрудника вида name@company.ru и его телефон также могут быть персональными данными. Поэтому требования не исчезают только потому, что сайт работает с другими компаниями

Не любая техническая информация автоматически становится персональными данными. Нужно смотреть, позволяет ли она отдельно или вместе с другими сведениями определить конкретного пользователя и как именно компания ее использует

# Какие документы должны быть опубликованы на сайте?

Публичный комплект формируется из функций сайта

В него могут входить:

1. Политика обработки персональных данных
2. Согласие на обработку персональных данных
3. Согласие на получение рекламных сообщений
4. Информация об использовании cookie и аналитики
5. Сведения о компании, ИП, продавце или исполнителе
6. Публичная оферта или условия оказания услуг
7. Правила оплаты, доставки, отмены и возврата
8. Пользовательское соглашение
9. Отдельные отраслевые документы

Слово «могут» здесь принципиально. Публичная оферта не нужна информационному сайту, через который невозможно заключить договор. Согласие на рекламу не нужно компании, которая не делает рекламных рассылок. Отдельная политика cookie не обязательна, если вся необходимая информация уже включена в политику обработки данных

# Какие документы нужны владельцу сайта внутри компании?

Публичные страницы — только видимая часть работы с персональными данными

У оператора также могут потребоваться:

• уведомление Роскомнадзора
• внутреннее положение об обработке персональных данных
• перечень целей, категорий данных и сроков хранения
• назначение ответственного за обработку данных для юридического лица
• порядок доступа сотрудников
• договоры с компаниями, которые обрабатывают данные по поручению
• правила уничтожения и удаления информации
• порядок ответа на запросы пользователей
• план действий при утечке
• сведения о применяемых мерах защиты

Эти документы не нужно публиковать целиком на сайте. Но их отсутствие нельзя исправить одной ссылкой на политику в подвале

# Нужна ли политика обработки персональных данных?

Политика обязательна, если оператор собирает персональные данные через сайт или другую информационную сеть

Требование содержится в статье 18.1 закона № 152-ФЗ

Политика должна объяснять:

• кто является оператором
• какие категории пользователей передают данные
• какие сведения собираются
• для каких целей они нужны
• на каком основании обрабатываются
• какие действия совершаются с данными
• кому они передаются
• используются ли CRM, хостинг, сервисы аналитики и другие подрядчики
• сколько хранятся данные
• как пользователь может отозвать согласие или направить требование
• какие меры защиты применяет оператор

Политику следует размещать в открытом доступе. Ссылку обычно добавляют в подвал сайта и возле форм, через которые собираются данные

Документ не должен перечислять несуществующие процессы. Если в шаблоне написано, что данные не передаются третьим лицам, но заявка уходит в CRM, почтовый сервис и систему аналитики, политика не соответствует действительности

# Всегда ли возле формы нужна галочка согласия?

Нет, отдельное согласие необходимо не при любой обработке

Статья 6 закона № 152-ФЗ предусматривает несколько возможных оснований. Помимо согласия, данные могут обрабатываться для заключения или исполнения договора по инициативе пользователя, выполнения требований закона и в некоторых других случаях

Добавлять одинаковую галочку во все формы без разбора неправильно. Сначала определяется цель и правовое основание, затем проектируется форма

Если основанием является согласие, оно должно быть конкретным, информированным, сознательным и однозначным. С 1 сентября 2025 года его необходимо оформлять отдельно от других документов и информации, которые подтверждает пользователь

Практически это означает:

• текст согласия доступен до отправки формы
• пользователь совершает отдельное активное действие
• чекбокс не отмечен заранее
• форма не скрывает цель обработки
• система сохраняет факт и время подтверждения
• можно определить, какую редакцию согласия принял человек

Одна фраза «Нажимая кнопку, вы соглашаетесь с политикой» не всегда подтверждает согласие на конкретную обработку. Политика описывает правила оператора, а согласие фиксирует волю пользователя

# Когда нужно отдельное согласие на рекламную рассылку?

Оно нужно, если компания планирует отправлять рекламные сообщения по телефону, электронной почте, СМС или через мессенджеры

Обычное согласие на обработку персональных данных не дает автоматического разрешения на рекламу

