Персональные данные на сайте: что собирается и что нарушается

На сайте персональные данные — это всё, что позволяет связать информацию с конкретным человеком. Форма заявки с именем и телефоном — очевидный случай. Но есть и спорные зоны, например IP-адрес, по которому позиции регулятора и судов расходятся.

Определение ПД применительно к сайту

Закон не даёт закрытого перечня персональных данных. Статья 3 говорит: это любая информация об определённом или определяемом человеке. Ключевое слово — «определяемом». Если по совокупности данных можно понять, кто это, — это персональные данные.

На сайте к ним относятся:

• имя и фамилия;
• номер телефона;
• адрес электронной почты;
• адрес проживания или регистрации;
• дата рождения;
• паспортные данные (если вы их запрашиваете);
• фото, если по нему можно идентифицировать человека.

Даже один email или номер телефона — уже персональные данные, если вы можете связать их с конкретным человеком.

Что точно является ПД на сайте

Форма заявки. Если на вашем сайте есть форма обратной связи, через которую пользователь передаёт свои имя и телефон, — вы собираете персональные данные. Это очевидный случай. Не важно, отправится эта форма в CRM, на почту или в мессенджер. Сам факт получения имени и телефона уже делает вас оператором.

Личный кабинет. Когда пользователь регистрируется на сайте, указывает email и создаёт пароль, вы обрабатываете данные, которые однозначно идентифицируют человека. Это уже не просто посещение сайта, а полноценная обработка с хранением данных.

Комментарии с email. Если на сайте есть блог или форум, и комментарий оставляется с указанием email, — вы получаете персональные данные. Даже если пользователь выбрал псевдоним, email связывает действие с конкретным человеком.

Заявка на консультацию, звонок, расчёт стоимости — всё, где пользователь оставляет контактные данные, это сбор ПД.

Спорная зона: cookie и технические идентификаторы

С IP-адресом всё сложнее. Часть 1 статьи 3 152-ФЗ определяет персональные данные как информацию, относящуюся к прямо или косвенно определённому или определяемому субъекту. IP-адрес может быть таким идентификатором, а может и не быть — зависит от контекста.

Роскомнадзор в разъяснениях придерживается позиции, что IP-адрес может быть персональными данными, если он позволяет идентифицировать пользователя через провайдера. Суды часто исходят из того, что IP-адрес сам по себе, без привязки к другой информации, не позволяет определить конкретного человека.

Это означает, что единого ответа «IP-адрес — это всегда ПД» или «IP-адрес — это никогда не ПД» нет. Всё зависит от того, есть ли у вас возможность связать этот IP с конкретным пользователем и используете ли вы его для идентификации. Если вы храните IP вместе с именем и телефоном клиента в базе — тогда это почти наверняка ПД. Если IP собирается в обезличенном виде только для статистики и не связывается с другими данными — риск ниже.

С cookie похожая история. Прямой законодательной обязанности показывать cookie-баннер в РФ нет. В отличие от ePrivacy Directive в Евросоюзе, у нас нет отдельного закона о cookie. Применяются общие правила 152-ФЗ, но только если данные в cookie подпадают под определение статьи 3.

Не любой cookie-файл — персональные данные. Обезличенный технический идентификатор, который сам по себе не позволяет определить человека, под определение не подпадает. Например, ID сессии или настройки отображения страницы, если они не связаны с профилем пользователя.

Но если cookie связан с ФИО, email или телефоном (например, после входа в личный кабинет), тогда это уже персональные данные, и действуют общие правила 152-ФЗ. Это не вопрос «надо ли спрашивать согласие на любую cookie», а вопрос «является ли конкретная cookie ПД в вашей системе».

Что нарушается чаще всего

На сайтах малого бизнеса самые частые нарушения — не ошибки в криптографии, а отсутствие базовых вещей.

Первое — форма без согласия. Если на сайте есть форма обратной связи, но рядом с ней нет чекбокса или ссылки на политику обработки данных, это нарушение. Пользователь должен дать информированное согласие на обработку своих данных. Форма, которая отправляет данные без согласия, — прямое нарушение статьи 9 152-ФЗ.

Второе — нет политики на странице сбора. Даже если форма с чекбоксом, ссылка на политику обработки персональных данных должна быть доступна на той же странице. Политика — это документ, в котором вы описываете, какие данные собираете, для каких целей, как защищаете и где храните.

Третье — нет политики на сайте вообще. Часть 2 статьи 18.1 152-ФЗ обязывает оператора опубликовать политику обработки или обеспечить доступ к ней. Её отсутствие — отдельное нарушение, даже если вы не собираете данные через формы.

Четвёртое — сбор данных для целей, не указанных в политике. Если вы собираете телефон для обратной связи, а потом начинаете использовать его для маркетинговых рассылок без отдельного согласия — это нарушение принципа цели.

Подробнее о правилах сбора данных на сайте, включая требования к согласию и уведомлениям, читайте в статье правила сбора персональных данных. О том, где и как правильно размещать политику конфиденциальности, — в материале где размещать политику конфиденциальности. А полный гид по всем обязанностям оператора по 152-ФЗ — в полном гиде по 152-ФЗ.

Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.

Вопросы про персональные данные на сайте

Похожие материалы

Источники

1. Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 3 — определение персональных данных — consultant.ru

Норма приведена по тексту ст. 3 152-ФЗ, сверено 11.07.2026 и повторно 22.07.2026.