152-ФЗ «О персональных данных»

Требование:

Согласие должно быть конкретным, информированным и сознательным. Автоматически проставленные чекбоксы, согласие «по умолчанию» или «продолжая использовать сайт» — нарушения.

Требование:

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите данных (ч. 2 ст. 18.1 152-ФЗ).

Требование:

При сборе персональных данных, в том числе через интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан РФ с использованием баз данных, физически находящихся на территории России (ч. 5 ст. 18 152-ФЗ).

Требование:

Оператор обязан до начала обработки персональных данных уведомить уполномоченный орган (Роскомнадзор) о своём намерении осуществлять обработку (ч. 1 ст. 22 152-ФЗ). Есть исключения (например, обработка данных работников, данные без средств автоматизации), но для большинства сайтов, собирающих данные через формы, такая обязанность наступает.

Требование:

Передача персональных данных на территорию иностранного государства (в том числе при использовании зарубежных CRM, сервисов рассылок или облачных хранилищ) признаётся трансграничной и требует соблюдения особого порядка (ст. 12 152-ФЗ). До начала такой передачи оператор обязан уведомить Роскомнадзор и получить от него разрешение. С 1 июля 2025 года также установлен прямой запрет на сбор данных граждан РФ напрямую в зарубежные базы — запись должна производиться исключительно в российскую базу данных (ч. 5 ст. 18 152-ФЗ).