По статье 18 закона «О рекламе» предварительное согласие адресата должен доказать рекламораспространитель. После требования пользователя рассылку необходимо прекратить

Правильная форма разделяет обязательное действие и маркетинг:

• пользователь оформляет заказ или отправляет заявку
• отдельно и добровольно соглашается на рекламу
• может не принимать рекламу и все равно получить основную услугу
• в дальнейшем может легко отказаться от сообщений

Уведомление о статусе уже оформленного заказа и предложение купить новый товар — разные цели. Первое может быть связано с исполнением договора, второе является рекламой

# Нужна ли отдельная политика cookie?

Не обязательно

В российском законодательстве нет отдельного общего требования, обязывающего любой сайт создавать страницу с названием «Политика cookie». Но технологии аналитики могут обрабатывать идентификаторы, IP-адреса и сведения о поведении пользователя

Информацию о cookie можно:

• включить в общую политику обработки персональных данных
• вынести в отдельную политику, если технологий много
• кратко показать в уведомлении и дать ссылку на подробное описание

Важно указать:

• какие категории cookie используются
• какие сервисы их устанавливают
• для каких целей собирается информация
• сколько она может храниться
• можно ли отключить необязательные технологии
• передаются ли сведения сторонним сервисам

Отдельная страница нужна не ради количества документов, а когда без нее невозможно нормально объяснить работу аналитики и других технологий

# Нужен ли cookie-баннер с кнопками принятия и отказа?

Не каждому сайту нужен одинаковый баннер европейского образца

Сначала необходимо определить, какие технологии запускаются:

• обязательные cookie для авторизации и корзины
• Яндекс Метрика
• Вебвизор
• рекламные пиксели
• системы коллтрекинга
• онлайн-чаты
• карты и встроенные видео
• сторонние формы
• сервисы анализа поведения

В условиях Яндекс Метрики указано, что владелец сайта должен предоставить посетителям понятную информацию об обработке данных. Если применимое законодательство требует согласия, владелец должен его получить

Главная практическая ошибка — показать красивое уведомление, но загрузить все счетчики еще до выбора пользователя. Если баннер предлагает отказаться от аналитических или рекламных cookie, отказ должен реально влиять на запуск соответствующих скриптов

Для сайта только с необходимыми техническими cookie может хватить информирования. Для проекта с рекламными пикселями, профилированием и зарубежной аудиторией может потребоваться полноценное управление категориями cookie

# Нужно ли уведомлять Роскомнадзор?

В большинстве случаев с автоматизированной обработкой — да

По статье 22 закона № 152-ФЗ оператор должен уведомить Роскомнадзор до начала обработки персональных данных

Старые исключения для данных сотрудников, клиентов по договору и общедоступной информации перестали действовать в 2022 году. В действующей редакции основные исключения относятся к обработке исключительно без автоматизации, отдельным государственным системам и транспортной безопасности

Обычная заявка, которая поступает на почту, записывается в таблицу, CRM или административную панель, является автоматизированной обработкой

Уведомление подается через официальную форму Роскомнадзора

В нем указываются:

• цели обработки
• категории пользователей
• состав данных
• правовые основания
• способы обработки
• меры защиты
• дата начала обработки
• срок или условие прекращения
• наличие трансграничной передачи
• местонахождение базы данных

Если после подачи уведомления появились новые цели, формы, категории данных или информационные системы, сведения необходимо актуализировать

# Должна ли база данных находиться в России?

При сборе персональных данных граждан России через интернет их запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием баз данных, находящихся на территории России, кроме предусмотренных законом исключений

Это требование установлено частью 5 статьи 18 закона № 152-ФЗ

Речь идет именно о базах с персональными данными. Закон не требует автоматически размещать каждый файл сайта на одном российском сервере

Проверять нужно весь маршрут:

1. Куда отправляется форма
2. Где находится основная база
3. Где хранятся резервные копии
4. В какую CRM попадает заявка
5. Какие данные получают аналитика и коллтрекинг
6. Используются ли зарубежные облачные функции
7. Происходит ли трансграничная передача

Российский хостинг главной страницы не решает проблему, если заявки сразу записываются в зарубежную базу

# Что нужно обычному лендингу с формой заявки?

Для лендинга компании, на котором пользователь оставляет имя и телефон, базовый комплект выглядит так:

• политика обработки персональных данных
• ссылка на политику в подвале и возле формы
• правовое основание обработки заявки
• отдельное согласие, если обработка основана на нем
• фиксация факта подтверждения
• уведомление Роскомнадзора
• российская база для первичной записи и хранения данных
• информация об аналитике и cookie
• реквизиты компании или ИП, если сайт предлагает услуги потребителям

Публичная оферта такому сайту не нужна автоматически. Если после заявки менеджер обсуждает условия, а стороны заключают отдельный договор, оферта может отсутствовать

# Что нужно сайту услуг без онлайн-оплаты?

Такому сайту нужны документы для формы заявки и достоверная информация об исполнителе и услугах

Обычно проверяются:

• политика обработки данных
• согласие или другое основание для формы
• уведомление Роскомнадзора
• сведения об исполнителе
• описание услуги
• цена или порядок ее определения, если предложение адресовано потребителям
• существенные ограничения
• контакты и порядок обращения

Если сайт только знакомит с услугой, а договор заключается после индивидуального согласования, отдельная публичная оферта может не потребоваться

Фраза «не является публичной офертой» сама по себе ничего не исправляет. Значение имеют содержание страницы и фактический порядок заключения договора

# Что нужно интернет-магазину?

Интернет-магазин одновременно обрабатывает персональные данные и заключает дистанционные договоры с покупателями

Ему обычно нужны:

• политика обработки персональных данных
• правовое основание обработки заказа
• отдельное согласие для целей, не связанных с исполнением заказа
• отдельное согласие на рекламную рассылку
• информация о cookie и аналитике
• уведомление Роскомнадзора
• сведения о продавце
• достоверная информация о товаре
• цена и условия приобретения
• условия оплаты и доставки
• правила возврата
• условия продажи или публичная оферта
• подтверждение заключения договора
• контакт для обращений покупателя

По статьям 9 и 10 закона «О защите прав потребителей» продавец обязан предоставить информацию о себе и необходимую достоверную информацию о товарах

Карточка товара, корзина, оформление заказа, оплата и письмо после покупки должны соответствовать одним и тем же условиям. Нельзя написать один срок доставки в оферте, другой — в карточке, а третий сообщить после оплаты

# Что нужно сайту с онлайн-оплатой услуг?

Если человек выбирает услугу, принимает условия и оплачивает ее на сайте, необходимо зафиксировать содержание договора

Для этого обычно используются:

• публичная оферта
• условия оказания услуги
• цена и порядок оплаты
• срок или момент предоставления услуги
• правила отмены
• порядок возврата
• условия подписки и автоматических списаний, если они есть
• реквизиты исполнителя
• порядок направления претензий

По статье 437 ГК РФ публичной офертой признается предложение, которое содержит существенные условия договора и выражает готовность заключить его с любым принявшим предложение лицом

Название документа не важнее содержания. Страница «Правила сервиса» может фактически быть договором, а документ с названием «Оферта» может оказаться бесполезным, если в нем нет существенных условий

# Что нужно сервису с личным кабинетом?

Личный кабинет означает длительную обработку данных, а не разовую передачу заявки

Обычно требуются:

• политика обработки данных
• условия регистрации
• пользовательское соглашение или оферта
• правила использования сервиса
• описание тарифа и оплаты
• порядок блокировки и удаления учетной записи
• срок хранения информации
• восстановление доступа
• управление активными сессиями
• защита паролей
• фиксация редакции принятых документов
• порядок обращения пользователя по поводу его данных

Если сервис использует подписку, токены, автоматические списания или цифровой контент, условия их использования нужно описывать отдельно и без двусмысленности

# Что меняется для медицинских сайтов?

Сведения о состоянии здоровья относятся к специальным категориям персональных данных

Их обработка по общему правилу ограничена. Она возможна при письменном согласии или при наличии другого основания, предусмотренного статьей 10 закона № 152-ФЗ

Если обычная форма записи просит только имя и телефон, не следует добавлять в нее поле для описания диагноза «на всякий случай». Чем больше чувствительной информации собирает сайт, тем сложнее требования к основанию, хранению, доступу и защите

Медицинскому проекту также могут потребоваться сведения о лицензии, медицинской организации и оказываемых услугах. Такой сайт нужно проверять не только по закону № 152-ФЗ, но и по отраслевым требованиям

# Что меняется для образовательных сайтов?

Необходимо различать сайт образовательной организации и обычный сайт компании, продающей консультации или информационные продукты

Для официального сайта образовательной организации действует отдельный перечень информации и документов: сведения об организации, программах, руководстве, педагогах, материальном обеспечении, платных услугах и другие обязательные разделы

Обычный автор онлайн-курса без статуса образовательной организации не должен механически копировать этот комплект. Сначала нужно определить правовую модель услуги, наличие лицензии и фактический формат обучения

# Что проверить, если сайт собирает данные детей?

Данные несовершеннолетних не следует собирать по стандартной форме для взрослых без дополнительной проверки

Нужно определить:

• возраст пользователя
• может ли он самостоятельно принять условия
• требуется ли участие родителя или другого законного представителя
• какие данные действительно нужны
• как подтверждается полномочие представителя
• можно ли отказаться от сбора фотографии, документов и других избыточных сведений
• как долго хранится информация

Для детских проектов лучше минимизировать набор полей и проводить отдельную юридическую проверку сценария регистрации, оплаты и публикации материалов

# Что проверить при загрузке фотографий, видео и документов?

Фотография не становится биометрическими данными только потому, что на ней видно лицо. Значение имеет то, используется ли изображение для установления личности

Но паспорт, фотография, видеозапись и скан документа в любом случае требуют понятной цели, ограниченного доступа и обоснованного срока хранения

Перед добавлением загрузки нужно ответить:

• зачем нужен именно файл
• можно ли выполнить задачу без него
• кто получит доступ
• где файл будет храниться
• когда он будет удален
• передается ли он стороннему сервису
• используется ли распознавание лица или установление личности

Форма «прикрепите паспорт на всякий случай» создает риск, который невозможно убрать одной строкой в политике

# Какие ошибки встречаются чаще всего?

# Одна галочка используется для всего

Обработка заявки, заключение договора и рекламная рассылка объединяются в одно подтверждение

На практике это разные цели, и для них могут использоваться разные правовые основания

# Политика не соответствует сайту

В документе не указаны CRM, Метрика, рассылка, хостинг или другие реальные получатели данных

# Чекбокс уже отмечен

Пользователь не совершает отдельного действия, поэтому доказать сознательное и однозначное согласие сложнее

# Метрика запускается до выбора пользователя

Cookie-баннер предлагает выбор, но технически ни на что не влияет

# Уведомление Роскомнадзора не подано

Компания считает, что небольшая форма заявки или работа только с корпоративными клиентами освобождает ее от уведомления

# Сайт хранится в России, а заявки — нет

Файлы сайта находятся на российском хостинге, но данные отправляются в зарубежную CRM или облачную базу

# Оферта не совпадает с оплатой

На странице обещаны одни условия, в документе указаны другие, а после оплаты действует третий сценарий

# Собираются лишние данные

Форма просит дату рождения, адрес, паспорт или сведения о здоровье, хотя для оказания услуги они не нужны

# Как провести проверку сайта самостоятельно?

1. Откройте сайт в приватном режиме
2. Выпишите все формы, включая всплывающие окна, чат и обратный звонок
3. Запишите, какие сведения собирает каждая форма
4. Определите цель и основание каждой обработки
5. Отправьте тестовую заявку и проследите весь маршрут
6. Проверьте почту, CRM, таблицы, административную панель и уведомления
7. Посмотрите, какие cookie создаются до любых действий
8. Проверьте Метрику, Вебвизор, пиксели и сторонние виджеты
9. Сверьте фактические процессы с политикой
10. Проверьте отдельное согласие на рекламу
11. Найдите компанию в реестре операторов Роскомнадзора
12. Сверьте уведомление с текущими целями и системами
13. Проверьте местонахождение базы и резервных копий
14. Пройдите заказ, оплату, отмену и возврат
15. Убедитесь, что все ссылки и способы отказа работают

Проверку следует повторять после подключения новой CRM, аналитики, рассылки, оплаты, формы, личного кабинета или мобильного приложения

# Какие штрафы предусмотрены за нарушения?

Не существует одного автоматического штрафа «за неправильный сайт»

Ответственность зависит от конкретного нарушения, статуса оператора, последствий и повторности. Несколько самостоятельных нарушений могут рассматриваться отдельно

Например, для юридических лиц:

Суммы установлены статьей 13.11 КоАП РФ

Поэтому сумма вроде 1,3 млн рублей может появиться при сложении нескольких предполагаемых нарушений, но это не единая ставка штрафа за отсутствие документов на сайте

# Что MG Solutions может сделать для сайта?

MG Solutions может закрыть техническую часть приведения сайта в соответствие с выбранной юридической схемой

Мы можем:

• найти все точки сбора данных
• определить технический маршрут каждой формы
• проверить Метрику, Вебвизор, пиксели, чаты и коллтрекинг
• составить карту передачи данных
• создать и разместить страницы документов
• добавить отдельные согласия
• разделить согласие на обработку данных и рекламу
• настроить активные чекбоксы
• сохранять время и редакцию принятого документа
• внедрить управление cookie
• изменить момент загрузки счетчиков
• настроить отказ от рекламной рассылки
• проверить передачу заявок в CRM
• перенести хранение данных в российскую инфраструктуру
• реализовать удаление и выгрузку информации
• подготовить технические сведения для уведомления Роскомнадзора
• привести оформление заказа и оплаты в соответствие с офертой

Если проект работает с медицинскими сведениями, биометрией, детьми, сложными подписками или другими чувствительными сценариями, окончательные юридические формулировки необходимо дополнительно согласовать с профильным юристом

# Сколько стоит привести сайт в порядок?

Универсальной цены нет, потому что на одном сайте может быть одна форма и Метрика, а на другом — личный кабинет, оплата, CRM, рассылка и несколько баз данных

Сначала мы составляем список конкретных задач и оцениваем каждую в часах. Ставка MG Solutions составляет от 1 500 до 2 500 рублей в час в зависимости от сложности проекта и необходимых компетенций

Клиент видит:

• какие проблемы обнаружены
• что требуется изменить
• сколько часов занимает каждая задача
• сколько стоит каждый блок
• что является обязательным, а что можно сделать позднее

Смету можно проверить с помощью ИИ, показать знакомому разработчику или сравнить с другим предложением. Работы и этапы закрепляются в официальном договоре

# Какие документы нужны для сайта без форм?

Если сайт действительно не собирает данные, не использует аналитику, сторонние виджеты и личный кабинет, документы по обработке данных могут не понадобиться

При этом нужно проверить серверные журналы, хостинг и встроенные сервисы. Видимое отсутствие формы еще не означает полного отсутствия обработки

# Нужна ли политика для сайта на Тильде?

Платформа не освобождает владельца бизнеса от требований закона

Если сайт на Тильде собирает заявки, использует аналитику или передает сведения в другие сервисы, владелец должен определить правовое основание, опубликовать политику и проверить необходимость уведомления Роскомнадзора

# Нужна ли оферта сайту услуг?

Не всегда

Если пользователь только оставляет заявку, а затем стороны согласовывают условия и подписывают отдельный договор, оферта может не требоваться. Если договор заключается непосредственно на сайте, его условия необходимо зафиксировать

# Нужно ли согласие при оформлении заказа?

Не для каждой операции

Данные, необходимые для заключения и исполнения договора, могут обрабатываться на основании договора. Для рекламы, дополнительной аналитики и других самостоятельных целей может понадобиться отдельное согласие

# Можно ли скачать готовые документы для сайта?

Шаблон можно использовать как основу, но его необходимо сверить с формами, базами, CRM, аналитикой, рассылками, оплатой и реальными сроками хранения

Документ, который не соответствует работе сайта, создает только видимость соблюдения требований

Если нужно проверить действующий сайт или сразу правильно настроить новый, отправьте ссылку в Telegram-бот MG Solutions или оставьте заявку на mgsolutions.ru

Мы проверим документы, формы, аналитику, базы и интеграции, разложим доработки на задачи и покажем прозрачную стоимость каждой работы